DSGVO und KI: was die CNIL KMU wirklich abverlangt

Die DSGVO wartet nicht auf ein «KI-Projekt». Sie gilt sobald eine Person identifizierbar ist in dem, was Sie tippen, einfügen oder indexieren. Ein Angebot, ein CV, ein Mail-Thread: das ist schon die Verordnung.

Die CNIL hat es KMU klar gesagt: das Unternehmen ist Verantwortlicher. Nicht der Praktikant. Nicht OpenAI. Sie.

Wir haben bereits erzählt, was passiert, wenn man eine Kundenakte in ChatGPT einfügt. Hier die andere Seite: was tun, bevor es passiert.

Was die CNIL wirklich sagt (nicht LinkedIn)

Drei offizielle Dokumente reichen. Kein 400-€/h-Büro.

1. Die TPE/PME-Factsheets (France Num / CPME / CNIL): keine vertraulichen, personenbezogenen oder strategischen Daten in ein Verbraucher-Tool.
2. Die FAQ « generative KI einsetzen »: Kundendaten oder sensible Docs → On-Premise bevorzugen. Eine US-Cloud-API ist das Gegenteil: Sie kontrollieren fast nichts.
3. Empfehlungen zur Entwicklung von KI-Systemen: Zweck, Rechtsgrundlage, Minimierung. Nützlich auch ohne Training — denn Ihr Prompt trainiert oft den Anbieter.

Der EU-KI-Gesetz (Chatbot-Transparenz usw.) rückt 2026 näher. Die DSGVO ist seit 2018 da. Man überlebt nicht, indem man auf den nächsten Text wartet.

Die Montagmorgen-Checkliste

Kein 40-Seiten-Register. Fünf Zeilen, die eine Assistenz halten kann.

Frage	Wenn die Antwort « nein » ist
Haben wir schriftlich festgelegt, was in einen Chatbot darf?	Leute fügen ein. Das ist menschlich.
Bleiben Kunden- / HR- / Gesundheitsdaten außerhalb von Verbraucher-Tools?	Sie sind schon in unkontrollierter Verarbeitung.
Wissen wir wer der Anbieter ist, wo es läuft, ob Prompts das Modell trainieren?	AGB lesen. Dann Tool wechseln.
Liest ein Mensch vor dem Versand an den Kunden?	Halluzination ist Ihre Unterschrift.
Können wir löschen oder stoppen, wenn ein Kunde fragt?	Auskunft / Löschung: Sie, nicht der Chatbot.

Das ist DSGVO in der KMU. Nicht « 20 Millionen Euro ». Es heißt: der CNIL und Ihrem Kunden erklären können, was Sie mit seinen Daten gemacht haben.

Transfer außerhalb der EU: die « es ist verschlüsselt »-Falle

Ein US-Tool mit Rechenzentrum in Frankfurt hebt den CLOUD Act nicht auf. Die CNIL erinnert: wenn Daten die EU verlassen können (Muttergesellschaft, Support, Logs), brauchen Sie Rahmen. « Wir haben DSGVO in den Einstellungen angehakt » ist kein Rahmen.

Was wir konkret anbieten

Die CNIL sagt: Personendaten oder sensible Docs → On-Premise, statt einer API, deren Schlüssel Sie nicht mehr halten.

Das ist AroBox: Index und Dateien bei Ihnen; Inferenz auf privater Arobass-Infrastruktur in Frankreich; Entwürfe zur Freigabe. 15 Tage Test, Angebot auf Devis. AVV und Vertrag separat — kein Zauberzertifikat.

Keine Rechtsberatung. Für einen konkreten Fall: Ihr Berater oder cnil.fr.

Test anfragen — wir installieren, grenzen den Index ein, und ChatGPT-Einfügen ist nicht mehr Plan B des Teams.