Insights
DSGVO-konforme KI-Nutzung: Was ein Finanzdienstleister wirklich umgesetzt hat
Ein Finanzdienstleister fand Dutzende KI-Zugänge auf Firmengeräten und entschied sich gegen ein Verbot. Wie ein Gateway mit Datenklassen die Kreditakte im Haus hält und den Nachweis gleich mitliefert.
DSGVO-konforme KI-Nutzung entsteht nicht durch einen Auftragsverarbeitungsvertrag, sondern durch eine Architektur, die Datenflüsse kontrollierbar macht. Das zeigt der anonymisierte Fall eines deutschen Finanzdienstleisters, der KI für Kreditunterlagen einsetzen wollte, ohne Kunden- und Bonitätsdaten unkontrolliert an externe Modellanbieter zu senden.
Ausgangslage: Die Schattennutzung war das eigentliche Risiko
Der Finanzdienstleister mit einigen hundert Mitarbeitenden verarbeitet täglich Anträge und Nachreichungen. Vor dem Projekt gab es keine freigegebene KI-Plattform, nur einzelne Teamlizenzen, private Konten und eine Richtlinie, die personenbezogene Daten in öffentlichen KI-Diensten untersagte.
Diese Richtlinie wurde nicht bewusst ignoriert. Sie passte nicht zum Arbeitsalltag. Wer vor seitenlanger Korrespondenz sitzt und in Minuten eine Entscheidungsvorlage braucht, sucht einen Weg. Eine interne Stichprobe fand Dutzende verschiedene KI-Zugänge auf Unternehmensgeräten. Keiner davon lieferte einen Nachweis darüber, wer welche Daten verarbeitet hatte.
Der Datenschutzbeauftragte verlangte zu Recht Antworten auf einfache Fragen: Welche Daten verlassen das Unternehmen? Welche Verarbeitungstätigkeit liegt vor? Wer darf auf die Eingaben zugreifen? Der Informationssicherheitsbeauftragte fragte weiter: Was passiert, wenn ein externer Anbieter seinen Dienst ändert oder einen Standort verlagert? An diesem Punkt wird aus einem KI-Projekt ein Architekturthema.
Die Entscheidung: kein Verbot, sondern ein kontrollierter Zugang
Das Unternehmen entschied sich gegen ein pauschales Verbot. Verbote halten bei Werkzeugen, die in Sekunden erreichbar sind, selten länger als ein Quartal. Stattdessen entstand ein zentraler KI-Zugang, ein Gateway, über das jede Anfrage läuft. Mitarbeitende nutzen einen internen Chat mit Unternehmensanmeldung. Das Gateway prüft jede Eingabe, ordnet sie einer Datenklasse zu und leitet sie erst dann an ein freigegebenes Modell weiter. Direkte Zugriffe auf öffentliche KI-Dienste wurden für die betroffenen Teams gesperrt.
Ein Fall aus der Kreditprüfung zeigt, warum die Trennung zählt. Eine Sachbearbeiterin lädt eine E-Mail mit der Bitte um Ratenanpassung hoch. Das Dokument enthält Name, Vertragsnummer, Nettoeinkommen und eine medizinisch begründete Arbeitsunfähigkeit. Das System erkennt diese Angaben vor der Modellanfrage: Vertragsnummer und Name werden pseudonymisiert, die medizinische Information sperrt jeden externen Modellzugriff. Die Zusammenfassung läuft auf einem intern betriebenen Modell in europäischer Cloud-Infrastruktur.
Das ist kein perfekter Automatismus. Die Erkennung personenbezogener Daten macht Fehler, besonders bei frei formulierten E-Mails und Scans. Deshalb enthielt die erste Ausbaustufe einen Freigabedialog für Grenzfälle. Das kostet Sekunden und ist billiger als ein Datenschutzvorfall, dessen Ursache sich später nicht rekonstruieren lässt.
