KI und KVKK: Vorsicht beim Teilen von Daten
Wir erklären die allgemeinen Vorkehrungen bei der Eingabe von Kunden- und Firmendaten in KI-Tools: KVKK-Begriffe, Anonymisierung und eine unternehmensinterne Nutzungsrichtlinie.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Wer personenbezogene Daten in KI-Tools eingibt, überträgt diese unter Umständen an einen Dritten. Für die KI-Compliance mit der KVKK (dem türkischen Datenschutzgesetz, vergleichbar mit der DSGVO) sollten Sie Daten wie Kundenname, Telefonnummer, Ausweis- und Gesundheitsangaben vor der Eingabe anonymisieren. Prüfen Sie die Einstellungen von Unternehmenskonto und Datenspeicherung und legen Sie für Mitarbeitende eine schriftliche Nutzungsrichtlinie fest.
Warum Vorsicht geboten ist
Dass ein Mitarbeiter eine ganze E-Mail in einen KI-Chat kopiert, um eine Kundenbeschwerde zu beantworten, ist völlig alltäglich. In dieser E-Mail stehen aber Name, Telefonnummer und Bestelladresse des Kunden und vielleicht sogar sein Gesundheitszustand. Diese Information wird nun auf einem Server außerhalb Ihres Unternehmens verarbeitet.
Das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK) regelt, zu welchem Zweck, auf welcher Rechtsgrundlage und unter Weitergabe an wen personenbezogene Daten verarbeitet werden. Ein KI-Tool zu nutzen ist an sich nicht verboten; entscheidend ist, wie und mit welchen Schutzmaßnahmen Daten an dieses Tool übermittelt werden.
Dieser Beitrag dient der allgemeinen Information. Für die Beurteilung Ihres Einzelfalls prüfen Sie die aktuelle Rechtslage und lassen Sie sich rechtlich beraten; auch die Leitfäden der türkischen Datenschutzbehörde sind ein guter Ausgangspunkt.
Die wichtigsten KVKK-Begriffe
Bevor Sie den KI-Einsatz bewerten, sollten einige Begriffe geklärt sein. Sie bestimmen, wer verantwortlich ist und welche Daten strenger geschützt werden müssen.
| Begriff | Bedeutung bei der KI-Nutzung |
|---|---|
| Personenbezogene Daten | Jede Information über eine bestimmte oder bestimmbare Person: Name, Telefon, E-Mail, IP-Adresse, Bestellhistorie. |
| Besondere Kategorien von Daten | Daten wie Gesundheit, Biometrie, Religion, Gewerkschaftszugehörigkeit; sie unterliegen strengeren Bedingungen. |
| Verantwortlicher | Ihr Unternehmen, das entscheidet, zu welchem Zweck Daten verarbeitet werden. |
| Auftragsverarbeiter | Der Dienstleister, der Daten in Ihrem Auftrag verarbeitet; ein KI-Dienst kann diese Stellung haben. |
| Informationspflicht | Die Pflicht, Betroffene darüber zu informieren, wie ihre Daten verarbeitet und an wen sie weitergegeben werden. |
| Übermittlung ins Ausland | Daten an Dienste senden, deren Server im Ausland stehen; im Gesetz gesondert geregelt. |
Welche Daten dürfen nie eingegeben werden?
Die Risikobereitschaft ist in jedem Unternehmen anders, doch manche Datenarten dürfen unter keinen Umständen in öffentlich zugängliche oder mit privaten Konten genutzte Tools eingegeben werden. Diese Liste können Sie direkt in Ihre interne Richtlinie übernehmen.
