KI im Unternehmen und DSGVO, NIS2, AI Act – so gelingt es

KI im Unternehmen und DSGVO, NIS2 und AI Act: regelkonform nutzen

Generative KI wirft neue Fragen auf: Wohin gehen personenbezogene Daten, wer ist dafür verantwortlich und wie weist das Unternehmen nach, dass es die KI-Nutzung im Griff hat? FutuGen AI Gateway ersetzt weder Rechtsberatung noch Datenschutzbeauftragte, liefert Ihnen aber technische Maßnahmen und Nachweise, auf die Sie sich stützen können.

Demo ohne Registrierung: Beispieldaten (synthetisch), 2 Stunden, nur Lesezugriff und eingeschränkter Chat.

DSGVO: Personenbezogene Daten dürfen nicht unkontrolliert abfließen

Fügt eine Mitarbeiterin eine Kunden-E-Mail oder einen CRM-Export in einen öffentlichen Chatbot ein, gehen personenbezogene Daten an einen Dritten – oft außerhalb der EU und ohne vertragliche Grundlage, die das Unternehmen kennt.

Das Gateway pseudonymisiert personenbezogene Daten, bevor eine Anfrage an ein externes Modell geht, und die gehostete Instanz läuft in der EU (Frankfurt). Regeln für Datenklassen legen fest, was an welches Modell darf; die sensibelsten Daten können bei einem lokalen Modell bleiben. Die Liste der Unterauftragsverarbeiter veröffentlichen wir auf der Seite zu FutuGen Gateway.

NIS2: Risiken steuern – auch bei Lieferanten

Die NIS2-Richtlinie und die nationalen Umsetzungsgesetze verpflichten betroffene Organisationen, Risiken zu steuern – auch Risiken durch Lieferanten und genutzte Dienste. Nicht verwaltete KI-Tools sind genau ein solches Risiko.

Das Gateway bietet Ihnen einen zentralen Zugang zur KI: zentrale Zugriffsverwaltung, Regeln, Budgets und ein Audit-Protokoll jeder Anfrage – Material, das Sie in Ihrer Sicherheitsdokumentation verwenden können.

AI Act: KI-Kompetenz und Nutzungsregeln

Seit Februar 2025 müssen Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihres Personals sorgen (Art. 4 AI Act). Neben Schulungen hilft es, wenn die Regeln direkt im Werkzeug verankert sind: Mitarbeitende nutzen nur freigegebene Modelle, sensible Daten bleiben im Haus, und die Geschäftsführung sieht, wie KI tatsächlich genutzt wird.

Was das Gateway nicht leistet

Das Gateway ist eine technische Maßnahme, kein Zertifikat. Die Einhaltung von DSGVO, NIS2 und AI Act hängt auch von Ihren internen Prozessen, Ihrer Risikobewertung und Ihrer Dokumentation ab. Gern zeigen wir Ihnen, welche Nachweise und Einstellungen Sie für Ihre Dokumentation nutzen können.

Häufige Fragen

Sind wir mit dem Gateway automatisch DSGVO-konform?

Nein. Das Gateway senkt das Risiko, indem es personenbezogene Daten vor externen Modellen pseudonymisiert, die Daten in der EU hält und ein Audit-Protokoll führt. Rechtsgrundlage der Verarbeitung, Informationspflichten und interne Regeln bleiben in Ihrer Verantwortung.

Fallen wir unter NIS2?

Das hängt von Branche und Unternehmensgröße ab – prüfen lässt es sich anhand der Kriterien des jeweiligen nationalen Umsetzungsgesetzes, in Deutschland etwa mit der NIS-2-Betroffenheitsprüfung des BSI. Transparenz und Regeln für die KI-Nutzung lohnen sich aber auch für Unternehmen, die nicht betroffen sind.

Was genau bedeutet Pseudonymisierung?

Das Gateway ersetzt personenbezogene Daten wie Namen, Ausweisnummern, Kontaktdaten, Adressen oder Kontonummern durch Platzhalter, bevor eine Anfrage an ein externes Modell geht. Das Modell arbeitet also ohne die echten Daten. Weitere sensible Angaben (z. B. Kundennamen oder interne Kennungen) ergänzen Sie mit eigenen Regeln.

Wo werden die Daten verarbeitet?

Die gehostete Instanz läuft in Google Cloud in der Region europe-west3 (Frankfurt). Externe Modelle (OpenAI, Anthropic, Google) werden über die Unternehmenskonten von FutuGen oder über Ihre eigenen API-Schlüssel angesprochen. Das Gateway lässt sich auch On-Premise betreiben.