KI und Datenschutz: Was die neue Amnesty-Studie für KMU bedeutet

Ende Mai 2026 hat die Menschenrechtsorganisation Amnesty International mit der Studie „Unlawful by Design“ für Aufsehen gesorgt. Das Ergebnis ist deutlich: Die Datenpipelines hinter großen KI-Systemen beruhen auf massenhaftem, oft rechtswidrigem Sammeln personenbezogener Daten. Für Geschäftsführerinnen und Geschäftsführer kleiner und mittlerer Unternehmen ist das mehr als eine ferne Schlagzeile – es betrifft den eigenen KI-Einsatz im Arbeitsalltag.

Was steckt hinter „Unlawful by Design“?

Amnesty International untersuchte die Trainingsmethoden mehrerer bekannter KI-Anbieter, darunter Google, OpenAI, Meta, Stability AI, Midjourney und DeepSeek. Der Vorwurf: Die Modelle werden mit Daten trainiert, die ohne Einwilligung und ohne tragfähige Rechtsgrundlage aus dem Netz abgegriffen wurden – ein Eingriff in die Privatsphäre „von Grund auf“. Aus Sicht des europäischen Datenschutzes ist das hochproblematisch, denn die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine klare Rechtsgrundlage und Transparenz.

Warum das auch kleine und mittlere Unternehmen betrifft

Viele KMU bauen keine eigene KI – aber fast alle nutzen inzwischen Werkzeuge wie ChatGPT, Copilot oder Gemini. Sobald Sie dabei personenbezogene Daten eingeben, etwa Kundenanfragen, Bewerbungsunterlagen oder Mitarbeiterdaten, sind Sie der datenschutzrechtlich Verantwortliche. Sie haften dafür, dass diese Verarbeitung rechtmäßig abläuft – unabhängig davon, wie das Modell ursprünglich trainiert wurde.

Die zentralen Risiken im Überblick

Aus der Praxis sind vor allem vier Stolperfallen relevant: eine unklare Rechtsgrundlage für die Eingabe personenbezogener Daten; ein fehlender Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter; ungeklärte Datenübermittlungen in Drittländer wie die USA; und die Eingabe sensibler Daten in öffentliche Tools, deren Inhalte mitunter für weiteres Training verwendet werden.

So nutzen Sie KI datenschutzkonform

Der Einsatz von KI ist keineswegs verboten – er muss nur sauber aufgesetzt sein. Schließen Sie mit jedem KI-Dienstleister einen Auftragsverarbeitungsvertrag ab und prüfen Sie, ob eine Geschäftskunden-Version ohne Trainingsnutzung verfügbar ist. Geben Sie grundsätzlich keine personenbezogenen Daten in öffentliche, kostenlose Tools ein. Legen Sie eine interne KI-Richtlinie fest, schulen Sie Ihre Mitarbeitenden und ergänzen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten um die eingesetzten KI-Anwendungen. Bei Verarbeitungen mit hohem Risiko ist zusätzlich eine Datenschutz-Folgenabschätzung erforderlich.

Ein strukturierter Blick auf den Status quo lohnt sich: In einem Datenschutz-Audit lässt sich schnell feststellen, wo im Unternehmen KI bereits genutzt wird und welche Lücken bestehen. Für die laufende Begleitung übernimmt ein externer Datenschutzbeauftragter die Bewertung neuer Tools und hält Ihre Dokumentation aktuell. Wer eine KI-Richtlinie erst aufbauen möchte, findet in unserer Datenschutz-Beratung den passenden Einstieg.

Fazit

Die Amnesty-Studie zeigt, dass die Datenbasis vieler KI-Modelle auf tönernen Füßen steht. Für KMU bedeutet das nicht, auf KI zu verzichten, sondern sie bewusst und dokumentiert einzusetzen. Wer Rechtsgrundlage, AVV und interne Regeln im Griff hat, nutzt die Vorteile der Technologie, ohne ein Bußgeldrisiko einzugehen.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.