Sind KI-Agenten im Unternehmen DSGVO-konform?

Für einen DSGVO-geregelten KI-Arbeitsablauf werden Datenstandort, Auftragsverarbeitung, Aufbewahrung, Zugriffe, Modellkonfiguration und menschliche Entscheidungen vor dem Produktivbetrieb projektbezogen festgelegt.

Welche Fragen vor dem Produktivbetrieb geklärt werden

Ein KI-Arbeitsablauf verarbeitet mehr als eine Modelleingabe. Er kann E-Mails, Rechnungen, Kundendaten, Mitarbeiterinformationen, Fotos, Gesprächsinhalte oder ERP- und CRM-Datensätze berühren. Vor dem Einsatz müssen Verantwortlicher und Auftragsverarbeiter, Zweck, Datenkategorien, Zugriffsrollen, Datenregion, Übermittlungen, Aufbewahrung und Löschung zum konkreten Prozess passen.

Bei Makra werden Datenstandort, Modellanbieter, Region, Aufbewahrung, Zugriffsrechte und kundenseitige Bereitstellung für den konkreten Prozess festgelegt. Diese Entscheidungen werden je Arbeitslast getroffen und vor dem Produktivbetrieb bestätigt.

Welche Rolle Quellen und Menschen spielen

Datenschutz betrifft auch den Arbeitsablauf selbst. Es muss feststehen, welche Quelle der Agent lesen darf, welche Felder in einen Entwurf gelangen, wer Ausnahmen sieht und wer eine wesentliche Entscheidung trifft. Makra kann Quellen, Regeln, Zuständigkeit und Freigabestatus verbinden. Die fachliche und datenschutzbezogene Verantwortung bleibt bei den dafür benannten Personen.

Bei einer Eingangsrechnung können Lieferanten- und Zahlungsdaten betroffen sein. Bei einer CRM-Nachricht kann die Kommunikationshistorie personenbezogene Informationen enthalten. Bei Mitarbeiterbeurteilungen gelten zusätzlich die Regeln des konkreten Beschäftigungskontexts. Die erforderlichen Prüfungen unterscheiden sich deshalb je Arbeitsablauf.

Auch Testdaten und Protokolle gehören in diese Betrachtung. Ein Projekt sollte festlegen, ob echte Dokumente für Tests verwendet werden, wer die Prüfwarteschlange sehen darf und wie lange Originale, Zwischenstände und Freigaben erhalten bleiben. Ein begrenzter Zugriff auf einen Bericht beantwortet nicht automatisch die Frage, ob die zugrunde liegenden Dokumente an denselben Ort übertragen werden dürfen.

Was vor dem Start festgelegt wird

Ein europäischer Datenstandort beantwortet noch nicht Zweckbindung, Zugriff, Aufbewahrung oder menschliche Entscheidung. Deshalb werden Auftragsverarbeitung, Lösch- und Aufbewahrungsfristen, Modell- und Hostingkonfiguration, internationale Übermittlungen und die Rollen im Freigabeprozess schriftlich für das Projekt festgehalten.

Die verantwortlichen Datenschutz-, Rechts- und Sicherheitsteams des Kunden prüfen diese Konfiguration vor dem Produktivbetrieb. So wird Datenschutz Teil des Arbeitsablaufs und nicht nur eine Eigenschaft des verwendeten Modells.

Die Einstufung bleibt damit eine Projektentscheidung, keine Eigenschaft des Schlagworts „KI-Agent“.

Auch spätere Änderungen werden auf dieser Grundlage bewertet. Kommt eine neue Datenquelle, ein anderer Modellanbieter oder eine zusätzliche Nutzerrolle hinzu, werden Zweck, Zugriff und Aufbewahrung erneut geprüft. Das hält die Datenschutzentscheidung mit dem tatsächlichen Prozess synchron.