Helle Lochwand in einer Werkstatt mit Schraubenschlüssel, Zange und Hammer, sauber aufgehängt KI-generiert · ALBERT | AI
Plattform als Werkzeug.

agorum® Recht und KI Welche KI-Plattform erfüllt DSGVO und KI-Verordnung?

Keine Plattform erfüllt DSGVO und KI-Verordnung für dich, denn die Pflichten tragen Unternehmen, die KI einsetzen. Eine Plattform erleichtert sie, wenn Daten, Rechte, Protokolle und Modellwahl in deiner Hand bleiben. Das prüfst du an sieben Fragen.

Wer nach einer konformen KI-Plattform sucht, bekommt oft ein Gütesiegel versprochen. Ein Siegel ersetzt die eigene Prüfung nicht. Entscheidend ist, was die Plattform dir zeigt, steuern lässt und nachweist. agorum core pro beantwortet die sieben Fragen unten mit Funktionen, die du in der Dokumentation nachlesen kannst, zum Beispiel in den Datenschutz-Hinweisen zu ALBERT | AI.

Das Wichtigste in Kürze

  • Die Pflichten liegen bei dir als Verantwortlichem und als Betreiber der KI. Die Plattform ist das Werkzeug, mit dem du sie erfüllst.
  • Prüfe an sieben Fragen, ob Daten, Rechte, Personenbezug, Nachvollziehbarkeit, Aufsicht, Modellwechsel und Nachweise stimmen.
  • Der KI-Handler PII ersetzt Namen, Adressen, IBAN und weitere persönliche Daten vor der Anfrage durch Platzhalter und setzt sie in der Antwort wieder ein.
  • Die Archivierung in agorum core pro unterstützt die GoBD-konforme Ablage und wird regelmäßig von einem unabhängigen Wirtschaftsprüfer geprüft.
  • Bei der KI-Verordnung ändern sich Fristen. Prüfe den aktuellen Stand im Amtsblatt.

Wer trägt welche Pflicht?

Du trägst die Pflichten, wenn du KI im Unternehmen einsetzt. Nach der DSGVO bist du als Verantwortlicher zuständig für die Verarbeitung personenbezogener Daten. Nach der KI-Verordnung giltst du als Betreiber, sobald du ein KI-System in eigener Verantwortung nutzt.

Die Plattform stellt dir die Mittel bereit. Ein Modellanbieter, der in deinem Auftrag personenbezogene Daten verarbeitet, ist häufig Auftragsverarbeiter und braucht einen Vertrag nach Artikel 28 DSGVO. Wer welche Rolle hat, hängt vom Einzelfall ab. Das klärst du mit deiner Rechtsabteilung oder Beratung, dieser Beitrag ist keine Rechtsberatung.

Bei dir bleiben zum Beispiel die Rechtsgrundlage, die Zweckbindung, die Prozesse für Auskunft, Löschung und Berichtigung, das Verarbeitungsverzeichnis und, falls nötig, die Datenschutz-Folgenabschätzung. Dazu kommen die Auswahl und Konfiguration des Modells, die Speicherfristen der Protokolle und die Abstimmung mit deinem Datenschutzbeauftragten. Diese Verantwortung kann dir keine Software abnehmen.

Reihe weißer Schrankfronten mit schlichten Edelstahlgriffen in einem hellen Raum KI-generiert · ALBERT | AI
Sieben Fragen.

Welche sieben Fragen stellst du einer KI-Plattform?

Du stellst sieben Fragen, die sich bei jeder Plattform gleich beantworten lassen. Fällt eine durch, bleibt für dich eine offene Pflicht.

  1. Wo liegen Daten, Index und Protokolle der KI?
  2. Sieht die KI nur, was der fragende User sehen darf?
  3. Wohin gehen personenbezogene Daten, wenn ein Modell antwortet?
  4. Lässt sich nachvollziehen, welche Anfrage wann welches Modell genutzt hat?
  5. Prüft ein Mensch die Ergebnisse, bevor sie Wirkung haben?
  6. Lässt sich das Modell wechseln, wenn sich Recht oder Anbieter ändern?
  7. Welche Nachweise und Verträge gibt es?

