KI bei sensiblen Daten verantwortungsvoll nutzen

Der Satz ist verständlich. Wer mit Klientendaten, Patientendaten, Personalakten oder vertraulichen Vertragsinhalten arbeitet, hat gute Gründe, vorsichtig zu sein. Die Frage ist nur, ob Vorsicht pauschale Ablehnung bedeutet – oder kluge Gestaltung.

Aus meiner Erfahrung in der Beratung: Die meisten Organisationen, die KI wegen Datenschutz ablehnen, haben schlicht noch nicht aufgeschlüsselt, welche ihrer Aufgaben überhaupt sensible Daten berühren. Wenn sie das tun, stellt sich heraus: Vieles ist unproblematisch. Einiges ist regelbar. Und nur ein kleiner Teil erfordert wirklich besondere Vorkehrungen.

Warum ein pauschales Nein oft falsch ist

Viele sinnvolle KI-Anwendungen benötigen überhaupt keine sensiblen Daten. Eine KI kann Recherchen zusammenfassen, Schreibvorlagen erstellen, Sitzungsprotokolle strukturieren oder Projektbeschreibungen formulieren – ohne dass ein einziger Personenname oder vertraulicher Wert eingegeben wird.

Die relevante Unterscheidung lautet nicht: KI ja oder nein. Sie lautet: Welche Aufgabe wird bearbeitet – und welche Daten sind dafür tatsächlich erforderlich?

Fünf Schritte zu einem verantwortungsvollen Umgang

1. Datenarten unterscheiden.Nicht alle Daten sind gleich sensibel. Öffentliche Informationen, interne Prozessbeschreibungen und anonymisierte Fallbeispiele sind etwas anderes als Gesundheitsdaten, Finanzinformationen oder personenbezogene Kundenakten. Eine einfache Einteilung in drei Stufen (öffentlich, intern, vertraulich) reicht für den Einstieg.

2. Datenminimierung als Grundsatz.Geben Sie in ein KI-Tool nur die Informationen ein, die für die konkrete Aufgabe tatsächlich gebraucht werden. Nicht mehr. Ein E-Mail-Entwurf braucht den Kontext, aber nicht die vollständige Kundenakte. Eine Zusammenfassung braucht den Text, aber nicht die Absenderdaten.

3. Das richtige Tool wählen.Private KI-Accounts in der kostenlosen Version sind für sensible Daten ungeeignet. Unternehmenslösungen wie Microsoft Copilot mit entsprechenden Lizenzen und Berechtigungskonzepten bieten deutlich mehr Schutz. Für besonders sensible Szenarien gibt es abgeschirmte Umgebungen oder lokale Modelle, bei denen die Daten das eigene System nicht verlassen.

4. Nutzungsregeln festlegen.Jedes Team braucht eine klare Regelung: Welche Daten dürfen in welches Tool? Welche Anwendungen sind erlaubt? Wer ist bei Unsicherheit Ansprechpartner? Solche Regeln müssen nicht umfangreich sein. Eine knappe einseitige Richtlinie reicht für den Anfang.

5. Beispieldaten nutzen.Einer der unterschätztesten Ansätze: Teams können KI-Kompetenz aufbauen, indem sie mit anonymisierten oder fiktiven Fällen arbeiten. So entsteht echte Praxiserfahrung, ohne dass reale sensible Daten verwendet werden.

Ein Beispiel aus der Praxis

Eine soziale Einrichtung mit 40 Mitarbeitenden möchte KI für die Dokumentation nutzen. Die Klientendaten sind hochsensibel – eine pauschale Freigabe kommt nicht infrage.

Die Lösung: Die Einrichtung identifiziert drei Arbeitsbereiche, in denen KI ohne Klientendaten hilft. Erstens: Formulierungshilfen für standardisierte Anschreiben mit anonymisierten Sachverhalten. Zweitens: Strukturierung von Sitzungsnotizen als Vorlage ohne Personenbezug. Drittens: Zusammenfassung von Fortbildungsmaterialien und Fachartikeln.

Für die eigentliche Falldokumentation wird eine abgeschirmte Lösung geprüft. Bis dahin profitiert das Team bereits von allen drei Anwendungsfällen – ohne dass ein einziger Klientendatensatz ein cloud-basiertes Tool berührt.

Was das konkret bedeutet

Sensible Daten verlangen nicht nach Verbot, sondern nach Klarheit. Wer weiß, welche Daten er hat, welche davon in ein KI-Tool dürfen und welche Alternativen es gibt, kann verantwortungsvoll handeln. Das schließt KI nicht aus. Es schließt unkontrollierte KI aus.

Mini-Checkliste

• Sind die Datenarten in der Organisation eingeteilt (öffentlich, intern, vertraulich)?

• Gibt es eine Regelung, welche Daten in welche KI-Tools eingegeben werden dürfen?

• Werden Beispieldaten oder anonymisierte Fälle für den Einstieg genutzt?

• Ist geklärt, welche Tool-Variante (cloud, Unternehmenslösung, lokal) angemessen ist?

• Gibt es eine verantwortliche Person für KI-Nutzung im Datenschutzkontext?

Wenn Sie klären möchten, wie Ihre Organisation KI verantwortungsvoll nutzen kann, ohne Datenschutz oder Vertrauen zu gefährden – sprechen wir in einem Erstgespräch über Ihre Datenlage, konkrete Anwendungsfälle und erste Schritte.

Häufige Fragen

Darf man KI nutzen, wenn man mit sensiblen Daten arbeitet?Ja – wenn man weiß, welche Daten in welches Tool dürfen. Viele sinnvolle KI-Anwendungen benötigen gar keine sensiblen Daten. Die Unterscheidung zwischen Aufgabe und benötigten Daten ist der erste entscheidende Schritt.

Welche KI-Tools sind für sensible Daten geeignet?Kostenlose Privat-Accounts sind für sensible Daten ungeeignet. Unternehmenslösungen mit Datenschutzvereinbarung (wie Microsoft Copilot for Business) oder lokal betriebene Modelle, bei denen Daten das System nicht verlassen, sind deutlich besser geeignet.

Was bedeutet Datenminimierung bei KI?Nur die Informationen in ein KI-Tool eingeben, die für die jeweilige Aufgabe tatsächlich gebraucht werden. Kein vollständiger Name, wenn ein Sachverhalt auch ohne ihn beschrieben werden kann. Kein vollständiger Datensatz, wenn ein Ausschnitt reicht.

Wie erstelle ich eine KI-Nutzungsregel für mein Team?Eine einseitige Richtlinie reicht: Welche Daten dürfen in welche Tools? Was ist verboten? Wer ist Ansprechpartner? Diese Regel muss nicht perfekt sein, aber sie muss existieren und kommuniziert werden.

• Europäische Union, Datenschutz-Grundverordnung (DSGVO),

• BfDI – Bundesbeauftragter für den Datenschutz, Künstliche Intelligenz und Datenschutz,

• Microsoft Learn, Microsoft 365 Copilot – Datenschutz,

• BSI – Bundesamt für Sicherheit in der Informationstechnik, KI sicher nutzen,

• Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zu KI und Datenschutz,