Es ist zur Standardreaktion geworden: „Wir können bei KI nicht weiterkommen wegen der DSGVO."
Das klingt verantwortungsbewusst. Es signalisiert Umsicht. Und es stoppt effektiv jeden Fortschritt.
Aber in den allermeisten dänischen Organisationen stimmt das nicht.
Die DSGVO ist selten das, was KI-Initiativen tatsächlich blockiert. Sie ist nur der akzeptabelste Ort, um die Verantwortung abzulegen. Denn hinter dieser Erklärung verbergen sich drei weitaus grundlegendere Probleme: fehlender Datenbesitz, das Fehlen von Nachvollziehbarkeit und, am wichtigsten, mangelndes internes Vertrauen.
Wenn Sie diese drei nicht angehen, kommen Sie nicht weiter. Egal, wie compliant Sie sind.
Die DSGVO ist eine bekannte Größe, und genau das ist der Punkt
Die DSGVO ist nicht neu. Sie ist nicht unvorhersehbar. Sie ist ein klar definiertes Regelwerk mit eindeutigen Prinzipien: Zweckbindung, Datenminimierung, Transparenz sowie Recht auf Auskunft und Löschung.
Wenn Ihre Organisation bereits heute personenbezogene Daten verarbeitet, und das tun die meisten, dann arbeiten Sie bereits innerhalb dieses Rahmens. KI ändert daran grundsätzlich nichts. Sie macht die Schwachstellen nur sichtbarer.
Das Problem ist nicht, dass die Regeln unklar sind. Das Problem ist, dass Ihr Datenfundament in der Praxis nicht darauf ausgelegt ist, sie zu erfüllen.
Wenn die DSGVO also als Stoppschild benutzt wird, ist das oft ein Stellvertreter für etwas anderes: „Wir haben unsere Daten nicht im Griff, und das wissen wir genau."
Problem 1: Niemand weiß, wem die Daten gehören
Fragen Sie in der Organisation herum: Wem gehören die Kundendaten? Wer ist für die Qualität verantwortlich? Wer darf die Nutzung in neuen Zusammenhängen genehmigen?
Sie bekommen selten eine klare Antwort.
In vielen dänischen Unternehmen sind Daten „etwas, das die IT hat", aber nichts, das jemand wirklich besitzt. Das funktioniert, bis man die Daten aktiv nutzen will, etwa für KI.
KI erfordert explizite Entscheidungen: Dürfen diese Daten für diesen Zweck verwendet werden? Was ist die Konsequenz, wenn das Ergebnis falsch ist? Wer steht dafür gerade?
Ohne klaren Besitz werden alle Entscheidungen politisch. Und dann ist es weitaus einfacher, „DSGVO" zu sagen, als Verantwortung zu übernehmen. Projekte geraten ins Stocken, nicht weil sie illegal wären, sondern weil niemand es wagt, sie zu genehmigen.
Problem 2: Fehlende Nachvollziehbarkeit
Selbst wenn Sie die Daten nutzen dürfen, taucht schnell das nächste Problem auf: Können Sie erklären, was passiert?
Welche Daten wurden verwendet? Wann wurden sie abgerufen? Welches Modell hat das Ergebnis erzeugt? Können Sie das Ergebnis reproduzieren?
Bei klassischer Software ist das bereits eine Herausforderung. Bei KI-Systemen wird es kritisch. Denn wenn ein Mitarbeiter oder Bürger fragt: „Wie seid ihr zu diesem Ergebnis gekommen?", ist „das wissen wir nicht so genau" keine akzeptable Antwort.
Viele Organisationen entdecken erst an diesem Punkt, dass ihr Setup nicht auf Nachvollziehbarkeit ausgelegt ist. Daten fließen zwischen Systemen ohne klare Protokolle. Transformationen sind nicht dokumentiert. Ergebnisse lassen sich nicht erklären. Und wieder gilt: Es ist einfacher zu sagen „wir dürfen nicht wegen der DSGVO", als zuzugeben, „wir können nicht dokumentieren, was wir tun."