Wie beantwortet agorum core pro diese sieben Fragen?

Daten, Rechte und Protokolle. agorum core pro hält Dokumente, Metadaten und Rechte in deinem Rechenzentrum. ALBERT | AI, die integrierte Unternehmensintelligenz, arbeitet im Rechtekontext der Plattform und ist protokollierbar. Was ein User nicht sehen darf, sieht die KI für ihn auch nicht. Das gilt auch für die Suche. ALBERT | AI sucht direkt über die Suche von agorum core, ohne eigenen Vektor-Index, und die Berechtigungen wirken in dieser Suche. Fragt jemand nach einem Dokument ohne Leserecht, findet die KI es gar nicht und kann es weder lesen noch zitieren.

Personenbezug. Der KI-Handler PII ersetzt persönliche Daten vor der Anfrage durch Platzhalter. Welche Daten das Haus verlassen, entscheidest du außerdem mit der Modellwahl. Läuft das Modell auf eigener Hardware, verlassen die Anfragen für Aufgaben mit dieser Voreinstellung das Haus nicht. Nutzt du den Anbieter eines Modells, geht die Anfrage an dessen Schnittstelle.

Nachvollziehbarkeit. Die ALBERT | AI Kostenkontrolle hält je KI-Runde fest, welche Voreinstellung und welches Modell lief, und zeigt, welche Voreinstellung einen Sub-Agenten gestartet hat. Sie ist im Auslieferungszustand ausgeschaltet und wird von Administratoren über „Lokale Zählung“ aktiviert.

Aufsicht. Ob ALBERT | AI ein Ergebnis als Vorschlag liefert oder selbst ausführt, legst du in deinen Abläufen fest. Richte sie so ein, dass ein Mensch prüft und freigibt, bevor ein Ergebnis Wirkung hat.

Modellwechsel. Du stellst das Modell je KI-Voreinstellung ein und wechselst es, ohne Daten zu migrieren. Das schafft Investitionssicherheit, wenn sich Recht oder Anbieter ändern. Ein Fallback-Modell eines anderen Anbieters fängt einen Ausfall ab. Welche Anbieter es gibt, zeigt der Beitrag Welche Anbieter bieten souveräne KI aus Europa?

Nachweise. Die Archivierung unterstützt die GoBD-konforme Ablage und wird regelmäßig von einem unabhängigen Wirtschaftsprüfer geprüft. Wie die Archivierung funktioniert, beschreibt der Beitrag Revisionssichere Archivierung mit ECM-Software.

Helle Milchglas-Trennwand in einem Büro mit einem leeren Holzstuhl davor KI-generiert · ALBERT | AI
Nur Platzhalter.

Wie hilft der KI-Handler PII bei personenbezogenen Daten?

Der KI-Handler PII schützt personenbezogene Daten, bevor eine Anfrage das Modell erreicht. Er arbeitet in zwei Schritten und lässt sich je KI-Voreinstellung zuweisen.

  1. Vor der Anfrage erkennt ein konfigurierbares KI-Preset Namen, Geburtsdaten, Adressen, private Telefonnummern und E-Mail-Adressen, IBAN, Kontonummern und Sozialversicherungsnummern und ersetzt sie durch Platzhalter.
  2. Das Modell arbeitet mit den Platzhaltern und sieht die erkannten Werte nicht.
  3. Nach der Antwort setzt der Handler die Originalwerte wieder ein, sodass der User einen lesbaren Text erhält.

Firmendaten wie Firmenname, Firmenadresse und geschäftliche Kontaktdaten filtert der Handler absichtlich nicht. Mit der Testfunktion in der Konfiguration probierst du die Filterung an einem Beispieltext aus. Der Handler ersetzt nicht die Prüfung, ob eine Verarbeitung zulässig ist, er verringert nur, was ein Modell zu sehen bekommt.

