Künstliche Intelligenz verändert bereits die Recherche, die Textproduktion, die Dokumentenanalyse und die Organisation juristischer Arbeit. Doch sobald ein KI-Tool personenbezogene Daten verarbeitet, stellt sich eine zentrale Frage: Wie lassen sich die Produktivitätsgewinne nutzen, ohne den Datenschutz, die Vertraulichkeit und die Rechte der betroffenen Personen zu schwächen?
Für Unternehmen, Kanzleien und Rechtsabteilungen geht es dabei um mehr als die Wahl einer Software. Es gilt zu verstehen, welche Daten zu welchem Zweck verarbeitet werden, welche Sicherheitsgarantien bestehen, welche Rechte den betroffenen Personen zustehen und welche Verantwortung die Organisation trägt. Silex unterstützt Rechtsfachleute dabei, diese Anforderungen zu analysieren, ihre Recherchen zu strukturieren und überprüfbare Antworten zu erarbeiten – die juristische Entscheidung bleibt dabei stets in der Hand der Nutzerin oder des Nutzers.
Warum KI die Art der Compliance-Arbeit verändert
Ein KI-System kann an mehreren Stellen eingreifen: bei der Datenerhebung, beim Training eines Modells, bei der Dokumentenanalyse, bei der Generierung von Antworten, bei der Entscheidungsunterstützung, bei der Nutzerverfolgung oder bei der Automatisierung interner Aufgaben. Sobald eine Person direkt oder indirekt identifiziert werden kann, wird die DSGVO relevant.
Das betrifft generative Assistenten, HR-Tools, Chatbots, SaaS-Lösungen, interne Suchmaschinen, Scoring-Systeme oder Plattformen, die Kundendokumente analysieren. Künstliche Intelligenz schafft keinen Freiraum außerhalb der DSGVO. Im Gegenteil: Sie macht die Kontrolle über die Daten noch wichtiger, weil die Verarbeitungen undurchsichtig, dynamisch oder schwer erklärbar sein können.
Für Rechtsabteilungen bedeutet dies, KI als Governance-Thema zu behandeln – ebenso wie die KI-gestützte juristische Recherche.
DSGVO und AI Act: zwei Regelwerke, die zusammen gelesen werden müssen
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Der europäische AI Act reguliert dagegen KI-Systeme nach ihrem Risikoniveau. Die beiden Regelwerke ersetzen einander nicht: Sie überlagern sich, sobald eine KI personenbezogene Daten verarbeitet.
- DSGVO
- Hauptgegenstand: Schutz personenbezogener Daten und der Rechte der betroffenen Personen.
- Prüffrage: Verarbeitet das System personenbezogene Daten?
- AI Act
- Hauptgegenstand: Regulierung von KI-Systemen nach Risikostufen.
- Prüffrage: Ist das System verboten, hochriskant, transparenzpflichtig oder mit minimalem Risiko verbunden?
- Datenschutzbehörden
- Hauptgegenstand: Praktische Vorgaben, Kontrolle und Datenschutz-Folgenabschätzung.
- Prüffrage: Ist eine DSFA oder eine zusätzliche Massnahme erforderlich?
Der im August 2024 in Kraft getretene AI Act gilt gestaffelt: Seine Transparenzpflichten sind seit August 2026 anwendbar, während die strengsten Vorgaben für Hochrisikosysteme erst im Dezember 2027 in Kraft treten – beziehungsweise im August 2028 für Systeme, die in bereits regulierte Produkte integriert sind. Ein Unternehmen muss daher jedes KI-System zunächst in diesem Zeitplan verorten, bevor es endgültige Schlüsse zu seinen Pflichten zieht.
Die Europäische Kommission weist darauf hin, dass bestimmte Verstösse gegen den AI Act Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen können. Die DSGVO sieht ihrerseits Bussgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor.
Fragen, die vor dem Einsatz eines KI-Tools zu stellen sind
Vor der Einführung einer KI-Lösung sollte man von den tatsächlichen Anwendungsfällen ausgehen. Ein Unternehmen bewertet ein Tool, das öffentliche Inhalte umformuliert, anders als einen Assistenten, der Kundenverträge analysiert, ein HR-System oder eine Plattform, die interne Dokumente durchsuchen kann.
- Welche Daten werden verarbeitet? Personenbezogene Daten, sensible Daten, vertrauliche Dokumente, HR-Daten, Kundeninformationen oder Geschäftsgeheimnisse.
