Wie Sie sicherstellen, dass die KI-Tools Ihres Unternehmens DSGVO-konform sind
Die meisten Unternehmen betrachten DSGVO und KI als reine Lieferantenbewertung. Sie prüfen, ob die KI-Plattform eine Vereinbarung zur Auftragsverarbeitung (DPA) bietet. Sie bestätigen, dass Datenübertragungen durch Standardvertragsklauseln abgedeckt sind. Sie erledigen die Formalitäten und machen weiter.
Dieser Ansatz erfüllt eine Beschaffungsliste, genügt aber keiner Aufsichtsbehörde.
Die DSGVO regelt, wie Unternehmen personenbezogene Daten verarbeiten – nicht, wie Anbieter diese speichern. Greift, verarbeitet oder nutzt ein KI-Agent personenbezogene Daten von EU-Bürgern, trägt Ihr Unternehmen als Verantwortlicher die Compliance-Pflicht. Die DPA Ihres Anbieters regelt nicht, was Ihr Agent mit den Daten macht, sobald er Zugriff hat. Keine Anbieterzertifizierung ersetzt den auf Betriebsebene geführten Audit-Trail, wie ihn Artikel 30 verlangt.
Dieser Leitfaden erklärt, was die DSGVO tatsächlich für KI-Einsätze fordert, wo die meisten Unternehmen scheitern und wie Sie eine Governance-Infrastruktur aufbauen, die echte Compliance nachweist – nicht nur Dokumentation.
Executive Summary
Kernaussage: Die DSGVO-Pflichten gelten uneingeschränkt für KI-Tools, die EU-Personendaten verarbeiten – aber die meisten Anbieterzertifizierungen beantworten die falsche Frage. Ihr Unternehmen trägt als Verantwortlicher die Verantwortung dafür, wie personenbezogene Daten von jedem eingesetzten KI-Agenten abgerufen, verarbeitet und geschützt werden.
Warum das relevant ist: EU-Aufsichtsbehörden setzen die DSGVO aktiv gegen KI-Einsätze in den Mitgliedsstaaten durch. Die Frage ist nicht, ob Ihre KI-Tools als Produkte DSGVO-konform sind. Entscheidend ist, ob Ihr Unternehmen für jede KI-Interaktion mit personenbezogenen Daten eine konforme Datenverarbeitung nachweisen – und diesen Nachweis auf Anfrage liefern – kann.
wichtige Erkenntnisse
- Ihr Unternehmen trägt als Verantwortlicher die DSGVO-Verantwortung für KI-gesteuerte Datenverarbeitung – eine DPA und Modellzertifizierungen sind notwendig, aber nicht ausreichend.
- Datenminimierung, Zweckbindung und Datenschutz durch Technikgestaltung müssen auf Betriebsebene durchgesetzt werden, nicht nur in Richtlinien oder Beschaffungsverträgen festgelegt sein.
- Artikel-30-Compliance für KI verlangt manipulationssichere Aufzeichnungen jeder Agenteninteraktion mit personenbezogenen Daten, nicht nur Sitzungsprotokolle.
- Kontrollen auf Modellebene – Systemprompts, Sicherheitsfilter, Datenschutzeinstellungen des Anbieters – sind keine DSGVO-sicheren technischen Maßnahmen im Sinne von Artikel 32.
- DSGVO-konforme KI ist erreichbar, ohne die Einführung zu verlangsamen. Unternehmen, die die Datenebene steuern, skalieren KI-Initiativen mit bereits vorhandener Evidenz-Infrastruktur.
Was die DSGVO tatsächlich für KI-Einsätze verlangt
Die DSGVO enthält keine Ausnahme für KI. Jeder Artikel, der regelt, wie Ihr Unternehmen personenbezogene Daten verarbeitet, gilt gleichermaßen für KI-Agenten, die diese Verarbeitung übernehmen. Die Pflichten ändern sich nicht, weil der Zugriff automatisiert statt durch Menschen erfolgt – und Aufsichtsbehörden haben dies in Leitlinien in mehreren EU-Staaten explizit klargestellt.
