Was heute schiefgeht
Niemand tut es absichtlich. Aber jedes Mal, wenn ein Kollege „mal eben“ eine Akte hochlädt, um eine Zusammenfassung zu bekommen, geschieht etwas, das Sie nicht rückgängig machen und meist nicht einmal sehen können.
Namen, BSN (niederländische Bürgerservicenummern), Gehälter, medizinische Details und Adressen landen bei einem amerikanischen Anbieter. Ohne Auftragsverarbeitungsvertrag und Verarbeitungsverzeichnis ist das ein Risiko nach der DSGVO, mit möglicher Meldepflicht.
Was Sie dagegen tun: Zeigen Sie dem Assistenten nur Text, in dem Namen und Nummern bereits ersetzt sind. Siehe unseren Artikel „Pseudonimiseren of anonimiseren“.
Bei Verbraucherversionen von KI-Chatbots können Eingaben gespeichert und zum Training von Modellen verwendet werden, je nach Einstellungen. Geschäftliche Versionen bieten in der Regel mehr Kontrolle, aber ohne bewusste Konfiguration und Auftragsverarbeitungsvertrag haben Sie keine Gewissheit darüber, was mit den Daten geschieht.
Was Sie dagegen tun: Wählen Sie ein geschäftliches Abonnement und schalten Sie das Training aus. Siehe unseren Artikel „Welk abonnement mag je zakelijk gebruiken“.
Eine Verarbeitung auf Servern außerhalb der EU erfordert eine gültige Grundlage für die Übermittlung — etwa das EU-US Data Privacy Framework, Standardvertragsklauseln (SCC) oder einen Angemessenheitsbeschluss — und eine Risikobewertung. Bei unkontrollierter Chat-Nutzung fehlt das in der Regel. Ein europäischer Anbieter nimmt diese Sorge größtenteils weg, die andere nicht: „in der EU“ sagt, wo Ihre Daten liegen, nicht, was Sie hineingeben dürfen. Auch dort geht die vollständige Akte mit.
Was Sie dagegen tun: Halten Sie pro Anbieter fest, wohin die Daten gehen und auf welcher Rechtsgrundlage. Siehe unseren Artikel „Verwerkersovereenkomst met een AI-aanbieder“.
Die Aufsichtsbehörde fragt: welche Daten, von wem, wann, auf welcher Rechtsgrundlage? Ein Chatverlauf auf einem privaten Konto gibt darauf keine Antwort. Ein Verarbeitungsverzeichnis auch nicht.
Was Sie dagegen tun: Nehmen Sie die Nutzung in Ihr Verarbeitungsverzeichnis auf und halten Sie fest, wer was geteilt hat. Siehe unseren Artikel „Verwerkingsregister voor AI-tools“.
Ein KI-Verbot verlagert die Nutzung auf Telefone und private Laptops. Mitarbeitende wollen den Komfort. Sie bieten KI besser sicher an, als sie blind zu verbieten.
Was Sie dagegen tun: Bieten Sie einen erlaubten Weg an, und schreiben Sie auf, was nicht erlaubt ist. Siehe unseren Artikel „Shadow AI“.
Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz aus dem AI Act (KI-Verordnung) (Art. 4); weitere Pflichten zu Transparenz und Hochrisiko-Systemen folgen in Phasen. Eine Dokumentensuche fällt nicht automatisch unter die Hochrisiko-Kategorien, aber wenn KI für Entscheidungen über Personen eingesetzt wird (HR, Kredite, Kunden), gelten strenge Anforderungen.
Was Sie dagegen tun: Sorgen Sie für die KI-Kompetenz Ihrer Mitarbeitenden. Siehe unseren Artikel „AI-geletterdheid is verplicht“.
„Wir dachten, dass unsere Buchhalter, Berater und HR-Kollegen nur mit anonymisierten Unterlagen arbeiten. Bei der ersten Stichprobe stellte sich heraus, dass niemand genau wusste, was hochgeladen worden war.“ Aus einem Gespräch mit einem Kunden. Kommt Ihnen das bekannt vor? Das ist die Standardsituation in KMU, nicht die Ausnahme.
Die andere Seite
PrivaSearch ist dieser Weg: dieselbe Geschwindigkeit für Ihr Team, ohne unkontrollierte Übermittlung personenbezogener Daten an externe KI-Dienste. Sehen Sie, wie das funktioniert.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →