KI und Datenschutz gehören an denselben Tisch – bevor echte Kunden- oder Beschäftigtendaten in einem neuen Werkzeug landen. Ein guter Ausgangspunkt ist die konkrete Aufgabe: Was soll die KI tun, welche Informationen braucht sie und wer verwendet das Ergebnis?
Unser Ansatz verbindet technische Umsetzung und organisatorische Entscheidungen. Ein Serverstandort in Deutschland oder ein europäisches Modell kann dabei eine Rolle spielen. Beides ersetzt aber nicht die Prüfung der tatsächlichen Verarbeitung. Auch der SOULSURF Enterprise AI Workspace ist kein pauschales Konformitätssiegel für jeden denkbaren Einsatz.
Drei Ebenen statt eines Häkchens
Die Aufgabe: Eine interne Wissenssuche, ein öffentlicher Chatbot und die Bewertung von Bewerbungen sind unterschiedliche Anwendungen. Der AI Act richtet Anforderungen nach Einsatz und Risiko aus. Welche Pflichten und Übergangsfristen gelten, muss deshalb für das konkrete System geprüft werden. Die Übersicht der Europäischen Kommission erklärt diese Einordnung.
Die Daten: Sobald personenbezogene Daten verarbeitet werden, sind unter anderem Zweck, Rechtsgrundlage, Datenumfang, Speicherdauer und Schutzmaßnahmen zu klären. Hinzu kommt die Frage, welche Dienstleister beteiligt sind und ob Daten in Drittländer gelangen. Maßgeblich ist die DSGVO, insbesondere Artikel 5, 6, 28, 32 und 44.
Der Betrieb: Wer darf welche Inhalte abrufen? Wer pflegt die Quellen, prüft Änderungen und reagiert auf Fehler? Diese Fragen gehören in die technische Planung und in einen nachvollziehbaren Verantwortungsplan.
So bereiten wir eine belastbare Entscheidung vor
- Datenwege sichtbar machen. Eingaben, angebundene Quellen, Modellanbieter, Protokolle und Ausgaben gemeinsam betrachten.
- Mit einem begrenzten Test beginnen. Für erste Versuche möglichst geeignete Testdaten verwenden und den Zugriff bewusst einschränken.
- Anbieterangaben konkret prüfen. Was wird gespeichert, für welche Zwecke genutzt und gegebenenfalls zum Training verwendet?
- Fachleute früh einbeziehen. Fachbereich, IT und Datenschutz sollten dieselbe Anwendung beurteilen, nicht unterschiedliche Vorstellungen davon.
Das sind Empfehlungen für den Projektstart, keine vollständige Rechtsprüfung. Auch die Annahme, ein KI-Modell sei automatisch anonym, greift zu kurz: Der Europäische Datenschutzausschuss verlangt dafür eine Einzelfallbetrachtung.
Technik und Verantwortung zusammenbringen
Alexander Krapp formuliert unseren Anspruch so:
„Für uns ist es wichtig, dass alle Daten, die wir mit der KI verarbeiten, gemäß AI ACT und DSGVO sauber und korrekt behandelt werden.“
Wir helfen, Anforderungen in Datenflüsse, Zugriffsregeln und einen überprüfbaren Ablauf zu übersetzen. Die rechtliche Bewertung des Einzelfalls bleibt bei den zuständigen Fachleuten. Sieben Fragen zur Prüfung neuer KI-Werkzeuge helfen beim ersten Gespräch.
Lassen Sie uns Ihren geplanten KI-Einsatz konkret durchgehen.
Redaktionell geprüft am 20. September 2026. Diese Orientierung ersetzt keine individuelle Rechtsberatung.
Über den Autor
Alex Krapp
Alex Krapp entwickelt SOULSURF als Unternehmen weiter, berät Kunden strategisch und schafft die Grundlage für langfristige Partnerschaften. In seinen Beiträgen verbindet er digitale Möglichkeiten mit den Zielen und Abläufen im Unternehmen. Er schreibt über die Einführung von KI, verständliche Inhalte und die Frage, wie aus neuen Technologien sinnvoll eingesetzte Lösungen werden.