Fünf Artikel sind für KI-Einsätze besonders relevant:
Artikel 5 – Datenminimierung und Zweckbindung. Personenbezogene Daten dürfen nur für festgelegte, eindeutige Zwecke verarbeitet und auf das dafür notwendige Maß beschränkt werden. Für KI-Agenten bedeutet das: Zugriff nur auf die personenbezogenen Daten, die für eine klar definierte Aufgabe erforderlich sind. Ein Agent, der eine Kundenkommunikation entwerfen soll, darf nicht auf die gesamte Transaktionshistorie oder das Verhaltensprofil des Kunden zugreifen. Ohne Zugriffskontrollen auf Betriebsebene bleibt Zweckbindung ein Wunsch, aber keine technische Realität.
Artikel 22 – Automatisierte Entscheidungen und Profiling. Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Auswirkungen haben, erfordern eine rechtmäßige Grundlage, Transparenzpflichten und in den meisten Fällen die Möglichkeit für Betroffene, eine menschliche Überprüfung zu verlangen. KI-Agenten, die Bonitätsprüfungen, Bewerberauswahl oder medizinische Triage durchführen, fallen klar unter Artikel 22. Unternehmen müssen die verwendete Logik, die Datenbasis und den Mechanismus der menschlichen Kontrolle dokumentieren.
Artikel 25 – Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Datenschutz muss vor dem Einsatz in die Systemarchitektur eingebettet sein, nicht erst nach einer Beschwerde oder Anfrage nachgerüstet werden. Für KI-Tools heißt das: Governance-Kontrollen – Zugriffsbeschränkungen, Verschlüsselung, Audit-Logging – müssen von Anfang an auf der Datenzugriffsebene implementiert sein. Ein Systemprompt, der ein Modell zu sorgfältigem Umgang mit Daten auffordert, ist kein Datenschutz durch Technikgestaltung.
Artikel 32 – Sicherheit der Verarbeitung. Angemessene technische Maßnahmen müssen personenbezogene Daten schützen, die von KI-Systemen verarbeitet werden. Maßgeblich sind risikoadäquate Maßnahmen – nicht bloß bestmögliche Bemühungen. Für KI-Agenten, die sensible personenbezogene Daten verarbeiten, akzeptieren Aufsichtsbehörden in Hochrisikokontexten FIPS 140-3 Level 1-validierte Verschlüsselung während der Übertragung und im ruhenden Zustand.
Artikel 30 – Verzeichnis von Verarbeitungstätigkeiten. Unternehmen müssen Aufzeichnungen aller Verarbeitungstätigkeiten führen, einschließlich Zweck, Datenkategorien und Empfänger. Für KI-Agenten bedeutet das: Ein dokumentierter, nachvollziehbarer Nachweis jeder Interaktion mit personenbezogenen Daten – welcher Agent hatte wann, mit welcher Berechtigung, zu welchem Zweck Zugriff auf welche Daten. Die meisten Unternehmen können diesen Nachweis für KI-gesteuerte Interaktionen nicht erbringen.
| Artikel | Anforderung | Bedeutung für KI-Agenten | Erforderlicher Nachweis |
|---|---|---|---|
| Artikel 5 | Datenminimierung und Zweckbindung | Agenten greifen nur auf personenbezogene Daten zu, die für eine klar definierte, dokumentierte Aufgabe notwendig sind | Zugriffskontrollaufzeichnungen auf Betriebsebene; Zweckdokumentation |
| Artikel 22 | Automatisierte Entscheidungen | Wesentliche automatisierte Entscheidungen erfordern Rechtsgrundlage, Transparenz und menschlichen Kontrollmechanismus | Dokumentation der Entscheidungslogik; Nachweise der menschlichen Überprüfung |
| Artikel 25 | Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen | Governance-Kontrollen sind vor dem Einsatz in die KI-Architektur eingebettet | Architekturdokumentation mit Nachweis des Datenschutzes durch Technikgestaltung |
| Artikel 32 | Sicherheit der Verarbeitung | Validierte Verschlüsselung und Zugriffskontrollen für KI-Agenten-Zugriffe auf Daten | Zertifikat zur Verschlüsselungsvalidierung; Zugriffskontrollaufzeichnungen |
| Artikel 30 | Verzeichnis der Verarbeitung | Manipulationssicheres Protokoll jeder Agenteninteraktion mit personenbezogenen Daten | Unveränderliches Audit-Log mit Agentenidentität, abgerufenen Daten, Zweck und Zeitstempel |
Wo die meisten Unternehmen scheitern
Die Lücke zwischen DSGVO-Governance auf dem Papier und tatsächlicher DSGVO-Compliance bei KI-Einsätzen ist groß – und betrifft immer wieder dieselben vier Bereiche.
