Mit einer klaren Aufgabe statt mit dem Werkzeug beginnen
E-Mails vorsortieren, Angaben aus Dokumenten übernehmen und interne Texte zusammenfassen sind sehr unterschiedliche Aufgaben. Sie verarbeiten andere Daten und ein falsches Ergebnis hat jeweils andere Folgen.
Für einen ersten Einsatz sollte deshalb ein begrenzter Schritt gewählt werden. Die KI kann zum Beispiel einen Vorschlag erzeugen oder Felder für eine Prüfung vorbereiten. Der weitere Prozess läuft erst weiter, wenn die festgelegten Bedingungen erfüllt sind.
- Welche Eingabe erhält das System?
- Welches konkrete Ergebnis wird erwartet?
- Wer nutzt oder prüft dieses Ergebnis?
- Welche Folge hätte eine falsche oder unvollständige Antwort?
Prüfen, welche Daten das System wirklich braucht
In E-Mails und Dokumenten stehen schnell Namen, Kontaktdaten, Vertragsangaben oder Informationen über Mitarbeiter. Nicht alles davon ist für die gewünschte Aufgabe nötig. Datenminimierung beginnt deshalb vor dem ersten Prompt.
Wo es fachlich möglich ist, können Angaben entfernt, gekürzt oder durch interne Kennungen ersetzt werden. Pseudonymisierte Daten bleiben jedoch grundsätzlich personenbeziehbar, wenn die Zuordnung an anderer Stelle möglich ist. Sie sind nicht automatisch anonym.
Zweck und rechtliche Grundlage getrennt prüfen
Daten wurden meist für einen bestimmten Geschäftsprozess erhoben. Ob sie zusätzlich durch ein KI-System verarbeitet werden dürfen, lässt sich nicht pauschal aus dem technischen Nutzen ableiten. Zweck, Notwendigkeit, Erwartungen der betroffenen Personen und mögliche Folgen müssen für den konkreten Fall geprüft werden.
Dieser Ratgeber ersetzt keine rechtliche Beratung. Bei personenbezogenen, vertraulichen oder besonders sensiblen Daten sollte der geplante Ablauf mit der zuständigen Datenschutzberatung oder dem Datenschutzbeauftragten abgestimmt werden.
Anbieter, Verträge und Speicherwege nachvollziehen
Vor dem Einsatz braucht es Antworten auf einfache, aber wichtige Fragen: In welchem Dienst werden die Daten verarbeitet? Werden Eingaben gespeichert oder für weitere Zwecke verwendet? Welche Unterauftragnehmer sind beteiligt und wie lassen sich Daten wieder löschen?
Auch Zugänge gehören zum Betriebskonzept. Persönliche Konten einzelner Mitarbeiter erschweren Rechteverwaltung und Ausscheiden. Besser sind zentral verwaltete Zugänge, begrenzte Berechtigungen und eine dokumentierte Konfiguration.
- Vertragliche Rolle und notwendige Vereinbarungen klären.
- Speicherorte, Löschfristen und mögliche Weiterverwendung prüfen.
- Nur die Funktionen und Datenzugriffe freigeben, die gebraucht werden.
- Änderungen am Dienst oder Modell nicht unbemerkt übernehmen.
Festlegen, wo ein Mensch entscheiden muss
Ein Hinweis wie „Ergebnis bitte prüfen“ genügt nicht. Es muss klar sein, wer prüft, welche Informationen dafür sichtbar sind und woran eine unplausible Antwort erkannt werden kann.
Bei Entscheidungen über Personen, Verträge, Zahlungen oder andere folgenreiche Vorgänge sollte KI nicht unbemerkt zur alleinigen Entscheidungsstelle werden. Sie kann vorbereiten, sortieren oder Abweichungen markieren. Die verantwortliche Entscheidung braucht einen nachvollziehbaren Platz im Prozess.
Protokolle und Transparenz auf das Nötige begrenzen
Für Fehlersuche und Qualitätssicherung kann eine Historie sinnvoll sein. Vollständige Eingaben und Ausgaben unbegrenzt zu speichern, schafft jedoch eine zweite Datensammlung. Häufig reichen Vorgangskennung, Zeitpunkt, verwendete Konfiguration und ein gekürzter Fehlerhinweis.
Neben der DSGVO können je nach eingesetztem System und Nutzung weitere Pflichten aus dem europäischen AI Act gelten. Ob und welche Transparenz- oder Informationspflichten greifen, hängt von Rolle, System und Einsatz ab und sollte getrennt eingeordnet werden.
Wie ein kontrollierter Pilot aussehen kann
Ein Pilot startet mit wenigen bereinigten Beispielen und einer klaren Erwartung an das Ergebnis. Danach folgen bekannte Grenzfälle, absichtlich unvollständige Eingaben und fachlich falsche Vorschläge.
Erst wenn Fehler sichtbar behandelt werden und die Prüfung im Alltag funktioniert, sollten echte Vorgänge oder weitere Nutzer dazukommen. Das Ziel ist nicht möglichst viel KI, sondern eine begrenzte Aufgabe mit klarer Verantwortung.