- Türkische Identitätsnummer, Reisepass- und Führerscheindaten
- Kreditkarten-, IBAN- und Bankkontodaten
- Krankenberichte, Rezepte und Angaben zu Behinderungen als besondere Kategorien von Daten
- Gehaltsabrechnungen, Leistungsbeurteilungen und Disziplinarakten von Mitarbeitern
- Passwörter, API-Schlüssel und Serverzugangsdaten
- Noch nicht veröffentlichte Finanzergebnisse, Angebotsunterlagen und Geschäftsgeheimnisse
- Massenexporte von Kundenlisten und Kontaktdaten
Methoden zur Anonymisierung von Daten
Bei den meisten Aufgaben muss die KI nicht wissen, wer die Person ist. Um den Ton einer Beschwerde-E-Mail zu glätten oder einen Bericht zusammenzufassen, helfen Namen und Nummern nicht. Die wirksamste Maßnahme ist deshalb, Daten vor dem Senden zu anonymisieren oder zumindest durch ein Pseudonym zu ersetzen.
Pseudonyme verwenden
Schreiben Sie statt »Ayşe Yılmaz, 0532…« einfach »Kunde A«. Nach der Antwort ergänzen Sie die echten Angaben selbst. Diese einfache Gewohnheit beseitigt den Großteil der Risiken.
Verallgemeinern
Verwenden Sie statt des genauen Geburtsdatums eine Altersgruppe und statt der vollständigen Adresse nur die Provinz. Die für die Analyse nötige Information bleibt erhalten, das identifizierende Detail entfällt.
Automatische Maskierung einrichten
Wird die KI an Ihre Unternehmenssoftware angebunden, lässt sich eine Zwischenschicht einbauen, die Muster wie Telefonnummern, E-Mail-Adressen und Ausweisnummern maskiert, bevor Daten zum Modell gehen. So hängt der Schutz nicht von der Aufmerksamkeit der Mitarbeitenden ab.
Unternehmenskonto und Einstellungen
Zwischen individuellen, kostenlosen Konten und Unternehmenstarifen können bei der Datenpolitik wichtige Unterschiede bestehen. Manche Dienste dürfen Eingaben aus Einzelkonten zur Modellentwicklung verwenden; in Unternehmenstarifen ist das meist standardmäßig deaktiviert. Lesen Sie Vertrag und Datenschutzbedingungen für jeden Dienst gesondert.
Folgende Einstellungen sollten Sie vor allem prüfen: Speicherdauer des Chatverlaufs, ob Inhalte für das Training genutzt werden, Region der Datenverarbeitung, Admin-Panel und Nutzerberechtigungen. Wenn alle im Team mit der Firmen-E-Mail unter einer zentralen Verwaltung arbeiten, sehen Sie, wer welches Tool nutzt.
Auch die Nutzung über eine API ist eine eigene Option. Wenn Sie das Modell aus Ihrer eigenen Software ansprechen, entscheiden Sie auf Code-Ebene, welche Daten gesendet werden. Eine solche Architektur lässt sich innerhalb von Branchensoftware oder als Integration mit Ihren bestehenden Systemen umsetzen.
KI im Kundenkontakt
Wenn Sie Ihrer Website oder Ihrer WhatsApp-Nummer einen KI-Assistenten hinzufügen, fließen Kundendaten direkt in dieses System. Dann müssen Sie Ihren Hinweistext zur Datenverarbeitung aktualisieren und dem Kunden klar sagen, dass er mit einer KI spricht. Den Aufbau eines Assistenten haben wir im Beitrag KI-Chatbot ausführlich beschrieben.
In Branchen wie Hotellerie, Klinik und E-Commerce können Gäste- oder Kundendaten sensible Angaben enthalten. So müssen beispielsweise Ausweisdaten eines Gastes in einer Hotelsoftware nicht mit dem KI-Assistenten geteilt werden; der Assistent kann ausschließlich mit nicht personenbezogenen Angaben wie Zimmertyp, Datum und Preis arbeiten.
Im Marketing gilt dasselbe Prinzip. Soll KI für Kundensegmentierung oder Kampagnenanalyse eingesetzt werden, sollte das Online-Marketing-Team mit aggregierten und anonymen Daten arbeiten; Listen einzelner Personen sollten nicht hochgeladen werden.
Unternehmensinterne Nutzungsrichtlinie
Verbote helfen meist wenig; Mitarbeitende nutzen das Tool dann weiter auf dem privaten Handy. Der realistischere Weg ist, eine kurze, verständliche KI-Nutzungsrichtlinie zu schreiben und dem Team zu erklären.