Die Architektur: Die Datenklasse entscheidet über das Modell
Das Unternehmen definierte vier Datenklassen. Öffentliche Inhalte wie Gesetzestexte durften an einen vertraglich freigegebenen externen Anbieter gehen. Interne Arbeitsanweisungen ohne Personenbezug liefen über eine Anwendung, die Fragen auf Basis freigegebener Dokumente beantwortet, ohne das Modell nachzutrainieren. Personenbezogene Daten und Kreditakten blieben auf einem Modell mit offenen Gewichten in europäischer Umgebung. Besonders geschützte Informationen waren für generative KI zunächst gesperrt.
Die Zuordnung war regelbasiert und nicht dem Modell überlassen. Ein Sprachmodell kann Daten klassifizieren, aber es darf nicht die letzte Instanz darüber sein, ob sensible Daten eine geschützte Umgebung verlassen. Die verbindlichen Regeln lagen im Gateway: Datenklasse, Nutzerrolle, erlaubter Zweck, Modellfreigabe. Eine Anfrage zur Zusammenfassung einer Akte bekam genau diese Akte und keine Leseberechtigung auf den gesamten Bestand. Das wirkt unspektakulär. In Audits trennt es eine belastbare Lösung von einer hübschen Vorführung.
AVV reicht nicht für Prompts: Nachweise statt Zusagen
Ein Auftragsverarbeitungsvertrag bleibt notwendig, sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Er beantwortet aber nicht, ob eine konkrete Eingabe zulässig war oder ob Datenminimierung eingehalten wurde. Diese Nachweise muss die Architektur liefern.
Jede Anfrage und jede Modellantwort wurde deshalb revisionssicher protokolliert: Nutzerkennung, Zeitstempel, Datenklasse, Modell, Freigabeentscheidung, Vorgangskennung. Die Inhalte selbst speicherte das Unternehmen nur gekürzt und geschützt, weil ein Protokoll nicht zum zweiten Datenleck werden darf. Für die Datenschutz-Folgenabschätzung wurden die Verarbeitungsschritte an echten Arbeitsfällen geprüft; jeder Fall bekam Zweck, Rechtsgrundlage, Aufbewahrungsregel und technische Route.
Der Aufwand war spürbar. Berechtigungskonzepte und Dokumentenqualität machten mehr Arbeit als die Auswahl des Modells. Wer verspricht, eine belastbare KI-Architektur für ein reguliertes Unternehmen in zwei Wochen einzuführen, verkauft einen Pilotzugang, keinen Betrieb.
Was nach dem Start besser lief und was nicht
Die Erstzusammenfassung umfangreicher Korrespondenz ging im Pilotbereich deutlich schneller. Das ist ein brauchbarer Effekt, aber kein Freifahrtschein für automatisierte Kreditentscheidungen. Die fachliche Prüfung blieb beim Menschen.
Die größte Verbesserung lag woanders: Das Unternehmen konnte erstmals belegen, welche KI-Anwendungen im Einsatz waren und welche Datenklassen sie verarbeiteten. Bei einer internen Prüfung war die Zusammenstellung der Nachweise eine Sache von Tagen statt Wochen, ohne Selbstauskünfte aus den Fachbereichen.
Nicht jeder Anwendungsfall lohnte sich. Der Versuch, eingescannte Altakten automatisch zu strukturieren, scheiterte zunächst an der Texterkennung bei schiefen Scans und handschriftlichen Ergänzungen. Der Dienstleister stoppte und investierte erst in Dokumentenqualität. KI repariert keine chaotischen Eingangsdaten.
Der nächste Schritt: drei Arbeitsfälle, drei Datenwege
Wählen Sie drei reale Arbeitsfälle aus Ihren Fachbereichen und notieren Sie zu jedem: Welche Datenklasse steckt darin, und welchen Weg nehmen die Daten heute? Mit dieser Liste klären wir in eine halbe Stunde, welcher kontrollierte Einstieg für Sie trägt und welcher Fall vorerst gesperrt bleiben sollte: Potenzial-Check buchen.