KI & Sicherheit

Recht und Compliance

Welche technischen Trigger rechtliche, Datenschutz- oder Kundenklärung auslösen sollten.

Stand: 2026-06-05

Hinweis: Diese Empfehlung ist keine Rechtsberatung. Sie beschreibt technische und organisatorische Trigger, bei denen Datenschutz, Recht, Projektleitung oder Kunde einbezogen werden müssen.

Kurzfassung

  • Fokus sind Deutschland/EU-Kunden.
  • Rechtsfragen nicht wegprompten: klären, dokumentieren, eskalieren.
  • Bis auf Zugangsdaten kann praktisch alles mit KI in Berührung kommen: Code, Doku, Tickets, personenbezogene Daten, Produktionsdaten, Verträge, Preise und Kundendetails.
  • Zugangsdaten und Secrets bleiben tabu.
  • Technischer Lead erkennt den Trigger, Projektleiter koordiniert, Datenschutz/Recht/Kunde werden je nach Risiko einbezogen.
  • KI als Entwicklerwerkzeug ist interne Tool-Nutzung; KI als Produktfunktion ist Compliance-Thema.
  • Vertraulichkeit gilt auch für KI-Kontext.
  • Lizenz-/Urheberrechtsrisiken sind normales Review-Thema, bei Auffälligkeit wird eskaliert.

Grundsatz

Sobald personenbezogene Daten, Kundendaten oder vertrauliche Projektinformationen betroffen sein können, ist KI-Nutzung kein rein technisches Thema mehr.

Rechtsfragen nicht wegprompten: klären, dokumentieren, eskalieren.

Entwickler entscheiden nicht final über Recht oder Compliance. Entwickler erkennen Trigger, benennen Datenarten, stoppen riskante Nutzung und eskalieren.

Rechtlich relevante Trigger

Eskalieren, wenn einer dieser Punkte betroffen sein kann:

  • personenbezogene Daten,
  • Produktionsdaten oder Dumps,
  • Kundentickets mit echten Kundendetails,
  • Verträge, Preise oder Angebote,
  • vertrauliche Kundendokumente,
  • sensible Geschäftslogik,
  • Code für Systeme, die sensible Daten verarbeiten,
  • Cloud-KI oder Anbieter außerhalb klarer Freigabe,
  • Subdienstleister, Plugins, MCP oder Rule-Packs mit Datenzugriff,
  • möglicher Datenabfluss oder Incident.

Eskalationslinie:

  • Technischer Lead erkennt den Trigger.
  • Projektleiter koordiniert.
  • Datenschutz, Recht oder Kunde werden je nach Risiko einbezogen.

DSGVO und Datenschutz

Bei Deutschland/EU-Kunden sind personenbezogene Daten, Produktionsdaten, Dumps, Kundentickets und Datenabfluss-Verdacht keine rein technischen Themen.

Praktische Mindestregel:

  • keine personenbezogenen Daten in KI ohne Zweck, Freigabe und passende Grundlage,
  • keine Produktionsdaten oder Dumps in KI ohne explizite Klärung,
  • keine Kundentickets mit echten Personendaten in Cloud-KI ohne Freigabe,
  • bei Verdacht auf Datenabfluss Incident-Prozess starten,
  • Anbieterprüfung beachten, wenn personenbezogene Daten an externe KI-Dienste gehen können.

Relevante DSGVO-Themen sind insbesondere Auftragsverarbeitung, Sicherheit der Verarbeitung und mögliche Melde-/Benachrichtigungspflichten bei Datenschutzverletzungen.

EU AI Act / KI-Verordnung

KI als Entwicklerwerkzeug ist interne Tool-Nutzung.

KI als Produktfunktion ist Compliance-Thema und muss separat geprüft werden.

Eskalieren, wenn:

  • KI-Funktion Teil des Kundenprodukts wird,
  • KI Entscheidungen über Menschen trifft oder beeinflusst,
  • KI bewertet, priorisiert, scored oder profiliert,
  • Bewerber, Beschäftigte, Bildung, Kredit, Versicherung, Gesundheit, Behörden oder kritische Infrastruktur betroffen sind,
  • biometrische oder personenbezogene Auswertung stattfindet,
  • KI-Agent Aktionen für Nutzer oder Kunden ausführt,
  • Kunde nach KI-Compliance fragt oder KI ausdrücklich einschränkt.

P0:

  • keine KI-Funktion in Kundenprodukt einbauen, ohne zu prüfen, ob AI Act, DSGVO, Kundenvertrag oder Branchenvorgaben betroffen sind.

Urheberrecht und Lizenzen

Lizenz- und Urheberrechtsrisiken werden im normalen Code Review erkannt und bei Auffälligkeit eskaliert.

P0:

  • keine großen unbekannten KI-Snippets blind übernehmen,
  • keine Copyright- oder Lizenzhinweise entfernen,
  • keine fremden Assets, Texte oder Bilder ohne Nutzungsrechte verwenden,
  • keine Dependencies ohne grobe Lizenzprüfung,
  • bei auffällig spezifischer Herkunft prüfen oder neu schreiben.