Die DPA-Lücke. Eine Vereinbarung zur Auftragsverarbeitung regelt, dass Ihr KI-Anbieter Daten DSGVO-konform verarbeitet. Sie kontrolliert aber nicht, auf welche Daten Ihre KI-Agenten innerhalb Ihrer Umgebung zugreifen, wie weitreichend dieser Zugriff ist oder ob diese Interaktionen protokolliert werden. Die DPA regelt das Verhalten des Anbieters – nicht das Ihrer Agenten mit den abgerufenen Daten. Standardvertragsklauseln betreffen die Rechtmäßigkeit des Datentransfers, aber nicht Datenminimierung, Zugriffskontrolle oder Audit-Trail-Pflichten für KI-Verarbeitungsvorgänge.
Die Modellzertifizierungs-Lücke. Eine SOC-2- oder ISO-27001-Zertifizierung einer KI-Plattform belegt die interne Sicherheitslage des Anbieters. Sie belegt nicht die technischen Maßnahmen Ihres Unternehmens gemäß Artikel 32, Ihre Datenminimierung nach Artikel 5 oder Ihre Verarbeitungsnachweise nach Artikel 30. Diese Pflichten liegen bei Ihnen als Verantwortlichem. Keine Anbieterzertifizierung erfüllt diese Anforderungen für Sie.
Die Zweckbindungs-Lücke. KI-Agenten greifen auf alle Daten zu, die sie erreichen können, sofern sie nicht explizit daran gehindert werden. Ohne ABAC-Durchsetzung auf Betriebsebene kann ein Agent mit einem eng definierten, legitimen Zweck auf personenbezogene Daten weit über diesen Zweck hinaus zugreifen – ein gleichzeitiger Verstoß gegen Artikel 5 und 25. Da dieser Übergriff oft ohne Audit-Trail unsichtbar bleibt, erkennen Unternehmen die Datenexponierung häufig erst, wenn eine Aufsichtsbehörde eine Rekonstruktion verlangt.
Die Audit-Trail-Lücke. Artikel 30 verlangt Aufzeichnungen der Verarbeitungstätigkeiten. Für KI-gesteuerte Verarbeitung bedeutet das: Dokumentierter, nachvollziehbarer Nachweis jeder Agenteninteraktion mit personenbezogenen Daten: welcher Agent, welche Daten, welche Berechtigung, welcher Zweck, wann. Die meisten Unternehmen verlassen sich auf Sitzungsprotokolle, die Agentenaktionen nicht dem menschlichen Autorisierer zuordnen können – genau diese Zuordnung wird ein DSB oder eine Aufsichtsbehörde verlangen.
| Frage des Auditors | Erforderlich | Typische Lücke |
|---|---|---|
| Auf welche personenbezogenen Daten haben Ihre KI-Agenten in den letzten 90 Tagen zugegriffen? | Betriebsebene-Log mit Datenfeldern, Agentenidentität und Zeitstempel | Nur Sitzungsprotokolle; keine Zuordnung auf Betriebsebene |
| Was war die Rechtsgrundlage und der dokumentierte Zweck für jede KI-Verarbeitung? | Zweckdokumentation, die jeder Verarbeitung zugeordnet ist | Allgemeine Datenschutzerklärung; keine zweckbezogenen Einzelaufzeichnungen |
| Wie erzwingen Sie Datenminimierung für KI-Agenten auf Betriebsebene? | Zugriffskontrollaufzeichnungen, die Einschränkungen auf Betriebsebene nachweisen | Ordner- oder Systemberechtigungen; keine Kontrolle auf Betriebsebene |
| Welche technischen Maßnahmen schützen personenbezogene Daten, die von Ihren KI-Systemen verarbeitet werden? | Nachweis der Verschlüsselungsvalidierung und Zugriffskontrolle speziell für KI-Datenzugriffe | Anbieterzertifikate werden anstelle unternehmensspezifischer Nachweise vorgelegt |
| Wer hat jeden KI-Agenten-Workflow mit personenbezogenen Daten autorisiert? | Menschlicher Autorisierer, der jeder Agentenaktion im manipulationssicheren Log zugeordnet ist | Keine Delegationskette; Agentenaktionen keinem Entscheider zugeordnet |
Ein Framework für DSGVO-konforme KI
DSGVO-Compliance für KI ist ein Problem auf der Datenebene, nicht auf der Modellebene. Die vier Governance-Anforderungen, die die Kernpflichten der DSGVO für KI-Einsätze erfüllen, entsprechen dem Framework, das konforme KI auch in HIPAA-, CMMC– und anderen regulierten Umgebungen steuert – denn Aufsichtsbehörden regulieren Daten, nicht Modelle.
