Die Nutzung von KI kann datenschutzkonform sein, ist es aber nicht automatisch. Entscheidend ist, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und auf welcher rechtlichen Grundlage. Sobald personenbezogene Daten betroffen sind, gelten in der Europäischen Union die Vorgaben der Datenschutz-Grundverordnung.

Besonders wichtig ist, möglichst nur notwendige Daten an ein KI-System zu übermitteln. Namen, Gesundheitsdaten, Personalakten oder vertrauliche Unternehmensinformationen sollten nicht ohne Prüfung in öffentlich zugängliche KI-Dienste eingegeben werden. Unternehmen und Behörden müssen außerdem klären, wer für die Verarbeitung verantwortlich ist, wo Daten gespeichert werden, ob sie in Drittländer übertragen werden und ob Betroffene ausreichend informiert werden.

Die deutschen Datenschutzaufsichtsbehörden betonen deshalb, dass bereits bei Auswahl und Einführung eines KI-Systems Datenschutzfragen berücksichtigt werden müssen. Dazu gehören etwa Zweckbindung, Datenminimierung, Transparenz und technische Schutzmaßnahmen. Auch der Europäische Datenschutzausschuss beschäftigt sich zunehmend mit speziellen Fragen generativer KI und der Verarbeitung personenbezogener Daten.

Ein pauschales „KI ist datenschutzkonform“ gibt es deshalb nicht. Entscheidend ist immer der konkrete Einsatz. Ein System kann technisch leistungsfähig sein und trotzdem datenschutzrechtlich problematisch eingesetzt werden.

Quellen:
▪︎ Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz
▪︎ Europäischer Datenschutzausschuss: AI Privacy Risks & Mitigations Large Language Models
▪︎ Europäischer Datenschutzausschuss: Guidelines 03/2026 on web scraping in the context of generative AI