KI-Werkzeuge prüfen

Die Frage, ob ein Werkzeug „DSGVO-konform” sei, lässt sich nicht beantworten – konform ist nicht das Produkt, sondern höchstens sein Einsatz in einem bestimmten Zusammenhang. Um KI-Werkzeuge zu prüfen, brauchen Sie deshalb keine Bewertung des Anbieters, sondern eine Liste von Fragen, die Sie bei jedem Werkzeug gleich stellen.

Die zehn Fragen

1. Welche Produktvariante? Das ist die wichtigste Frage, und sie entscheidet die meisten anderen mit. Zwischen einem kostenlosen Zugang mit privater Anmeldung und einem Unternehmensvertrag liegen Welten, obwohl die Oberfläche identisch aussieht. Prüfen Sie, welche Variante tatsächlich im Einsatz ist – nicht, welche der Anbieter bewirbt.

2. Gibt es einen Auftragsverarbeitungsvertrag? Verfügbar, abgeschlossen, archiviert – drei verschiedene Zustände. Siehe AVV.

3. Werden Eingaben zum Training verwendet? Bei Unternehmensangeboten regelmäßig ausgeschlossen, bei Privatzugängen regelmäßig nicht. Lassen Sie sich die Aussage schriftlich geben; Angaben in Hilfeseiten ändern sich ohne Ankündigung.

4. Wie lange werden Eingaben gespeichert? Und lässt sich die Frist beeinflussen? Eine Aufbewahrung „zur Missbrauchskontrolle” über Wochen ist üblich und muss in Ihre Bewertung.

5. Wo wird verarbeitet, und wer sind die Unterauftragnehmer? Daraus folgt die Frage der Drittlandübermittlung. „Server in Europa” ist keine Antwort, solange Support und Modellbetrieb anderswo stattfinden.

6. Lassen sich Daten löschen? Auf Verlangen einer betroffenen Person müssen Sie das durchsetzen können. Wenn der Anbieter das nicht ermöglicht, ist die Verarbeitung nicht beherrscht.

7. Was wird protokolliert – und wer sieht es? Bei Werkzeugen, die Beschäftigte nutzen, sind Nutzungsprotokolle Verhaltensdaten. Das berührt den Beschäftigtendatenschutz und die Mitbestimmung.

8. Welche Rolle nehmen Sie ein? Betreiber oder Anbieter im Sinne der KI-Verordnung – und in welche Risikoklasse fällt der Einsatz? Siehe KI-Glossar.

9. Ist eine Kennzeichnung erforderlich? Bei Inhalten, die nach außen gehen, greifen die Transparenzpflichten.

10. Wie kommen Sie wieder heraus? Datenexport, Kündigungsfristen, Löschung nach Vertragsende. Diese Frage wird bei der Einführung nie gestellt und bei der Ablösung immer.

Was die Prüfung erleichtert

Wenige freigegebene Werkzeuge. Zehn Werkzeuge zu prüfen kostet zehnmal so viel wie eines – und jedes zusätzliche vergrößert die Angriffsfläche und die Dokumentation. Ein gut ausgewähltes Werkzeug, das die Arbeit tatsächlich erleichtert, verdrängt fünf ungeprüfte.

Eine Standardvorlage. Legen Sie die zehn Fragen als Formular an. Wer ein neues Werkzeug vorschlägt, füllt es aus – das verlagert die Vorarbeit dorthin, wo der Bedarf entsteht, und beschleunigt die Entscheidung.

Ein benanntes Freigabeverfahren. Ohne Weg zur Freigabe entsteht Schatten-KI; siehe KI-Richtlinie.

Eine Wiedervorlage. Anbieter ändern Bedingungen, Modelle und Unterauftragnehmer. Eine Prüfung von vor zwei Jahren beschreibt ein anderes Produkt.

Der Punkt, an dem die meisten Prüfungen enden

Bei der Frage nach den Eingabedaten. Selbst ein sauber vertraglich gefasstes Werkzeug hilft nichts, wenn Beschäftigte Kundendaten, Bewerbungsunterlagen oder Kalkulationen hineinkopieren.

Deshalb gehört zu jeder Freigabe die Festlegung, was hinein darf – in einem Satz, den jeder behält: Alles, was Sie eingeben, verlässt das Haus. Die dazugehörige Verbotsliste steht in der KI-Richtlinie, die Schulung dazu leistet die KI-Grundschulung nach Art. 4 der Verordnung.

Welche Werkzeuge fachlich in Betracht kommen, klärt vorgelagert die Tool-Auswahl; die Bestandsaufnahme des Ist-Zustands die KI-Risikoanalyse.

Kontakt

Sie sollen ein Werkzeug freigeben und wissen nicht, worauf Sie sehen müssen? Wir gehen die zehn Punkte mit Ihnen durch.