1. Rechtsgrundlage schaffen und Zweck vor dem Einsatz dokumentieren. Jeder KI-Use Case mit personenbezogenen Daten braucht eine dokumentierte Rechtsgrundlage nach Artikel 6 und einen spezifischen, begrenzten Zweck nach Artikel 5. Diese Dokumentation ist kein Anhang zur Datenschutzerklärung – sie ist die Basis Ihrer Artikel-30-Aufzeichnungen und muss vor dem Zugriff des Agenten auf personenbezogene Daten existieren. Für KI-Verarbeitung mit hohem Risiko ist eine DSFA verpflichtend und für alle Einsätze mit sensiblen Datenkategorien nach Artikel 9 dringend zu empfehlen.
2. Datenminimierung auf Betriebsebene technisch durchsetzen. Die Datenminimierung nach Artikel 5 muss technisch durchgesetzt werden, nicht nur in Richtlinien stehen. ABAC-Policy auf Betriebsebene stellt sicher, dass ein KI-Agent mit Leserechten für einen Datensatz keine Daten herunterladen, exportieren oder über seinen Zweck hinaus nutzen kann. Ordnerberechtigungen reichen nicht – ein Agent mit Leserechten auf einen Ordner mit Tausenden Datensätzen kann auf alle zugreifen, unabhängig davon, wie viele für seine Aufgabe nötig sind.
3. Validierte Verschlüsselung und Datenschutz durch Technikgestaltung anwenden. Artikel 25 und 32 verlangen Datenschutz in der Systemarchitektur und technische Maßnahmen, die dem Risiko angemessen sind. Für KI-Agenten, die personenbezogene Daten verarbeiten, erfüllt FIPS 140-3 Level 1-validierte Verschlüsselung während der Übertragung und im ruhenden Zustand die Anforderungen in Hochrisikokontexten. Vom Kunden kontrollierte Verschlüsselungsschlüssel bieten zusätzliche Datensouveränität – so kann der Plattformanbieter ohne ausdrückliche Autorisierung des Unternehmens nicht auf personenbezogene Daten zugreifen.
4. Manipulationssichere Aufzeichnungen jeder KI-Dateninteraktion führen. Artikel-30-Compliance verlangt ein unveränderliches Audit-Log jeder Agenteninteraktion mit personenbezogenen Daten – welcher Agent, welche Daten, welche Berechtigung, welcher Zweck, wann – mit lückenloser Delegationskette, sodass jede Aktion einer autorisierenden Person zugeordnet werden kann. Dieses Evidenzpaket macht aus einer Aufsichtsprüfung einen Bericht statt einer Untersuchung.
Die vollständige Checkliste für DSGVO-Compliance
Jetzt lesen
KI-Anbieter auf DSGVO-Compliance prüfen
Die Bewertung von Anbietern auf DSGVO-Compliance muss weit über die DPA-Prüfung hinausgehen. Entscheidend sind nicht die Sicherheitsmaßnahmen des Anbieters – sondern ob der Einsatz seines Tools Ihr Unternehmen in die Lage versetzt, die eigenen Compliance-Pflichten nachzuweisen.
Bei der DPA sollten Sie prüfen, ob die Offenlegung von Unterauftragsverarbeitern vollständig ist, die Mechanismen für Datenübertragungen rechtlich gültig sind (Standardvertragsklauseln oder geltende Angemessenheitsbeschlüsse) und die Regelungen zu Datenspeicherung und -löschung spezifisch genug, um die Speicherbegrenzung nach Artikel 5(1)(e) zu erfüllen.
Über die DPA hinaus sind folgende Fragen entscheidend für Ihre tatsächliche Compliance:
- Können Sie für jede KI-Agenteninteraktion mit personenbezogenen Daten in Ihrer Umgebung ein Zugriffprotokoll auf Betriebsebene vorlegen, das einem bestimmten Agenten und menschlichen Autorisierer zugeordnet ist?
- Wie wird Datenminimierung auf Betriebsebene durchgesetzt – nicht nur auf System- oder Ordnerebene?
