DSGVO und KI-Chatbots
Kurze Definition
Ein KI-Chatbot, der mit Menschen in der EU spricht, verarbeitet personenbezogene Daten, daher muss das Unternehmen, das ihn betreibt, die Datenschutz-Grundverordnung (DSGVO) auf seine Gespräche anwenden. Diese Daten umfassen Namen, E-Mails, Bestelldetails und alles, was Nutzer eingeben.
Auf dieser Seite
Welche personenbezogenen Daten ein Chatbot verarbeitet
Selbst ein einfacher Support-Chatbot sammelt personenbezogene Daten: Identifikatoren wie eine E-Mail oder Telefonnummer, Bestell- und Lieferdetails, den Inhalt von Nachrichten und technische Daten wie eine IP-Adresse. Da Nutzer frei eingeben können, teilen sie möglicherweise auch Informationen, nach denen das Unternehmen nie gefragt hat, einschließlich sensibler Daten wie Gesundheitsdetails. Die französische Datenschutzbehörde, die CNIL, empfiehlt, die Nutzer vor dem Gespräch zu warnen, keine sensiblen Daten zu teilen, es sei denn, es ist notwendig.
Diese Seite bietet allgemeine Informationen zur DSGVO (Verordnung (EU) 2016/679). Sie ist keine Rechtsberatung; für Ihre eigene Situation konsultieren Sie Ihren Datenschutzbeauftragten oder einen Anwalt.
Hauptpflichten für das Unternehmen
Das Unternehmen, das entscheidet, warum und wie der Chatbot verwendet wird, ist in der Regel der Verantwortliche. Es benötigt eine rechtliche Grundlage für jeden Zweck – zum Beispiel die Erfüllung eines Vertrags, wenn es auf eine Bestellfrage eines Kunden antwortet. Es muss die Nutzer informieren (Artikel 13 und 14): wer der Verantwortliche ist, Zwecke, rechtliche Grundlage, Empfänger, Aufbewahrungsfrist und Rechte. Es sollte nur das sammeln, was der Zweck erfordert, Aufbewahrungsfristen festlegen und den Menschen ermöglichen, ihre Rechte auf Zugang, Berichtigung und Löschung auszuüben.
Der Chatbot-Anbieter fungiert in der Regel als Auftragsverarbeiter und muss durch einen Vertrag gebunden sein, der Artikel 28 entspricht. Wenn personenbezogene Daten in ein Land außerhalb der EU übertragen werden – zum Beispiel an einen Modellanbieter in den Vereinigten Staaten – gelten die Übertragungsregeln aus Kapitel V.
Punkte, die spezifisch für KI sind
Überprüfen Sie, ob Gesprächsdaten verwendet werden, um Modelle zu trainieren oder zu verbessern, von wem und ob das deaktiviert werden kann. Wissen Sie, wo das Sprachmodell läuft, da Eingabeaufforderungen personenbezogene Daten enthalten. Seien Sie vorsichtig mit Entscheidungen, die rechtliche oder ähnlich bedeutende Auswirkungen haben – zum Beispiel die Ablehnung einer Rückerstattung – die ausschließlich durch automatisierte Mittel getroffen werden, was Artikel 22 einschränkt. Bei größeren Implementierungen kann eine Datenschutz-Folgenabschätzung erforderlich sein.
Die Stellungnahme 28/2024 des Europäischen Datenschutzausschusses fügt hinzu, dass KI-Modelle, die auf personenbezogenen Daten trainiert wurden, nicht automatisch anonym sind, was bei der Auswahl von Modellanbietern wichtig ist. Das EU-KI-Gesetz verlangt außerdem, dass die Menschen informiert werden, dass sie mit einer KI sprechen.
Wie AI SmartTalk es angeht
AI SmartTalk ist ein französisches Unternehmen und hostet die Plattform in Frankreich. Assistenten verwenden standardmäßig KI-Modelle, die in der Europäischen Union gehostet werden; ein Administrator kann ein Nicht-EU-Modell wie OpenAI oder Anthropic auswählen, und die Anwendung fragt bei jeder Auswahl nach ausdrücklicher Zustimmung. Gesprächsdaten werden aufbewahrt, bis der Assistent oder das Konto gelöscht wird, mit einer endgültigen Löschung 30 Tage nach einer Anfrage zur Kontolöschung, wie in der Datenschutzrichtlinie beschrieben. Unternehmen bleiben verantwortlich dafür, ihre eigenen Besucher zu informieren.
Häufig gestellte Fragen
Ist es legal, einen KI-Chatbot unter der DSGVO zu verwenden?
Ja. Die DSGVO verbietet keine Chatbots; sie legt Regeln für die personenbezogenen Daten fest, die sie verarbeiten: eine rechtliche Grundlage, Informationen für die Nutzer, Minimierung, Sicherheit, Aufbewahrungsgrenzen und Respekt für die Rechte der Menschen.
Brauche ich eine Zustimmung, um einen Chatbot auf meiner Website zu verwenden?
Nicht unbedingt für das Gespräch selbst, das oft auf einer anderen rechtlichen Grundlage wie der Beantwortung einer Anfrage basieren kann. Cookies oder Tracker, die vom Chat-Widget verwendet werden, benötigen möglicherweise eine Zustimmung gemäß den ePrivacy-Regeln. Konsultieren Sie Ihren Datenschutzberater.
Können Kundenkonversationen an einen US-amerikanischen KI-Anbieter gesendet werden?
Nur in Übereinstimmung mit den GDPR-Regeln für internationale Übertragungen, zum Beispiel im Rahmen einer Angemessenheitsentscheidung oder geeigneter Schutzmaßnahmen, und mit informierten Nutzern. Die Wahl eines in der EU gehosteten Modells umgeht die Frage.
Erfordert die GDPR, dass Nutzer informiert werden, dass sie mit einer KI sprechen?
Die GDPR erfordert Transparenz darüber, wie personenbezogene Daten verarbeitet werden. Die spezifische Pflicht, offenzulegen, dass eine Person mit einer KI interagiert, stammt aus dem EU-KI-Gesetz, das ab dem 2. August 2026 gilt.