- Warum werden sie verarbeitet? Recherche, Zusammenfassung, Klassifizierung, Analyse, Entscheidungsunterstützung, Texterzeugung oder Prozessautomatisierung.
- Wo werden sie gehostet? In der Schweiz, in der Europäischen Union oder in einem Drittstaat, mit oder ohne Übermittlungsgarantien.
- Wer hat Zugriff? Interne Nutzer, der Anbieter, Subunternehmer, Support-Teams oder technische Dienstleister.
- Werden die Daten zum Training des Modells verwendet? Diese Frage muss in den vertraglichen und technischen Bedingungen klar geregelt sein.
- Ist das Ergebnis überprüfbar? Eine generierte Antwort muss kontrolliert werden können, insbesondere wenn sie eine juristische oder operative Entscheidung beeinflusst.
Für Rechtsabteilungen, die diese Fragen mit den Anwendungsfällen ihrer Fachbereiche verknüpfen möchten, beschreibt die Seite KI Unternehmen die typischen Einsatzbereiche interner Teams.
Die DSGVO-Grundsätze im Kontext künstlicher Intelligenz
Die Grundsätze der DSGVO bleiben unverändert, doch ihre Anwendung wird anspruchsvoller, wenn das Tool auf komplexen Modellen beruht. Ein KI-Projekt sollte daher von Beginn an dokumentiert werden – nicht erst bei der Inbetriebnahme.
- Zweckbindung: das Ziel der Verarbeitung genau festlegen und nicht vorgesehene Zweitverwendungen vermeiden.
- Rechtsgrundlage: die anwendbare Grundlage bestimmen: Vertrag, gesetzliche Pflicht, berechtigtes Interesse, Einwilligung oder eine andere im Recht vorgesehene Grundlage.
- Datenminimierung: die verwendeten Daten auf das wirklich Notwendige beschränken.
- Transparenz: den betroffenen Personen erklären, wie ihre Daten verwendet werden und welche Folgen dies haben kann.
- Sicherheit: die Daten durch geeignete technische und organisatorische Massnahmen schützen.
- Betroffenenrechte: Auskunft, Berichtigung, Widerspruch, Löschung und Anfechtung automatisierter Entscheidungen vorsehen.
- Datenschutz durch Technikgestaltung: Vertraulichkeits- und Sicherheitsanforderungen bereits bei der Konzeption des Projekts berücksichtigen.
Die Datenschutz-Folgenabschätzung: ein unverzichtbares Instrument für risikoreiche Projekte
Die Datenschutz-Folgenabschätzung, kurz DSFA, ermöglicht es, die Risiken einer Verarbeitung für die Rechte und Freiheiten der betroffenen Personen zu bewerten. Die französische Datenschutzbehörde CNIL weist darauf hin, dass sie verpflichtend ist, sobald eine Verarbeitung voraussichtlich ein hohes Risiko birgt. KI-Projekte können schnell in diese Kategorie fallen, insbesondere wenn sie Profiling, grosse Datenmengen, sensible Daten oder automatisierte Entscheidungen beinhalten.
Eine sinnvolle DSFA beschränkt sich nicht auf das Ausfüllen eines Formulars. Sie muss die Verarbeitung beschreiben, ihre Notwendigkeit begründen, die Risiken identifizieren, Minderungsmassnahmen vorsehen und eine laufende Überwachung organisieren. Bleibt das Restrisiko hoch, kann eine vorherige Konsultation der zuständigen Behörde erforderlich sein.
Generative KI: der heikle Punkt vertraulicher Daten
Generative KI birgt besondere Risiken: Halluzinationen, fehlende Nachvollziehbarkeit, Wiederverwendung von Prompts, Offenlegung vertraulicher Dokumente, Preisgabe sensibler Informationen oder Schwierigkeiten beim Löschen bestimmter Daten. In einer Organisation betreffen diese Risiken nicht nur die Datenschutzrichtlinie. Sie berühren die Governance, die Lieferantenverträge, die internen Regeln und die Schulung der Teams.
Rechtsabteilungen müssen daher festlegen, welche Daten verwendet werden dürfen, welche ausgeschlossen bleiben, welche Tools zugelassen sind und welche Ergebnisse von einer Fachperson geprüft werden müssen. Diese Disziplin ist in regulierten Branchen oder bei Dokumenten mit Kunden-, HR-, medizinischen, finanziellen oder strategischen Daten noch wichtiger.
