KVKK-konformer KI-Einsatz: Was Unternehmen wissen müssen

KI-Automatisierung und KVKK: drei Konfliktpunkte

Hinweis: Dieser Artikel ist keine Rechtsberatung — er dient der Information. Konsultieren Sie für die Compliance einen Rechtsanwalt.

KVKK verlangt eine Rechtsgrundlage und Zweckbindung für die Datenverarbeitung. KI-Automatisierung erzeugt Reibung an drei Stellen.

Erstens, Zweckentfremdung: Werden Kundendaten zur Schulung von Marketingmodellen genutzt, ist das ein Verstoß. Jeder Verwendungszweck muss separat dokumentiert sein.

Zweitens, automatisierte Entscheidungen: DSGVO Art. 22 und sein KVKK-Äquivalent schränken vollautomatisierte Entscheidungen mit erheblicher Wirkung auf Personen ein. Kreditscoring und Preisdiskriminierung fallen darunter; ein Mechanismus für menschliche Kontrolle ist Pflicht.

Drittens, Drittanbieter: Cloud-KI-Anbieter und LLM-APIs sind Auftragsverarbeiter. Ein schriftlicher Auftragsverarbeitungsvertrag (AVV) ist nach KVKK-Art. 8 erforderlich.

Datensparsamkeit: das Prinzip "weniger ist mehr"

Datensparsamkeit ist ein Kernprinzip von KVKK und DSGVO: Erheben und speichern Sie nur die für den Zweck unbedingt notwendigen Daten. In KI-Projekten wird dieses Prinzip leicht verletzt.

Typisches Szenario: Ein Unternehmen baut ein KI-System zur Echtzeit-Standortverfolgung für die Bestelllogistik. Mit der Zeit beginnt das System auch Browser-Historie und Suchanfragen zu verarbeiten — weil das Modell "besser vorhersagt." Das ist ein Verstoß gegen das Minimierungsprinzip.

Praktische Regel: Fragen Sie für jedes Datenfeld: "Würde die Aufgabe ohne dieses Feld scheitern?" Wenn nein, entfernen Sie es. Außerdem: Aufbewahrungsfristen. Personenbezogene Rohdaten in KI-Logs sollten innerhalb von 30–90 Tagen anonymisiert werden. Integrieren Sie dies als automatischen Trigger — verlassen Sie sich nicht auf manuelle Prozesse.

Eine praktische Checkliste

Die folgende Checkliste fasst die wichtigsten Punkte zusammen, die vor dem Start eines KI-Projekts unter KVKK geprüft werden sollten. Keine Rechtsberatung.

1. Rechtsgrundlage: Bestimmen Sie für jede Datenkategorie die Grundlage (Einwilligung, Vertrag, berechtigtes Interesse) und dokumentieren Sie sie.

2. DSFA-Pflicht: Bei groß angelegter Verarbeitung, sensiblen Daten oder automatisierter Profilierung ist eine Datenschutz-Folgenabschätzung Pflicht. Hochrisiko-KI nach EU AI Act löst dies ebenfalls aus.

3. Auftragsverarbeitungsverträge (AVV): Stellen Sie für jeden KI-Anbieter einen unterzeichneten AVV sicher. Fragen Sie, ob Daten außerhalb der Türkei übertragen werden — das erfordert zusätzliche Genehmigung nach KVKK Art. 9.

4. Aufbewahrungsautomatisierung: Erstellen Sie Aufbewahrungsrichtlinien und integrieren Sie automatische Lösch-/Anonymisierungstrigger.

5. Zugriffsprotokollprüfung: Wer hat wann auf welche Daten zugegriffen? Prüfen Sie Protokolle alle 90 Tage.

Schatten-KI: Das Risiko, das in Ihrem Team verborgen liegt

KI-Automatisierungsprojekte scheitern selten am offiziell genehmigten System – sie sickern über Tools, die niemand genehmigt hat. Sobald ein Team sieht, dass ein offizieller KI-Workflow reibungslos läuft, beginnen Mitarbeitende, eigene Abkürzungen für angrenzende Aufgaben zu improvisieren: einen E-Mail-Verlauf mit Kunden in einen kostenlosen Chat-Assistenten einfügen, um eine Antwort zu entwerfen, einen Vertrag in eine Browser-Erweiterung hochladen, um eine schnelle Zusammenfassung zu erhalten, oder ein persönliches Konto bei einem öffentlichen KI-Tool nutzen, um ein Kundendokument zu übersetzen. Nichts davon berührt die Infrastruktur Ihres Unternehmens, weshalb es niemals in den Zugriffsprotokollen oder Aufbewahrungs-Triggern auftaucht, die Sie für Ihr offizielles System aufgebaut haben – es ist von Natur aus unsichtbar.

Nach der KVKK verringert das Ihre Haftung nicht, sondern erhöht sie. Als Verantwortlicher für die Datenverarbeitung bleiben Sie dafür verantwortlich, wie personenbezogene Daten verarbeitet werden, selbst wenn ein Mitarbeitender in gutem Glauben das Tool selbst wählt, statt die Geschäftsleitung. Ein KI-Assistent in der kostenlosen Version ist faktisch ein ungeprüfter Auftragsverarbeiter: ohne unterschriebenen Auftragsverarbeitungsvertrag (AVV), ohne Einblick, wo und wie lange Daten gespeichert werden, und häufig mit Nutzungsbedingungen, die es dem Anbieter erlauben, eingereichte Inhalte zum Training eigener Modelle zu verwenden. Eine einzige eingefügte Kundenliste kann Monate sorgfältiger Datenminimierung und Aufbewahrungsarbeit in Ihrem Hauptsystem zunichtemachen – und da die Kopie außerhalb Ihrer Infrastruktur liegt, erfahren Sie es womöglich nie.

Die praktische Lösung ist eine kurze, klare Richtlinie statt eines pauschalen Verbots, das niemand einhält. Veröffentlichen Sie eine Whitelist genehmigter KI-Tools, die bereits einen unterschriebenen AVV und definierte Aufbewahrungseinstellungen haben, und legen Sie klar fest, welche Datenkategorien – Kundendatensätze, Verträge, Finanz- oder Gesundheitsinformationen – diese Whitelist niemals verlassen dürfen. Führen Sie die Richtlinie genau in dem Moment ein, in dem Sie ein neues KI-Automatisierungsprojekt starten, nicht Monate später als nachträglichen Gedanken; genau in diesem Startfenster ist es am wahrscheinlichsten, dass Mitarbeitende nach angrenzenden Abkürzungen suchen. Geben Sie Menschen einen schnellen, legitimen Weg auf der genehmigten Plattform, damit der nicht autorisierte Weg nicht länger die einfachste Option ist. Überprüfen Sie dies schließlich genauso, wie Sie Zugriffsprotokolle prüfen: Eine vierteljährliche Kontrolle, welche Tools Teams tatsächlich nutzen, schließt die Lücke zwischen der Richtlinie auf dem Papier und dem tatsächlichen Verhalten.