Regel:

Unklare Herkunft ist ein Review-Signal.

Vertraulichkeit, NDA und Kundenvertrag

Vertraulichkeit gilt auch für KI-Kontext.

Praktische Regeln:

  • Kundencode ist vertraulich, auch ohne personenbezogene Daten.
  • Tickets, Jira, Trello und Projektdokumentation können vertraulich sein.
  • Angebote, Preise und Vertragsinformationen sind kein KI-Material ohne Freigabe.
  • Cloud-KI kann ein externer Dritter oder Subdienstleister sein.
  • Lokale LLMs sind nicht automatisch frei, wenn sie als Netzwerkdienst mit Logs oder mehreren Nutzern laufen.
  • Kundenvertrag oder NDA können KI-Nutzung einschränken, auch wenn DSGVO nicht direkt betroffen ist.

P0-No-Gos

  • Keine Zugangsdaten oder Secrets in KI.
  • Keine personenbezogenen Daten ohne Zweck, Freigabe und passende Grundlage.
  • Keine Produktionsdaten, Dumps oder Kundentickets mit Echtdaten ohne Klärung.
  • Keine vertraulichen Kundendaten gegen Vertrag, NDA oder Kundenwunsch.
  • Keine KI-Funktion im Kundenprodukt ohne separate Compliance-Prüfung.
  • Keine Rechts-, Personal-, Finanz-, Gesundheits- oder Bewertungsentscheidungen ohne fachliche und rechtliche Prüfung.
  • Keine großen unbekannten KI-Snippets oder Assets ohne Herkunfts-/Lizenzklärung.
  • Kein Datenabfluss-Verdacht ohne Incident-Prozess.
  • Keine Zusage gegenüber Kunden, die technisch oder organisatorisch nicht kontrolliert wird.

Mindeststandard

Für Recht und Compliance gilt mindestens:

  • Datenart vor KI-Nutzung erkennen,
  • personenbezogene Daten und vertrauliche Daten markieren,
  • Kundenvorgaben und NDA beachten,
  • Anbieter-/Tool-Freigabe prüfen,
  • KI als Produktfunktion separat eskalieren,
  • Urheber-/Lizenzauffälligkeiten im Review ansprechen,
  • Incidents dokumentieren,
  • technische Trigger an Projektleitung, Datenschutz oder Recht weitergeben.

Teamentscheidung

Für Deutschland/EU-Kunden werden DSGVO, Kundenvertrag, Vertraulichkeit, Lizenzfragen und AI Act als relevante Rahmenbedingungen betrachtet.

Entwickler treffen keine finale Rechtsbewertung, sondern erkennen Trigger und eskalieren.

Technischer Lead erkennt technische und datenbezogene Trigger. Projektleiter koordiniert die weitere Klärung. Datenschutz, Recht oder Kunde werden je nach Risiko einbezogen.

KI als Entwicklerwerkzeug wird als interne Tool-Nutzung behandelt. KI als Produktfunktion wird separat auf Compliance geprüft.

Zugangsdaten und Secrets bleiben vollständig tabu.

Vertraulichkeit gilt auch für KI-Kontext.

Lizenz- und Urheberrechtsrisiken werden im normalen Review erkannt und bei Auffälligkeit eskaliert.

Wandregeln

Rechtsfragen nicht wegprompten: klären, dokumentieren, eskalieren.

Personenbezogene Daten machen KI-Nutzung zum Datenschutzthema.

KI im Produkt ist Compliance, nicht nur Technik.

Vertraulichkeit gilt auch im Prompt.

Secrets bleiben tabu.

Offene Teamfragen

  • Wer ist je Projekt erste Anlaufstelle für Datenschutz-/Compliance-Trigger?
  • Wo werden Kundenvorgaben zu KI dokumentiert?
  • Welche Kundenverträge oder NDAs enthalten bereits KI-, Cloud- oder Subdienstleister-Regeln?
  • Wann wird Datenschutz/Recht zwingend einbezogen?
  • Wie wird KI als Produktfunktion im Projekt markiert?
  • Welche Lizenzprüfung ist bei neuen Dependencies Pflicht?
  • Welche Incident-Fälle lösen Kundenkommunikation oder Datenschutzprüfung aus?

Quellen

  • DSGVO / Regulation (EU) 2016/679: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679
  • EU-Kommission zu Datenschutzverletzungen: https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/what-data-breach-and-what-do-we-have-do-case-data-breach_de
  • BfDI zu KI-Modellen und personenbezogenen Daten: https://www.bfdi.bund.de/DE/BfDI/Konsultationsverfahren/KI-Modelle-pbD/KI-Modelle-pbD_node.html
  • EU AI Act / Regulation (EU) 2024/1689: https://eur-lex.europa.eu/eli/reg/2024/1689/
  • EU-Kommission zum AI Act: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
  • EU AI Act Service Desk FAQ: https://ai-act-service-desk.ec.europa.eu/en/faq