Datenschutz stoppt Ihren KI-Pilot? So kommen Sie trotzdem sauber ins Tun

Drei KI-Initiativen in zwei Jahren. Keine umgesetzt. Nicht, weil die Ideen schlecht waren. Sondern weil Datenschutz, IT und Geschäftsführung immer erst am Ende ins Spiel kamen.

Diese Projektskizze zeigt, wie ein DSGVO-konformer KI-Pilot im Handel geplant werden kann. Sie ist kein Rechtsrat und keine erfundene Erfolgsgeschichte, sondern ein realistisches Muster aus typischen Mittelstandsfragen: Welche Daten werden verarbeitet? Welche Tools sind erlaubt? Wer prüft? Was darf automatisiert werden? Und wie kommt ein Pilot trotz Regeln und Verantwortung in Bewegung?

Ausgangslage

Ein Handelsunternehmen will KI nutzen. Die Ideen sind da:

• Angebotsentwürfe schneller erstellen
• Produktdaten besser strukturieren
• Kundenmails vorsortieren
• Dokumente auslesen
• interne Wissenssuche verbessern
• Reporting vorbereiten

Doch jedes Mal passiert dasselbe. Sobald es konkret wird, entstehen berechtigte Fragen:

• Dürfen Kundendaten in das Tool?
• Wo werden Daten gespeichert?
• Wird mit unseren Eingaben trainiert?
• Brauchen wir einen Auftragsverarbeitungsvertrag?
• Welche Rechtsgrundlage gilt?
• Wer haftet, wenn ein falscher Vorschlag genutzt wird?
• Muss der Datenschutzbeauftragte zustimmen?
• Was sagt die IT zur Sicherheit?

Weil diese Fragen spät kommen, fühlt sich Datenschutz wie eine Bremse an. In Wahrheit ist er nur zu spät eingeplant.

Der Denkfehler

Viele Teams gehen so vor:

1. KI-Idee sammeln
2. Tool testen
3. Pilot vorbereiten
4. Begeisterung erzeugen
5. Datenschutz fragen
6. Projekt stoppen oder stark verlangsamen

Das erzeugt Frust auf allen Seiten. Fachbereiche fühlen sich blockiert. Datenschutz und IT fühlen sich übergangen. Geschäftsführung sieht Risiko statt Fortschritt.

Der bessere Ablauf dreht die Reihenfolge:

1. Engpass und Ziel klären
2. Datenklassen bestimmen
3. Risiko und Freigabeweg definieren
4. passenden kleinen Hebel wählen
5. Pilot mit Mensch prüft mit umsetzen
6. Wirkung und Risiken messen
7. Betrieb oder Stopp entscheiden

Regeln und Verantwortung wird dann nicht zur Hürde, sondern zur Startarchitektur.

Regulatorischer Kontext

Datenschutz und KI bleiben Einzelfallarbeit. Der Europäische Datenschutzausschuss hat in seiner Opinion zu KI-Modellen unter anderem Fragen zu Anonymität, berechtigtem Interesse und unrechtmäßig verarbeiteten personenbezogenen Daten behandelt. Für Unternehmen heißt das praktisch: Es reicht nicht, „KI“ allgemein zu erlauben. Daten, Zweck, Anbieter und Verarbeitung müssen konkret betrachtet werden.

Quelle: EDPB Opinion zu KI-Modellen und DSGVO

Zugleich gilt seit dem 2. Februar 2025 Artikel 4 des EU AI Act zur KI-Kompetenz. Die EU-Kommission betont, dass Organisationen Kontext, Rolle und Risiko ihrer KI-Nutzung berücksichtigen sollen. Ein Pilot braucht also nicht nur Technik, sondern auch geschulte Menschen.

Quelle: EU-Kommission: AI Literacy - Questions & Answers

Der richtige erste Hebel

Für einen DSGVO-konformen Einstieg ist nicht der spektakulärste Hebel der beste. Der beste Hebel hat hohen Nutzen bei kontrollierbarem Risiko.

Gute Startfälle:

• Angebotsentwürfe auf Basis freigegebener Produktinformationen
• interne Text- und Strukturierungshilfen ohne personenbezogene Daten
• Dokumentenklassifizierung mit anonymisierten Testdaten
• Reporting-Entwürfe mit aggregierten Kennzahlen
• Wissenssuche in freigegebenen internen Dokumenten

Riskantere Startfälle:

• Kundenmails mit personenbezogenen Daten in öffentlichen Tools
• HR- oder Bewerbungsprozesse
• automatisierte Entscheidungen über Personen
• Verarbeitung sensibler Kategorien personenbezogener Daten
• ungeprüfte Außenkommunikation

Der erste Pilot sollte Vertrauen entwickeln, nicht Regeln und Verantwortung maximal herausfordern.

Vier-Wochen-Ablauf einer DSGVO-konformen Potenzialanalyse

Woche 1: Engpass und Datenlandkarte

Zuerst wird nicht über Tools gesprochen, sondern über Arbeit:

• Welcher Prozess kostet Zeit?
• Welche Daten kommen vor?
• Welche davon sind personenbezogen?
• Welche sind vertraulich?
• Welche sind öffentlich oder intern unkritisch?
• Welche Systeme sind beteiligt?
• Wer nutzt das Ergebnis?