Die Seite Silex Sicherheit erläutert den Ansatz von Silex: Schweizer Hosting, Vertraulichkeit, Verschlüsselung, kein Training mit Kundendaten und eine auf Rechtsfachleute zugeschnittene Infrastruktur.
Eine wirklich nützliche KI-Governance aufbauen
Compliance sollte nicht als nachträgliche Formalität verstanden werden. Sie soll dem Unternehmen helfen zu wissen, welche Tools es einsetzt, welche Risiken es akzeptiert und welche Regeln es seinen Teams auferlegt.
- Tools erfassen: offizielle Lösungen, fachliche Anwendungsfälle, punktuelle Tests, Erweiterungen und integrierte Assistenten.
- Anwendungsfälle einordnen: Recherche, Textproduktion, Dokumentenanalyse, Entscheidung, HR, Kundensupport oder Compliance.
- Anbieter vertraglich einbinden: Hosting, Subunternehmer, Sicherheit, Audit, Reversibilität und Verzicht auf Training mit den anvertrauten Daten.
- Interne Regeln festlegen: verbotene Daten, zugelassene Tools, menschliche Validierung, Aufbewahrung und Vorfallverfahren.
- Teams schulen: Vertraulichkeit, Grenzen der Modelle, Halluzinationen, Ergebnisprüfung und bewährte Prompt-Praktiken.
- Entscheidungen dokumentieren: Verzeichnis, DSFA, Risikoanalysen, Tests, Abwägungen und Transparenznachweise.
Rechtsteams können sich auf die juristische Analyse stützen, um Anforderungen zu vergleichen, einen internen Vermerk vorzubereiten, die Klauseln eines Anbieters zu prüfen oder ein KI-Projekt einzugrenzen.
Wie Silex Rechtsfachleuten hilft
Silex hilft Juristinnen, Juristen, Anwälten und Rechtsabteilungen, schneller mit Gesetzestexten, Empfehlungen, Lieferantenverträgen, internen Richtlinien und Compliance-Dokumenten zu arbeiten. Die Plattform ersetzt nicht die juristische Analyse: Sie erleichtert die Recherche, die Strukturierung der Quellen und die Vorbereitung einer überprüfbaren Arbeitsgrundlage.
Um die Funktionen kennenzulernen, besuchen Sie die Seite Silex Produkt. Um das Tool anhand eines Anwendungsfalls zu DSGVO, AI Act oder Daten-Governance zu testen, können Sie eine Demo buchen.
Wer zwischen einem allgemeinen Tool und einer spezialisierten juristischen Plattform zögert, findet im Vergleich ChatGPT vs Silex, warum Quellen, Methode und Sicherheit ebenso wichtig sind wie eine flüssige Antwort.
FAQ: KI, DSGVO und Datenschutz
Gilt die DSGVO für alle KI-Tools?
Die DSGVO gilt, sobald ein KI-Tool personenbezogene Daten verarbeitet. Kann keine Person direkt oder indirekt identifiziert werden, findet die DSGVO möglicherweise keine Anwendung – andere Pflichten, insbesondere aus dem AI Act, können jedoch weiterhin relevant sein.
Worin unterscheiden sich DSGVO und AI Act?
Die DSGVO schützt personenbezogene Daten und die Rechte der betroffenen Personen. Der AI Act reguliert KI-Systeme nach ihrem Risikoniveau. In vielen Projekten müssen beide Regelwerke gemeinsam angewendet werden.
Ist eine DSFA für ein KI-Projekt erforderlich?
Sie ist erforderlich, wenn die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Das ist häufig bei Profiling, sensiblen Daten, gross angelegter Verarbeitung oder automatisierten Entscheidungen der Fall.
Dürfen vertrauliche Dokumente in eine allgemeine KI eingegeben werden?
Das sollte vermieden werden, ausser die Umgebung ist vertraglich und technisch kontrolliert. Juristische, HR-, Finanz- oder Kundendokumente können personenbezogene Daten, Geschäftsgeheimnisse oder vertraulichkeitspflichtige Informationen enthalten.
Ist Silex für Themen rund um KI, DSGVO und Compliance geeignet?
Ja. Silex unterstützt Rechtsfachleute bei der Recherche, Analyse und Strukturierung von Antworten zu Gesetzestexten, Quellen, Verträgen und Compliance-Dokumenten – in einer auf juristische Anforderungen ausgerichteten Umgebung.