- Welcher Verschlüsselungsstandard gilt für personenbezogene Daten, die KI-Agenten während der Übertragung und im ruhenden Zustand abrufen, und können Sie ein Validierungszertifikat vorlegen?
- Wie werden automatisierte Entscheidungen mit personenbezogenen Daten dokumentiert und welcher Mechanismus zur menschlichen Überprüfung besteht für Zwecke des Artikels 22?
- Wo befinden sich personenbezogene Daten, die von KI-Agenten verarbeitet werden, und wie wird die Compliance zur Datensouveränität über verschiedene Rechtsräume hinweg sichergestellt?
Der entscheidende Unterschied: Ein DSGVO-konformer KI-Anbieter ist ein Unternehmen, das seine eigenen Prozesse rechtskonform gestaltet. Ein DSGVO-konformer KI-Einsatz ist eine Datenverarbeitung, die Ihr Unternehmen gegenüber einer Aufsichtsbehörde verteidigen kann. Nur Letzteres ist Ihre Verantwortung – und nur Governance auf Datenebene in Ihrer eigenen Umgebung liefert die dafür nötigen Nachweise.
So sieht DSGVO-konforme KI in der Praxis aus
Die praktischen Auswirkungen von DSGVO-konformer KI unterscheiden sich je nach Rolle – aber die zentrale Anforderung ist identisch: Jede KI-Agenteninteraktion mit personenbezogenen Daten muss vorab gesteuert, protokolliert und nachweisbar sein – nicht erst im Nachhinein rekonstruiert werden.
Für den DSB und das Compliance-Team bedeutet DSGVO-konforme KI, auf eine Anfrage der Aufsichtsbehörde mit einem Evidenzpaket innerhalb weniger Stunden zu reagieren. Jede Agenteninteraktion mit personenbezogenen Daten ist bereits dokumentiert, einem menschlichen Autorisierer zugeordnet und für Zwecke des Artikels 30 strukturiert. Betroffenenanfragen zu KI-verarbeiteten Daten können beantwortet werden, weil der Verarbeitungsnachweis bereits vorliegt.
Für den CISO gilt die Anforderung technischer Maßnahmen nach Artikel 32 für KI-Systeme mit derselben Strenge wie für jede andere Verarbeitungsumgebung. Datenschutz bei KI bedeutet Verschlüsselung, Zugriffskontrollen und Audit-Logs für Agenten-Zugriffe – nicht nur für das Netzwerk, in dem die Agenten laufen.
Für den CIO bedeutet die Anforderung des Datenschutzes durch Technikgestaltung nach Artikel 25, dass Governance bereits vor dem Einsatz in die KI-Architektur eingebettet sein muss. KI-Projekte, die von Anfang an Governance auf Datenebene integrieren, kommen schneller voran: Es gibt keine Compliance-Prüfung für jeden neuen Einsatz, weil die Kontrollen bereits kontinuierlich greifen.
Das Organisationsprinzip: DSGVO-konforme KI ist kein Hindernis für Innovation. Unternehmen, die KI-Datengovernance in ihre Datenarchitektur integrieren, skalieren KI-Initiativen, ohne mit jedem neuen Agenten regulatorisches Risiko aufzubauen.
Kiteworks Compliant AI: Entwickelt für DSGVO-regulierte Umgebungen
DSGVO-Compliance für KI ist keine Frage der Anbieterzertifizierung – sondern der Datengovernance. Die meisten KI-Tools lassen Ihr Unternehmen ohne die technische Infrastruktur zurück, um diese Frage zu beantworten.
Kiteworks Compliant AI arbeitet innerhalb des Private Data Network und steuert jede KI-Agenteninteraktion mit personenbezogenen Daten, bevor sie stattfindet: Authentifizierung der Agentenidentität und Zuordnung zu einem menschlichen Autorisierer, ABAC-Policy-Durchsetzung auf Betriebsebene zur Erfüllung von Artikel 5 und 25, FIPS 140-3 Level 1-validierte Verschlüsselung während der Übertragung und im ruhenden Zustand gemäß Artikel 32 sowie ein manipulationssicherer Audit-Trail jeder Interaktion zur Erfüllung von Artikel 30.
Vom Kunden kontrollierte Verschlüsselungsschlüssel sichern Datensouveränität über verschiedene Rechtsräume hinweg. Wenn eine Aufsichtsbehörde fragt, wie Ihr Unternehmen KI-Zugriffe auf personenbezogene Daten steuert, liefern Sie ein strukturiertes Evidenzpaket – keine Untersuchung.
