Wer einen KI-Chatbot betreibt, muss gegenüber Datenschutz, Revision und Aufsicht belegen können, dass DSGVO und EU AI Act eingehalten werden. Die Nachweise entstehen an drei Stellen: im Vertrag mit dem Anbieter, in der Plattform selbst und in der eigenen Organisation. Ein eigenes Compliance-Dashboard braucht es dafür selten. Entscheidend ist, dass jede Stelle ihren Teil liefert und jemand weiß, wo er liegt. Dieser Beitrag ordnet die Nachweise, zeigt, was ein Anbieter mitbringen sollte, und endet mit einer Checkliste für die nächste Prüfung.
Auf einen Blick
Der Betreiber trägt die Verantwortung für Zweck und Konformität des konkreten Einsatzes. Der Anbieter liefert die Grundlagen.
Transparenz nach Art. 50 EU AI Act: Nutzer müssen erkennen, dass sie mit einer KI sprechen. Der Nachweis ist die Kennzeichnung im Chat und ihre Konfiguration.
DSGVO-Nachweise stehen in AVV, TOM, Verarbeitungsverzeichnis und, wo nötig, in der Datenschutz-Folgenabschätzung.
Betriebsnachweise liefert die Plattform: Audit-Log, Versionen, Löschfristen und die Herkunft jeder Antwort.
KI-Kompetenz ist eine Aufgabe der eigenen Organisation und wird über Schulungen dokumentiert.
Wer was nachweisen muss
Der EU AI Act unterscheidet zwischen dem Anbieter eines KI-Systems und dem Betreiber, der es einsetzt. Für einen Chatbot im Kundenservice heißt das: Der Betreiber entscheidet, wofür der Chatbot genutzt wird, mit welchen Daten und für wen. Er ist deshalb für die Konformität dieses Einsatzes verantwortlich.
Der Anbieter steht dafür ein, was die Plattform leistet und wie sie betrieben wird. Bei Mercury.ai ist das ein KI-System, das lizenzierte Modelle einbettet. Es stellt kein eigenes General Purpose AI Model bereit und trifft keine automatisierten Entscheidungen über Personen in sensiblen Bereichen. Mercury.ai ist kein Hochrisiko-System. Maßgeblich bleibt der konkrete Einsatz, die Einordnung nimmt der Betreiber vor.
Für die DSGVO gilt eine ähnliche Teilung. Das Unternehmen ist Verantwortlicher, der Anbieter verarbeitet im Auftrag. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Die Nachweise im Überblick
Anforderung | Nachweis | Woher er kommt |
|---|---|---|
Transparenz, Art. 50 EU AI Act | KI-Kennzeichnung im Chat, Bot-Symbol, maschinenlesbare Kennzeichnung | Plattform, Konfiguration des Kanals |
KI-Kompetenz, Art. 4 EU AI Act | Schulungsnachweise für Redaktion, Service und Administration | eigene Organisation |
Auftragsverarbeitung, Art. 28 DSGVO | AVV mit Anhang zu Datenkategorien und Unterauftragsverarbeitern | Vertrag mit dem Anbieter |
Sicherheit der Verarbeitung, Art. 32 DSGVO | Technische und organisatorische Maßnahmen | Anbieter, meist auf Anfrage |
Verzeichnis der Verarbeitungstätigkeiten, Art. 30 DSGVO | Eintrag für den Chatbot | eigene Organisation, mit Angaben des Anbieters |
Datenschutz-Folgenabschätzung, Art. 35 DSGVO | DSFA, wo erforderlich | eigene Organisation, mit Angaben des Anbieters |
Speicherbegrenzung | Eingestellte Löschfristen | Plattform |
Nachvollziehbarkeit | Audit-Log, Versionen, Herkunft jeder Antwort | Plattform |
Nachweise aus dem Vertrag
Der AVV ist das erste Dokument, nach dem Datenschutzbeauftragte fragen. Er beschreibt, welche Daten verarbeitet werden, wer betroffen ist und welche Unterauftragsverarbeiter beteiligt sind. Achten Sie darauf, dass der Anhang vollständig ist und der Anbieter Änderungen an den Unterauftragsverarbeitern ankündigen muss.
Die technischen und organisatorischen Maßnahmen beschreiben, wie die Daten geschützt sind: Verschlüsselung, Zugriffskontrolle, Trennung der Kunden, Protokollierung. Viele Anbieter geben die TOM auf Anfrage heraus. Für die Prüfung genügt das, solange das Dokument aktuell ist und zum AVV passt.
Zum Vertrag gehören auch die Meldepflichten: Wie schnell meldet der Anbieter eine Datenschutzverletzung, und wie geht er mit Anfragen von Behörden um? Beides sollte im AVV geregelt sein.
Nachweise aus der Plattform
Ein großer Teil der Nachweise entsteht im laufenden Betrieb. Eine Plattform sollte sie liefern, ohne dass jemand sie von Hand sammeln muss.
