Darf dieses KI-Werkzeug an Ihre Kundendaten?

Liegt ein Auftragsverarbeitungsvertrag vor, und ist er abgeschlossen?

Ein Vertrag, den man erst auf Anfrage bekommt, ist keiner. Bei den meisten Anbietern schließen Sie ihn im Konto mit einem Klick ab, oft als Data Processing Addendum. Entscheidend ist, dass er für Ihr Konto gilt.

Wo werden die Daten verarbeitet und gespeichert?

Nicht der Firmensitz zählt, sondern der Verarbeitungsort. „EU-Region verfügbar“ heißt nicht „EU-Region eingestellt“: Das ist oft eine Einstellung, die jemand aktiv setzen muss.

Kennen Sie die Unterauftragsverarbeiter und werden Sie über Änderungen informiert?

Fast jedes KI-Werkzeug ist eine Kette: die Oberfläche vom einen Anbieter, das Modell vom nächsten, der Server vom dritten. Ein sauber aufgestellter Anbieter listet diese Kette öffentlich.

Werden Ihre Eingaben zum Training von Modellen genutzt?

Zwei Fragen in einer: ob es sich abschalten lässt und ob es abgeschaltet ist. Prüfen Sie die Einstellung im Konto, nicht die Aussage auf der Werbeseite.

Kennen Sie die Speicherdauer Ihrer Eingaben?

Eine befristete Zwischenspeicherung zur Missbrauchserkennung ist üblich. Entscheidend ist, dass Sie eine Frist benennen können.

Können Sie Daten auf Verlangen löschen lassen, und wissen Sie, wie?

Ein Kunde kann Auskunft und Löschung verlangen. Gehen Sie den Weg einmal durch, bevor Sie ihn brauchen, und notieren Sie ihn in zwei Sätzen.

Landen personenbezogene Daten Dritter in den Eingaben?

Namen, E-Mail-Adressen, Telefonnummern, Gesprächsnotizen zu einer bestimmten Person. Im Vertrieb lautet die ehrliche Antwort fast immer „ja“, und das ist kein Problem, solange die übrigen Punkte stimmen.

Sind besondere Kategorien oder Berufsgeheimnisse betroffen?

Gesundheitsdaten, Gewerkschaftszugehörigkeit, Religion, biometrische Daten, dazu Berufsgeheimnisse aus Kanzleien, Praxen und Steuerberatung. Trifft das zu, ist es kein Ampelthema mehr, sondern ein Fall für eine gesonderte Prüfung.

Steht die Verarbeitung in Ihrem Verzeichnis der Verarbeitungstätigkeiten?

Meist genügt eine ergänzte Zeile in einer bestehenden Tätigkeit. Wenn niemand weiß, wo das Verzeichnis liegt, ist das die Antwort.

Ist geregelt, wer das Werkzeug mit Kundendaten benutzen darf?

Geschäftskonten statt privater Zugänge, Anmeldung in zwei Schritten, eine benannte verantwortliche Person. Zählen Sie die Nutzerliste einmal durch.

Prüft ein Mensch das Ergebnis, bevor es einen Kunden erreicht?

Bei allem, was nach außen geht, ist dieser Schritt nicht verhandelbar. Ein falscher Liefertermin in einer automatisch versendeten Mail kostet mehr als jede Zeitersparnis.

Ist festgelegt, wer informiert wird, wenn etwas schiefgeht?

Ein Name und ein Weg genügen. Wichtig ist, dass die Person, der etwas auffällt, weiß, wohin damit.