Die Sorge ist berechtigt
Wer eine KI auf die eigenen Unterlagen ansetzt, gibt ihr Kundenverträge, Personalakten, Abrechnungen. Die Sorge, dass diese Daten irgendwo landen, wo sie nicht hingehören, ist berechtigt. „DSGVO-konform“ steht inzwischen auf fast jedem Angebot. Was es konkret bedeutet, steht selten dabei.
Für eine KI-Wissensdatenbank im Unternehmen kommt es aus unserer Sicht auf vier Fragen an.
Wie saicretary Dokumente ordnet und daraus eine Wissensdatenbank macht, beschreibt der Beitrag Paperless-ngx mit KI: ein Archiv, das sich selbst ordnet. Hier geht es um die Frage danach: Wer kommt an die Daten?
1. Wo liegen die Daten?
Die meisten Angebote sind Cloud-Dienste: Ihre Dokumente liegen auf den Servern des Anbieters, zusammen mit denen anderer Kunden. Das kann zulässig sein, aber Sie geben die Kontrolle ab.
Bei saicretary liegt alles – Archiv, Wissensdatenbank, Portal – auf einem eigenen Server im Hosting-Konto des Kunden. Der Kunde ist Vertragspartner des Rechenzentrums und bezahlt es direkt. Wir richten ein und betreiben, als Auftragsverarbeiter mit Administratorzugang. Endet die Zusammenarbeit, bleibt der Server, wo er ist.
2. Wer liest die Inhalte?
Hier wird es ehrlich: Eine leistungsfähige KI läuft heute in aller Regel nicht auf dem eigenen Server. Angebote mit „lokaler KI“ setzen auf kleinere, offene Modelle – das geht, kostet aber Hardware und Qualität.
saicretary nutzt Claude von Anthropic, aber über ein Konto auf den Namen des Kunden. Den Vertrag mit dem Anbieter schließt der Kunde selbst, mit den Zusagen, die Anthropic dort gibt, etwa zur Nutzung der Daten für das Training. Die KI liest die Dokumente, um sie zu ordnen und Fragen zu beantworten. Wir als Dienstleister lesen die Inhalte im Betrieb nicht – unsere Entwicklung arbeitet mit Testdaten, die Fehlersuche mit Zählern und Statusmeldungen.
Fragen Sie bei jedem Angebot: Über wessen Konto läuft die KI, und wer kann die Antworten mitlesen?
3. Wer darf was sehen?
Eine Wissensdatenbank, die jede Frage jedem beantwortet, ist ein Datenleck mit freundlicher Oberfläche. Personalunterlagen gehören nicht in die Antwort auf eine Frage aus der Filiale.
Darum gehören zu einer KI-Wissensdatenbank:
- Anmeldung mit zweitem Faktor und eine Liste freigegebener Konten.
- Rechte je Bereich, die auch für den Chat gelten – nicht nur für die Ablage.
- Ausschlüsse für Unterlagen, die gar nicht hinein sollen, etwa private Post.
saicretary bringt all das mit: Anmeldung mit zweitem Faktor, eine Liste freigegebener Konten, Ausschlüsse beim Import und Rechte je Bereich, die im Archiv, in der Wissensdatenbank und im Chat gleichermaßen gelten. Wer nur die Filialen sehen darf, bekommt auch im Chat keine Antwort aus der Personalakte.
4. Was steht im Vertrag?
Ohne Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO geht es nicht. Lesen Sie, welche Unterauftragnehmer genannt sind, wo verarbeitet wird und was am Ende mit den Daten passiert. Unsere AVV für saicretary ist öffentlich – das halten wir für den besten Weg, Vertrauen zu bilden.
Und: Achten Sie auf den Ausstieg. Bei saicretary behalten Kunden nach einer Kündigung Server, Daten und die installierte Software. Wir stellen die Anmeldung auf ihr eigenes System um und übergeben alle Zugänge. Wer seine Daten nicht mitnehmen kann, hat sie nie ganz besessen.
Fazit
„DSGVO-konform“ ist keine Eigenschaft einer Software, sondern eine Frage des Betriebs. Verantwortlich bleibt rechtlich immer das Unternehmen selbst. Was eine Lösung leisten kann: den Datenort beim Kunden lassen, das KI-Modell über sein Konto laufen lassen, Rechte ernst nehmen und den Vertrag offenlegen. Genau so haben wir saicretary gebaut.
