KI und Datenschutz: Was Website-Betreiber bei ChatGPT, Chatbots und KI-Tools beachten müssen

KI-gestützte Tools erobern das Web: Chatbots auf Unternehmenswebsites, KI-generierte Produktbeschreibungen, automatisierte Kundenservice-Systeme und KI-basierte Personalisierung. Doch der Einsatz von Künstlicher Intelligenz auf Websites wirft erhebliche datenschutzrechtliche Fragen auf. Dieser Artikel gibt einen Überblick über die wichtigsten Pflichten und Fallstricke.

Der EU AI Act: Neue Regeln für KI-Systeme

Seit August 2024 ist der EU AI Act (Verordnung (EU) 2024/1689) in Kraft. Er klassifiziert KI-Systeme nach Risikoklassen und stellt unterschiedliche Anforderungen. Für die meisten Website-KI-Anwendungen wie Chatbots und Empfehlungssysteme gilt: Sie fallen in die Kategorie "begrenztes Risiko" und unterliegen vor allem Transparenzpflichten.

Konkret bedeutet das: Nutzer müssen informiert werden, dass sie mit einem KI-System interagieren. Ein Chatbot muss sich als solcher zu erkennen geben – er darf nicht den Eindruck erwecken, ein menschlicher Mitarbeiter zu sein. KI-generierte Inhalte müssen grundsätzlich als solche kenntlich gemacht werden.

Chatbots und DSGVO: Die wichtigsten Anforderungen

Wenn ein Chatbot auf Ihrer Website personenbezogene Daten verarbeitet – und das ist fast immer der Fall, sobald Nutzer Fragen stellen oder Kontaktdaten eingeben – gelten die vollen Anforderungen der DSGVO:

ChatGPT-API auf der Website: Besondere Herausforderungen

Viele Unternehmen integrieren die OpenAI-API (ChatGPT) in ihre Websites, etwa für Produktberatung oder FAQ-Bots. Dabei werden die Eingaben der Nutzer an die OpenAI-Server in den USA übermittelt. Datenschutzrechtlich ist das heikel:

• • Datenübermittlung in die USA – Erfordert Absicherung über EU-US DPF oder Standardvertragsklauseln
• • Trainingsdaten – Stellen Sie sicher, dass Nutzereingaben nicht zum Training der KI verwendet werden (API-Nutzung ist standardmäßig davon ausgenommen)
• • Datenminimierung – Übermitteln Sie nur die unbedingt notwendigen Daten an die API
• • Speicherdauer – OpenAI speichert API-Anfragen für 30 Tage – dokumentieren Sie das

KI-basierte Personalisierung und Tracking

KI-gestützte Produktempfehlungen und personalisierte Inhalte sind aus datenschutzrechtlicher Sicht besonders sensibel. Wenn die Personalisierung auf dem Verhalten einzelner Nutzer basiert (und nicht nur auf aggregierten Daten), liegt in der Regel ein Profiling nach Art. 4 Nr. 4 DSGVO vor. Dafür brauchen Sie entweder eine Einwilligung oder ein überwiegendes berechtigtes Intresse.

Setzt die KI-Personalisierung Cookies oder ähnliche Technologien ein, greift zusätzlich § 25 TDDDG – eine vorherige Einwilligung ist dann in jedem Fall erforderlich.

Praxistipps: KI datenschutzkonform einsetzen

• • Transparenz – Kennzeichnen Sie KI-generierte Inhalte und KI-Interaktionen klar
• • Datenschutzerklärung ergänzen – Dokumentieren Sie jeden KI-Dienst mit Anbieter, Zweck und Rechtsgrundlage
• • AVV abschließen – Schließen Sie mit jedem KI-Anbieter einen Auftragsverarbeitungsvertrag
• • Europäische Alternativen prüfen – Für manche Anwendungsfälle gibt es EU-basierte KI-Anbieter
• • DSFA durchführen – Bei umfangreicher KI-Nutzung kann eine Datenschutz-Folgenabschätzung erforderlich sein
• • Opt-out ermöglichen – Geben Sie Nutzern die Möglichkeit, KI-Funktionen zu deaktivieren

Ausblick: Was kommt noch?

Die Regulierung von KI steckt noch in den Anfängen. Der EU AI Act wird bis 2026 schrittweise in Kraft treten, und die deutschen Datenschutzbehörden entwickeln derzeit Handlungsleitfäden für den KI-Einsatz. Website-Betreiber sollten die Entwicklung aufmerksam verfolgen und ihre KI-Implementierungen regelmäßig auf Compliance prüfen.