Kontaktieren Sie uns, um zu erfahren, wie Kiteworks DSGVO-konforme KI-Einsätze ermöglicht.
Häufig gestellte Fragen
Die DSGVO verlangt, dass KI-gesteuerte Verarbeitung von EU-Personendaten eine dokumentierte Rechtsgrundlage hat, auf das Minimum an Daten für einen definierten Zweck beschränkt ist, durch angemessene technische Maßnahmen wie Verschlüsselung und Zugriffskontrollen geschützt wird und in Verarbeitungsprotokollen dokumentiert ist. In der Praxis: dokumentierter Zweck pro Use Case, technische Durchsetzung der Datenminimierung auf Betriebsebene, validierte Verschlüsselung und ein manipulationssicheres Audit-Log, das jede Agenteninteraktion einem autorisierten menschlichen Entscheider zuordnet.
Nach der DSGVO ist Ihr Unternehmen als Verantwortlicher zuständig. Der KI-Anbieter ist Auftragsverarbeiter, dessen Pflichten durch die Vereinbarung zur Auftragsverarbeitung (DPA) definiert sind. Aber die Pflichten des Verantwortlichen nach Artikel 5, 25, 30 und 32 – Datenminimierung, Datenschutz durch Technikgestaltung, Verzeichnis der Verarbeitung und technische Sicherheitsmaßnahmen – können nicht an den Auftragsverarbeiter delegiert werden. Die DPA regelt das Verhalten des Anbieters, aber nicht, wie Ihre KI-Agenten auf Daten in Ihrer Umgebung zugreifen und diese verarbeiten.
Artikel 22 gilt für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Auswirkungen auf Personen haben. Nicht jede KI-Ausgabe fällt darunter – das Zusammenfassen eines Dokuments zum Beispiel nicht. Aber KI-Agenten, die Bonitätsprüfungen, Versicherungstarifierung, Bewerberauswahl oder medizinische Triage durchführen, fallen wahrscheinlich in den Anwendungsbereich. Wo Artikel 22 gilt, müssen Unternehmen eine Rechtsgrundlage, Transparenz über die verwendete Logik und einen Mechanismus zur menschlichen Überprüfung bieten. Eine DSFA wird empfohlen, wenn der Anwendungsbereich von Artikel 22 unklar ist.
Ein DSGVO-konformer KI-Anbieter betreibt seine eigenen Systeme rechtskonform – er hat eine DPA, regelt Übertragungen korrekt und hält seine Sicherheitslage aufrecht. Ein DSGVO-konformer KI-Einsatz ist eine Datenverarbeitung, die Ihr Unternehmen gegenüber einer Aufsichtsbehörde verteidigen kann: dokumentierte Rechtsgrundlage, Datenminimierung auf Betriebsebene, FIPS 140-3 Level 1-validierte Verschlüsselung und ein manipulationssicherer Audit-Trail für jede Agenteninteraktion. Die Compliance des Anbieters liefert diesen Nachweis nicht. Nur Governance auf Datenebene in Ihrer eigenen Umgebung tut das.
Artikel-30-Aufzeichnungen müssen Zweck der Verarbeitung, Datenkategorien, Empfänger und Aufbewahrungsfristen abdecken. Für KI-Agenten erfordert das ein Audit-Log auf Betriebsebene – keine Sitzungsprotokolle –, das dokumentiert, welcher Agent auf welche Daten, mit welcher Autorisierung, zu welchem dokumentierten Zweck und wann zugegriffen hat, mit durchgehender Delegationskette. Sitzungsprotokolle, die Agentenaktionen nicht menschlichen Autorisierern zuordnen können, erfüllen Artikel 30 nicht. KI-Datengovernance-Infrastruktur, die Policy auf Datenebene durchsetzt und Logs auf Betriebsebene erfasst, liefert diesen Nachweis kontinuierlich.
Weitere Ressourcen
- Blog Post
Zero‑Trust-Strategien für kosteneffizienten KI-Datenschutz - Blog Post
Wie 77 % der Unternehmen bei KI-Datensicherheit scheitern - eBook
KI-Governance-Gap: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen - Blog Post
Für Ihre Daten gibt es kein „–dangerously-skip-permissions“ - Blog Post
Aufsichtsbehörden fragen nicht mehr, ob Sie eine KI-Policy haben. Sie wollen den Nachweis, dass sie funktioniert.