Ergebnis: eine einfache Datenlandkarte und eine Shortlist möglicher Hebel.

Woche 2: Risiko und Freigabeweg

Jetzt kommen Datenschutz, IT und Fachbereich gemeinsam an den Tisch.

Geklärt wird:

• Anbieter und Hosting
• Speicher- und Trainingslogik
• Zugriffskonzept
• Datenminimierung
• Auftragsverarbeitung
• Löschlogik
• Dokumentation
• fachliche Prüfung
• mögliche DSFA-Relevanz

Das Ziel ist nicht, jedes Risiko wegzureden. Das Ziel ist, einen Hebel zu finden, der verantwortbar startbar ist.

Woche 3: Pilotdesign

Jetzt wird der Ablauf entworfen:

• Welche Daten dürfen rein?
• Welche Daten bleiben ausgeschlossen?
• Was macht KI genau?
• Wo prüft der Mensch?
• Was wird dokumentiert?
• Welche Ausgabe darf wohin?
• Welche Fehlerfälle führen zum Stopp?

Ein gutes Pilotdesign enthält klare rote Linien.

Woche 4: Entscheidungsvorlage

Am Ende steht keine lose Ideensammlung, sondern eine Entscheidungsvorlage:

• empfohlener Pilot
• Ziel und Nicht-Ziel
• Datenklassen
• Anbieterpfad
• Prüfung-Modell
• Risiken und Gegenmaßnahmen
• Aufwand
• Messpunkte
• Entscheidung: umsetzen, zurückstellen oder verwerfen

Damit kann Geschäftsführung entscheiden, ohne Datenschutz und IT später neu einzusammeln.

Beispiel für einen risikoarmen Einstieg

Ein sinnvoller erster Pilot im Handel könnte so aussehen:

Angebotsvorlagen aus freigegebenen Produktinformationen vorbereiten.

Warum der Fall passt:

• hoher Nutzen im Vertrieb oder Backoffice
• keine Kundendaten im ersten Schritt nötig
• Produktdaten können freigegeben werden
• Mensch prüft jedes Angebot
• Ton und Struktur lassen sich standardisieren
• Wirkung ist schnell messbar

Was bewusst nicht Teil des Starts ist:

• automatische Konditionsentscheidung
• Verarbeitung personenbezogener Kundendaten
• Versand ohne Prüfung
• Vertragsprüfung
• verbindliche Rechtsaussagen

So wird der Pilot klein genug, um Datenschutz nicht zu überfordern, aber relevant genug, um Nutzen zu zeigen.

Was dokumentiert werden sollte

Für einen produktiven KI-Pilot brauchen Sie keine übertriebene Aktenlage. Aber einige Dinge sollten festgehalten werden:

• Zweck des Piloten
• beteiligte Rollen
• genutzte Tools und Anbieter
• Datenklassen
• Datenfluss
• Speicher- und Löschlogik
• Freigabeprozess
• fachliche Prüfung
• Messpunkte
• Grenzen und Ausschlüsse
• Ansprechpartner bei Vorfällen

Diese Dokumentation ist kein Selbstzweck. Sie schützt Tempo. Wenn später Fragen kommen, muss nicht alles rekonstruiert werden.

Typische Fehler

Datenschutz erst nach der Demo einbinden

Dann entsteht fast automatisch Widerstand. Früh eingebunden kann Datenschutz helfen, den richtigen Startfall zu wählen.

Zu riskanten Hebel wählen

Wer direkt mit sensiblen Kundendaten, HR oder automatisierten Entscheidungen startet, macht den Einstieg unnötig schwer.

Toolfreigabe mit Prozessfreigabe verwechseln

Nur weil ein Tool erlaubt ist, ist nicht jeder Prozess damit erlaubt.

Keine Schulung einplanen

Teams müssen wissen, welche Daten sie nutzen dürfen, wie Ergebnisse geprüft werden und wo Grenzen liegen.

Regeln und Verantwortung als PDF behandeln

Ein Dokument allein macht keinen sicheren Betrieb. Richtlinie, Schulung, Prüfung und Messung müssen zusammenlaufen.

Was diese Projektskizze zeigt

Datenschutz ist kein Gegner von KI. Datenschutz ist ein Designfaktor.

Wenn Sie ihn zu spät einbindet, stoppt er Projekte. Wenn Sie ihn früh einbindet, hilft er beim besseren Schnitt:

kleiner Hebel, klare Daten, Mensch prüft mit, dokumentierter Pfad, messbare Wirkung.

Das ist keine Bremse. Das ist die Grundlage für KI, die im Mittelstand tatsächlich produktiv werden kann.

Wenn Datenschutz bei Ihnen gerade zwischen Idee und Umsetzung steht, starten Sie mit einem Orientierungsgespräch. Wenn Sie mehrere Hebel, Datenklassen, Regeln und Verantwortungsfragen sortieren müssen, ist die KI-Potenzialanalyse der bessere nächste Schritt.