Kennzeichnung. Der Chat zeigt an, dass eine KI antwortet. Für den Nachweis zählt, dass die Kennzeichnung standardmäßig aktiv ist und nicht versehentlich ausgeschaltet werden kann, ohne dass es auffällt.
Audit-Log. Wer hat wann eine Wissensquelle freigegeben, einen Dialog geändert oder eine Einstellung angepasst? Ein vollständiges Audit-Log beantwortet diese Fragen und gehört zu den ersten Dingen, die eine Revision sehen will.
Versionen und Umgebungen. Änderungen sollten zuerst in einer Test-Umgebung laufen, bevor sie live gehen. Getrennte Umgebungen für Entwurf, Test und Betrieb machen nachvollziehbar, welcher Stand zu welchem Zeitpunkt aktiv war.
Herkunft der Antwort. Jede Antwort sollte sich bis zur Quelle, zur Dokumentversion oder zur Regel zurückverfolgen lassen. Das ist der Nachweis, dass der Chatbot aus geprüften Inhalten antwortet.
Löschfristen. Wie lange Gespräche gespeichert werden, legt der Betreiber fest. Der Nachweis ist die eingestellte Frist in der Plattform.
Nachweise aus der eigenen Organisation
Einige Pflichten kann kein Anbieter übernehmen. Das Verzeichnis der Verarbeitungstätigkeiten führt der Verantwortliche selbst. Ob eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Einsatz ab, etwa davon, welche Daten der Chatbot erfasst und an welche Systeme er sie weitergibt. Der Anbieter liefert dafür die Angaben zu Datenflüssen, Speicherorten und Schutzmaßnahmen.
Für die KI-Kompetenz nach Art. 4 EU AI Act zählt, dass die Menschen, die den Chatbot pflegen, überwachen und mit ihm arbeiten, wissen, was er kann und wo seine Grenzen liegen. Dokumentierte Schulungen für Redaktion, Service und Administration sind der einfachste Nachweis.
Braucht es ein zentrales Compliance-Dashboard?
Für den Chatbot selbst meist nicht. Die Nachweise liegen im Vertrag, in der Plattform und in der eigenen Organisation, und jede dieser Stellen hat ihren Eigentümer. Ein Compliance-Werkzeug hilft, wenn ein Unternehmen viele KI-Systeme und Verarbeitungen über Abteilungen hinweg bündeln will. Es führt dann die Nachweise aus allen drei Orten zusammen. Wichtiger als das Werkzeug ist, dass für jeden Nachweis feststeht, wo er liegt und wer ihn aktuell hält.
Checkliste für die nächste Prüfung
Liegt der AVV mit vollständigem Anhang zu Datenkategorien und Unterauftragsverarbeitern vor?
Haben Sie die aktuellen TOM des Anbieters?
Ist der Chatbot im Verzeichnis der Verarbeitungstätigkeiten eingetragen?
Ist geprüft und dokumentiert, ob eine Datenschutz-Folgenabschätzung nötig ist?
Ist die KI-Kennzeichnung im Chat aktiv, und ist das belegbar?
Sind die Löschfristen eingestellt und entsprechen sie Ihrem Löschkonzept?
Lässt sich im Audit-Log zeigen, wer Inhalte und Einstellungen geändert hat?
Lässt sich eine einzelne Antwort bis zu ihrer Quelle zurückverfolgen?
Sind die Menschen, die den Chatbot betreuen, geschult, und ist das dokumentiert?
Wie Mercury.ai die Nachweise unterstützt
Mercury.ai liefert den AVV nach Art. 28 DSGVO, die TOM auf Anfrage und Ihnen als Betreiber die Dokumentation zum EU AI Act. Die KI-Kennzeichnung nach Art. 50 ist im Chat Widget standardmäßig aktiv. Die Plattform protokolliert Änderungen vollständig im Audit-Log, trennt Entwurf, Test und Betrieb und macht jede Antwort bis zu Quelle, Dokumentversion oder Regel nachvollziehbar. Die Löschfristen stellen Sie im Projekt selbst ein, von sofort nach der Eingabe bis zum Vertragsende.
Für Verzeichnis und Datenschutz-Folgenabschätzung gibt es keine fertigen Vorlagen. Mercury.ai liefert je Projekt die Angaben, die Sie für Ihre eigenen Dokumente brauchen. Einen Überblick über das Konformitätsmodell gibt das Security-Paper zum EU AI Act. Die Grundlagen zu DSGVO und KI-Verordnung im Chatbot stehen im Beitrag zum DSGVO- und EU-AI-Act-konformen KI-Chatbot.
Fazit
Die Nachweise für DSGVO und KI-Verordnung entstehen im Chatbot-Betrieb an drei Stellen, und jede hat ihren Eigentümer. Der Vertrag regelt die Auftragsverarbeitung, die Plattform protokolliert den Betrieb, die eigene Organisation dokumentiert Zweck, Verzeichnis und Schulung. Wer diese Zuordnung einmal festhält, geht entspannt in die nächste Prüfung.
Sie bereiten eine Datenschutz-Prüfung für einen Chatbot vor? Sprechen Sie mit uns.