- Welche Tools freigegeben sind und mit welchem Konto sie genutzt werden
- Welche Datenarten auf keinen Fall eingegeben werden dürfen
- Anonymisierungsregeln und Beispiele
- Wer die KI-Ausgabe kontrolliert
- Bei Texten an Kunden gibt ein Mensch die letzte Freigabe
- Wen man im Verdachtsfall informiert
Wenn versehentlich Daten geteilt wurden
Hat ein Mitarbeiter versehentlich eine sensible Datei in ein KI-Tool hochgeladen, löschen Sie zuerst den betreffenden Chat und die Datei mit den vom Dienst angebotenen Mitteln und dokumentieren Sie den Vorfall mit Datum und Inhalt. Stellen Sie dann fest, welche Daten wie vieler Personen betroffen sind und ob der Dienst diese Daten speichert.
Die KVKK legt dem Verantwortlichen eine Meldepflicht auf, wenn verarbeitete Daten auf rechtswidrigem Weg von anderen erlangt werden. Ob der Vorfall darunter fällt und in welcher Frist zu melden ist, klären Sie sofort mit Ihrem Rechtsberater; die Fristen in den Entscheidungen der Behörde sind kurz, und Abwarten vergrößert das Risiko.
Auch die Richtigkeit der Ergebnisse ist Verantwortung
Datensicherheit ist nicht das einzige Risiko. KI kann falsche Informationen über einen Kunden erzeugen oder eine nicht existierende Regel erfinden. Dass personenbezogene Daten richtig und aktuell sind, gehört ebenfalls zu den allgemeinen Grundsätzen des Gesetzes; die Ausgabe eines Modells sollte deshalb nie allein als Grundlage für eine Entscheidung über eine Person dienen.
Warum Modelle sich irren können, lesen Sie in unseren Beiträgen Was ist ein LLM? und KI-Halluzinationen. Wenn Sie Kundenkommentare in sozialen Medien mit KI beantworten, empfehlen wir im Social-Media-Management, jede Antwort von einem Menschen prüfen zu lassen.
Häufig gestellte Fragen
01Verstößt es gegen die KVKK, einen Kundennamen in ChatGPT zu schreiben?
Eine pauschale Antwort ist nicht möglich; Zweck, Rechtsgrundlage, Informationspflicht und Übermittlungsbedingungen werden gemeinsam bewertet. Unnötig personenbezogene Daten zu teilen, ist jedoch riskant. Am sichersten ersetzen Sie den Namen durch ein Pseudonym.
02Reicht ein Unternehmenstarif allein aus?
Nein. Unternehmenstarife können stärkere Zusicherungen bei Datenspeicherung und Training bieten, doch Informationspflicht, Datenminimierung und Schulung der Mitarbeitenden bleiben Ihre Verantwortung.
03Sollten wir Kunden sagen, dass wir einen KI-Assistenten nutzen?
Transparenz wird sowohl für das Vertrauen als auch für die Compliance empfohlen. Wenn Sie im Hinweistext KI-gestützte Dienste und Datenübermittlung erwähnen, ist der Kunde informiert.
04Ist ein lokal laufendes KI-Modell sicherer?
Weil die Daten das Unternehmen nicht verlassen, sinkt das Übermittlungsrisiko. Serversicherheit, Zugriffsrechte und Backups liegen dann jedoch voll in Ihrer Verantwortung; deshalb muss die Infrastruktur richtig aufgebaut sein.
KI-Tools steigern die Effizienz, doch beim Umgang mit personenbezogenen Daten sind Anonymisierung, die richtige Kontenwahl und eine schriftliche Richtlinie Pflicht; prüfen Sie für Details stets die aktuelle Rechtslage und lassen Sie sich beraten. Wenn Sie eine Struktur mit Datensicherheit im Mittelpunkt aufbauen möchten, lernen Sie die Lösungen von Aurora Yazılım kennen oder schreiben Sie uns über die Kontaktseite; weitere Beiträge zum Thema finden Sie unter dem KVKK-Tag.
