Kurz erklärt
Personenbezogene Daten dürfen nicht pauschal in ChatGPT oder andere KI-Dienste eingegeben werden. Vorher müssen Zweck, Rechtsgrundlage, konkrete Produktvariante, Datenfluss und Schutzmaßnahmen geklärt sein. Pseudonymisierung kann Risiken senken. Sie ersetzt diese Prüfung nicht.
Die Aufgabe zuerst. Der Upload danach.
Brauchst du eine sprachliche Zusammenfassung, eine Fehleranalyse oder eine Entscheidung über eine Person? Schreibe die Aufgabe in einem Satz auf. Prüfe dann, welche Angaben die KI dafür wirklich braucht. Ein kompletter Datenbestand ist selten der sinnvollste Ausgangspunkt.
Datenschutzbewusste KI-Nutzung beginnt vor der Modellwahl. Bestimme, wer den Einsatz verantwortet, wer die Arbeitsfassung freigibt und wer das Ergebnis prüft. Wenn diese Zuständigkeiten fehlen, löst ein ersetzter Name das Problem nicht.
Fiktives Beispiel: Eine Kundenbeschwerde zusammenfassen
Eine Mitarbeiterin möchte einen langen E-Mail-Verlauf auf drei offene Fragen reduzieren. Darin stehen Namen, Telefonnummern, eine Bestellnummer und ein Hinweis auf eine Erkrankung. Für die Zusammenfassung genügen möglicherweise die vereinbarte Leistung, die Abfolge und das noch ungelöste Problem.
In der Arbeitsfassung heißen die Beteiligten Kunde A und Service B. Telefonnummern und der Gesundheitsbezug entfallen. Trotzdem kann eine seltene Kombination aus Ort, Produkt und Vorfall die Person erkennbar machen. Genau deshalb folgt auf die Bearbeitung ein Sichtabgleich. Dieses Beispiel ist erfunden und keine allgemeine Freigabe für Kundendaten.
Der Dienst ist mehr als sein Markenname
Prüfe die tatsächlich eingesetzte Produktvariante einschließlich Vertrag, Einstellungen, angebundener Werkzeuge, Aufbewahrung und möglicher Weiterverwendung. Die Bezeichnung „Business“ oder eine abgeschaltete Trainingsnutzung beantwortet nicht jede Datenschutzfrage.
Für personenbezogene Daten brauchst du eine passende Rechtsgrundlage. Datenschutzrechtliche Rollen, gegebenenfalls Auftragsverarbeitung und Übermittlungen in Drittländer sind gesondert zu beurteilen. Bei Gesundheitsdaten und anderen besonderen Kategorien kommen zusätzliche Anforderungen hinzu. Die Orientierungshilfe der Datenschutzkonferenz bietet dafür einen Prüfrahmen.
Was Pseudonymisierung leistet und was offen bleibt
Pseudonymisierung ist keine Anonymisierung. Eine getrennte Zuordnung oder verräterischer Kontext kann einen Personenbezug erhalten. Auch eine technisch gut vorbereitete Fassung ist deshalb kein Freibrief für jeden Empfänger.
Psoydo unterstützt die Vorbereitung sensibler Inhalte und die menschliche Kontrolle. Ob ein bestimmter Datenbestand für einen Pilot geeignet ist, klären wir vorab persönlich. Beschreibe uns zunächst den Ablauf. Schicke bei der ersten Anfrage keine Originaldokumente oder personenbezogenen Datensätze.
Praxischeck
- Aufgabe und erforderliche Informationen eingrenzen.
- Produktvariante, Vertrag, Speicherung und Datenfluss prüfen.
- Rechtsgrundlage, Rollen und besondere Datenkategorien klären.
- Indirekte Identifizierbarkeit und Geschäftsgeheimnisse mitprüfen.
- Arbeitsfassung freigeben und KI-Ergebnis am Ausgangsmaterial kontrollieren.
Quellen & Einordnung
Fachliche Orientierung. Die Bewertung des konkreten Einsatzes bleibt erforderlich.
Psoydo im Detail: Sicherheit und Kontrollprinzipien ↗