DSGVO und generative KI: Was Ihre Kanzlei tun darf (und was nicht)
Die drei Voraussetzungen für den Einsatz generativer KI ohne Verstoß gegen die DSGVO oder das Berufsgeheimnis: keine Nutzung Ihrer Daten zum Training, Daten in der EU und ein Vertrag zur Datenverarbeitung. Plus Pseudonymisierung.
Das Problem
Vertrauliche Dokumente in eine öffentliche KI-Cloud hochzuladen bedeutet, sie an einen Dritten weiterzugeben — häufig außerhalb der EU — mit dem Risiko, dass sie gespeichert oder zum Training des Modells verwendet werden. Für eine Kanzlei oder ein reguliertes Unternehmen ist das sowohl ein DSGVO-Problem als auch ein Problem des Berufsgeheimnisses.
Die drei Voraussetzungen
Damit der Einsatz generativer KI mit der DSGVO und der Vertraulichkeit vereinbar ist, braucht es drei Dinge:
- Kein Training mit Ihren Daten: Sie werden niemals zum Training des Modells verwendet.
- Daten in der EU: Verarbeitung und Speicherung innerhalb der Union.
- Ein unterzeichneter Vertrag zur Datenverarbeitung (Auftragsverarbeitungsvertrag) mit dem Anbieter, der Rollen und Garantien festlegt.
Eine Lösung, die auf Ihren eigenen Servern läuft (in Ihren Räumen oder auf einem dedizierten EU-Server), erfüllt alle drei Voraussetzungen von Anfang an.
Pseudonymisierung
Die DSGVO (Art. 4 Nr. 5 und Art. 32) erkennt die Pseudonymisierung als Sicherheitsmaßnahme an: Namen, Steuernummern und IBANs werden durch Platzhalter ersetzt, bevor das Modell sie überhaupt zu sehen bekommt. Beachten Sie die Grenzen: Sie reduziert das Risiko, ist aber keine Anonymisierung und schützt nicht den Inhalt (eine Verteidigungsstrategie bleibt lesbar). Dafür braucht es Ihren eigenen, privaten Bereich: Die Daten verlassen ihn nie, nichts wird aufgezeichnet, niemand kann sie einsehen.
Wohin sich die Regulierung entwickelt
In Italien hat das Gesetz 132/2025 die KI gesetzlich verankert, im Einklang mit dem EU AI Act. Über die europäische Verordnung hinaus bringt es nur wenige neue Pflichten, weist aber die Richtung: Die eigenen Daten unter eigener Kontrolle zu behalten, ist die umsichtige Haltung.
Das Fazit
Sie können generative KI rechtskonform einsetzen — vorausgesetzt, Sie wählen eine Lösung, bei der Ihre Daten das Haus niemals verlassen. Wenn Sie wissen möchten, was in Ihrem Fall möglich ist, starten Sie mit 3 Stunden.
Informativer Leitfaden, keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich bitte an eine auf Datenschutzrecht spezialisierte Anwältin oder einen spezialisierten Anwalt.