Problem 3: Fehlendes internes Vertrauen
Das größte und am meisten übersehene Problem ist Vertrauen. Nicht rechtliches Vertrauen. Internes Vertrauen.
Die Geschäftsführung traut den Ergebnissen nicht. Die Fachbereiche trauen den Daten nicht. Die IT traut der Nutzung durch das Geschäft nicht. Compliance traut keinem von beiden.
KI verstärkt das, weil sie eine neue Art von Unsicherheit einführt: Ergebnisse sind probabilistisch, Fehler sind schwerer vorherzusehen, und die Verantwortung ist unklar. In einem dänischen Kontext, in dem Entscheidungen oft konsensgetrieben sind, wird das schnell zum Stopper. Wenn sich niemand sicher fühlt, ist die Standardentscheidung, es zu lassen. Die DSGVO wird dann zur gemeinsamen Sprache, hinter der sich alle verstecken können.
Wo die DSGVO tatsächlich relevant ist
Das bedeutet nicht, dass die DSGVO belanglos ist. Das ist sie nicht.
Aber es ist wichtig, genau zu benennen, wo sie tatsächlich greift: Nutzung personenbezogener Daten beim Training oder bei der Inferenz, Übermittlung von Daten in Drittländer, automatisierte Entscheidungen mit Rechtswirkung, Transparenzanforderungen gegenüber Nutzern.
Das sind konkrete, handhabbare Fragestellungen. Organisationen, denen KI in Dänemark gelingt, tun weder das eine noch das andere: Sie ignorieren die DSGVO nicht, und sie benutzen sie auch nicht als Ausrede. Sie operationalisieren sie.
Was diese Organisationen anders machen
Es gibt ein Muster bei den Unternehmen und öffentlichen Einrichtungen, die tatsächlich vorankommen.
Sie etablieren klaren Datenbesitz, nicht als Theorie, sondern als Praxis. Jeder Datensatz hat einen Eigentümer, einen Qualitätsverantwortlichen und einen Genehmigungsprozess für die Nutzung. Das beseitigt 80 % der Reibung.
Sie bauen Nachvollziehbarkeit von Anfang an ein, nicht als nachträgliche Compliance-Schicht. Sie sorgen für Logging der Datenflüsse, Versionierung von Modellen und Prompts sowie die Möglichkeit, Ergebnisse zu reproduzieren. Das macht es möglich, für das System geradezustehen.
Sie beginnen mit risikoarmen Anwendungsfällen: interne Dokumentensuche, Antwortentwürfe, Unterstützungswerkzeuge für Mitarbeiter. Das baut schrittweise Vertrauen auf, ohne alles aufs Spiel zu setzen.
Sie machen Unsicherheit explizit, statt sie zu verbergen. Ergebnisse werden als Vorschläge gekennzeichnet. Es gibt immer einen „Human in the Loop". Einschränkungen werden klar kommuniziert. Das reduziert die Angst, intern wie extern.
Die eigentliche Blockade
Die eigentliche Blockade ist selten rechtlicher Natur. Sie ist organisatorisch: unklare Verantwortlichkeiten, fehlende Systematik, geringes Vertrauen.
Die DSGVO ist nur der akzeptabelste Ort, um das Problem zu parken.
Aber es ist auch eine Chance. Denn wenn Sie sich daranmachen, die zugrunde liegenden Herausforderungen zu lösen, den Datenbesitz in den Griff bekommen, Nachvollziehbarkeit etablieren, internes Vertrauen aufbauen, wird die DSGVO plötzlich zu etwas, mit dem Sie arbeiten können, statt dagegen.
Zu sagen „wir können nicht wegen der DSGVO" fühlt sich sicher an. Aber in den meisten Fällen ist es nicht präzise.
Die härtere und wertvollere Erkenntnis lautet: Wir sind noch nicht bereit. Nicht weil die Gesetzgebung uns daran hindert, sondern weil unser Fundament nicht stark genug ist.
Das ist eigentlich eine gute Nachricht. Denn im Gegensatz zur DSGVO, die Sie nicht ändern können, können Sie Ihre eigene Organisation durchaus ändern.
Genau dort beginnt die Arbeit.