KI-Governance, Datenschutz & KI-Sicherheit
Eine klare Rechtsgrundlage, eine Datenschutz-Folgenabschätzung, wo nötig, und technische Maßnahmen für jede KI-Nutzung mit personenbezogenen Daten.
Die Ausgangslage
Personenbezogene Daten gelangen auf vielen Wegen in KI: über Prompts und Uploads, über Dokumente, die für die Suche indexiert werden (RAG), über Trainings- und Fine-Tuning-Daten und über Protokolle beim Anbieter. Jeder dieser Wege ist eine Verarbeitung nach DSGVO, und viele stehen in keinem Verzeichnis.
Datenschutzbeauftragte sollen KI-Tools freigeben, ohne zu wissen, wohin die Daten gehen, wer Auftragsverarbeiter ist und ob Daten die EU verlassen. Ohne dieses Bild wird jede neue KI-Nutzung zur Verzögerung oder zum Risiko.
Was wir tun
Für jede KI-Nutzung verfolgen wir, welche personenbezogenen Daten in Prompts, Uploads, Suchindizes, Trainingsdaten und Protokolle gelangen und wo sie gespeichert und verarbeitet werden.
Wir legen Zweck und Rechtsgrundlage nach Art. 5 und 6 fest, erkennen besondere Kategorien nach Art. 9 und prüfen, wo automatisierte Entscheidungen nach Art. 22 entstehen können.
Wir prüfen für jede KI-Nutzung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist, und führen sie durch, wo erforderlich, mit dokumentierten Risiken und Maßnahmen.
Wir prüfen die Auftragsverarbeitungsverträge der KI-Anbieter nach Art. 28, deren Nutzung Ihrer Daten, Speicherfristen und Übermittlungen außerhalb der EU nach Kapitel V.
Wir ergänzen jede KI-Nutzung im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, damit es abbildet, wie KI tatsächlich genutzt wird.
Wir gestalten Datenschutz durch Technikgestaltung nach Art. 25 und Sicherheit der Verarbeitung nach Art. 32: Datenminimierung, Pseudonymisierung, Zugriffskontrolle bei der Suche und Löschfristen.
So arbeiten wir
Unsere Datenschutzberatung bewertet Ihre KI-Nutzungen, führt Datenschutz-Folgenabschätzungen durch und berät Ihre Datenschutzbeauftragten und Fachbereiche bei jeder Entscheidung.
Unsere Fachleute setzen die Schutzmaßnahmen in Ihrer Umgebung um, etwa Vertraulichkeitslabels, Data Loss Prevention, Zugriffskontrolle auf RAG-Quellen und Pseudonymisierung.
Als Managed Service prüfen wir neue KI-Nutzungen, halten Folgenabschätzungen und Verarbeitungsverzeichnis aktuell und überwachen, wie personenbezogene Daten in KI-Tools fließen.
Regelwerke
Plattform
Wenn die Fidempli-Plattform im Dezember 2026 startet, setzt sie das Ergebnis im Alltag um: Personen- und Gesundheitsdaten werden pseudonymisiert oder entfernt, bevor ein KI-Modell sie sieht, und jede Folgenabschätzung bleibt mit dem KI-System verknüpft, das sie betrifft.
Plattform entdecken
Nur mit Zweck, Rechtsgrundlage und einem passenden Vertrag mit dem Anbieter. Wir helfen Ihnen, klare Regeln je Tool festzulegen und technische Kontrollen zu ergänzen, damit die Regel nicht allein vom Gedächtnis abhängt.
Nein. Art. 35 verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Viele KI-Nutzungen wie Profiling, Personalentscheidungen oder die umfangreiche Verarbeitung von Gesundheitsdaten erreichen diese Schwelle typischerweise. Wir prüfen jede Nutzung und dokumentieren das Ergebnis in jedem Fall.
Das hängt von Produkt, Vertrag und Einstellungen ab. Wir prüfen Bedingungen und Konfiguration jedes Anbieters und halten fest, was gilt.
Auch Dokumente, die für die Suche indexiert werden, und Daten für Training oder Fine-Tuning werden verarbeitet. Wir prüfen Zweck, Datenminimierung und Zugriffskontrolle, damit die KI nur liefert, was die jeweilige Person sehen darf.
KI-spezifisches Wissen darüber, wie Copilots, Agenten und RAG-Systeme mit Daten umgehen, und Fachleute, die die Kontrollen umsetzen. Die Entscheidungen bleiben bei Ihren Datenschutzbeauftragten.
Fidempli bietet Governance-, Risiko- und Compliance-Beratung und arbeitet mit Ihrer Rechtsberatung zusammen. Wir erbringen keine Rechtsberatung.
Eine Senior-Beraterin oder ein Senior-Berater antwortet innerhalb eines Werktags. Oder gestalten Sie die Plattform als einer von 3–5 Design-Partnern vor dem Start mit.