Der Handler hat Grenzen. Er filtert Text, in Bildern filtert er nichts. Er erkennt die Datentypen aus der Liste, Umschreibungen wie „der Leiter unserer Niederlassung“ erkennt er nicht. Das Erkennungs-Preset sollte selbst auf eigener Hardware laufen, sonst gehen die Daten zur Erkennung doch an einen Anbieter.

Nach unserer Einschätzung werden bei der Prüfung mit dem Datenschutzbeauftragten vier Punkte leicht übersehen. Das Protokoll enthält die ursprünglichen Anfragen, also auch die personenbezogenen Daten, und braucht eine Löschfrist. Die Zuordnung der Platzhalter zu den Originalwerten liegt in agorum core, auch dafür braucht es eine Frist. Spracheingaben sind personenbeziehbar, deshalb zählt, ob die Tonspur an einen eigenen oder an einen fremden Whisper-Server geht. Und was ein Agent ohne Freigabe tun darf, legst du fest, auch mit Blick auf eine präparierte E-Mail.

Was verlangt die KI-Verordnung von dir als Betreiber?

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten, ihre Pflichten gelten gestaffelt. Seit dem 2. Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz. Dein Team soll also verstehen, womit es arbeitet.

Weitere Pflichten hängen vom Einsatz ab. Für KI in bestimmten Bereichen gelten Anforderungen an Aufsicht und Dokumentation, für Systeme, die mit Menschen sprechen oder Inhalte erzeugen, gelten Transparenzpflichten. Die Fristen für die Pflichten bei Hochrisiko-Systemen wurden durch ein Änderungspaket verschoben. Maßgeblich ist der aktuelle Text im Amtsblatt, prüfe ihn vor einer Entscheidung. Eine Plattform wie agorum core pro hilft mit Rechtekontext, Protokoll und menschlicher Freigabe. Die Einstufung deines Einsatzes nimmst du selbst vor.

Was verlangt die DSGVO beim Einsatz von KI?

Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, auch durch KI. Du brauchst eine Rechtsgrundlage nach Artikel 6, setzt Datenschutz durch Technikgestaltung nach Artikel 25 um und schließt mit Dienstleistern, die in deinem Auftrag verarbeiten, einen Vertrag nach Artikel 28.

Für Anbieter außerhalb Europas gelten die Regeln für Übermittlungen in Drittländer in Kapitel V. Bei hohem Risiko für die Betroffenen kann eine Datenschutz-Folgenabschätzung nach Artikel 35 nötig sein. Mit einem Modell auf eigener Hardware oder einem europäischen Anbieter hältst du die Zahl der offenen Fragen klein. Die Auswahl der Anbieter zeigt der Beitrag Welche Anbieter bieten souveräne KI aus Europa?

Fazit

Keine KI-Plattform erfüllt DSGVO und KI-Verordnung für dich, sie erleichtert dir die Erfüllung. Prüfe sie an sieben Fragen zu Daten, Rechten, Personenbezug, Nachvollziehbarkeit, Aufsicht, Modellwechsel und Nachweisen. agorum core pro, die KI-Business-Plattform mit dem Fundament für datensouveräne KI, beantwortet sie mit Rechtekontext, dem KI-Handler PII, einem Protokoll, menschlicher Freigabe, wechselbaren Modellen und einer regelmäßig geprüften Archivierung. Damit hast du die Mittel, KI datenschutzkonform zu nutzen, weil du Standort, Modell und Datenfluss selbst festlegst. Die Einstufung deines Einsatzes bleibt bei dir und deiner Rechtsberatung.

agorum® Online-Demo Sieh dir an, wie du KI datenschutzkonform einsetzt

In der Online-Demo zeigen wir dir, wie der KI-Handler PII, der Rechtekontext und das Protokoll in ALBERT | AI zusammenspielen.

Online-Demo buchen

agorum® FAQ KI-Plattform, DSGVO und KI-Verordnung, häufige Fragen

Weiterlesen

Quellen

Bitmi