RAG-Systeme machen generative KI für Unternehmen besonders interessant: Die KI kann auf interne Dokumente, Richtlinien oder Wissensdatenbanken zugreifen und daraus passende Antworten erzeugen. Doch sobald dabei personenbezogene oder vertrauliche Informationen verarbeitet werden, wird Datenschutz relevant. Entscheidend ist deshalb nicht nur, ob Daten zum Training verwendet werden, sondern auch, wo sie gespeichert werden, wer darauf zugreifen kann und welche Anbieter beteiligt sind.
Das Wichtigste auf den ersten Blick
RAG bedeutet nicht automatisch, dass Unternehmensdaten zum Training der KI verwendet werden.
Personenbezogene Daten können trotzdem an mehreren Stellen verarbeitet werden.
Berechtigungen aus bestehenden Systemen sollten auch im RAG berücksichtigt werden.
Externe KI-, Cloud- und Embedding-Anbieter müssen datenschutzrechtlich geprüft werden.
Löschung, Zugriffskontrolle und Dokumentation sollten bereits vor dem Go-live geregelt sein.
Was passiert bei einem RAG-System eigentlich mit den Unternehmensdaten?
Retrieval Augmented Generation – kurz RAG – verbindet ein Sprachmodell mit zusätzlichen Datenquellen. Das können interne Richtlinien, Verträge, Wissensdatenbanken, SharePoint-Inhalte oder Prozessbeschreibungen sein.
Interne Unternehmensdaten müssen nicht dauerhaft in das Sprachmodell eintrainiert werden. Trotzdem können personenbezogene Daten beim Einlesen, bei der Indexierung, in Embeddings, beim Retrieval oder beim Aufruf eines externen KI-Modells verarbeitet werden.
Die wichtigste Frage kommt vor der Technik: Welche Daten landen im RAG?
Bevor Unternehmen über Modelle und Vektordatenbanken sprechen, sollten sie klären, welche Informationen überhaupt für das RAG-System verfügbar gemacht werden.
Enthalten die Dokumente Namen, E-Mails, Kundeninformationen, Mitarbeiterdaten oder andere personenbezogene Angaben?
Sind beispielsweise Gesundheitsdaten, Bewerbungsdaten oder andere besonders schutzbedürftige Informationen enthalten?
Enthält die Wissensbasis Verträge, Geschäftsgeheimnisse, Kalkulationen oder interne Strategien?
Haben bereits heute unterschiedliche Nutzer unterschiedliche Zugriffsrechte auf die angebundenen Dokumente?
Das größte praktische Risiko: Die KI hebelt bestehende Zugriffsrechte aus
Nur weil eine Information intern vorhanden ist, darf sie nicht automatisch jeder über den KI-Chatbot abrufen.
Werden Daten aus verschiedenen Systemen gemeinsam indexiert, müssen deren Zugriffsgrenzen auch bei der KI-Suche berücksichtigt werden.
Ein Mitarbeiter darf über SharePoint nur Dokumente seiner Abteilung sehen. Ein RAG-System darf ihm deshalb nicht plötzlich Inhalte aus HR, Geschäftsführung oder anderen geschützten Bereichen anzeigen.
Die Berechtigungsprüfung sollte möglichst bereits beim Retrieval greifen. So bekommt das Sprachmodell nur Informationen, die der jeweilige Nutzer tatsächlich sehen darf.
- Werden bestehende Rollen und Berechtigungen übernommen?
- Prüft das System vor der Suche, welche Dokumente sichtbar sein dürfen?
- Sind Abteilungen und Nutzergruppen sauber getrennt?
- Werden Berechtigungsänderungen automatisch berücksichtigt?
- Was passiert beim Austritt eines Mitarbeiters?
Diese Datenschutzfragen müssen Unternehmen bei RAG klären
Datenschutz entsteht beim RAG-System aus dem Zusammenspiel von Datenquelle, Architektur, Anbieter und Zugriffsrechten.
„Unsere Daten werden nicht fürs Training genutzt“ reicht nicht aus
Dass Unternehmensdaten nicht zum Training eines Modells verwendet werden, ist wichtig. Für eine vollständige Datenschutzprüfung reicht diese Information aber nicht.
Zusätzlich prüfen
- Welche Daten erhält der Anbieter?
- Werden Prompts oder Antworten gespeichert?
- Wie lange bleiben technische Logs erhalten?
- Welche Unterauftragnehmer sind beteiligt?
- In welchen Ländern werden Daten verarbeitet?
Verträge und Rollen
Verarbeitet ein externer Dienstleister personenbezogene Daten für das Unternehmen, müssen insbesondere die Rollenverteilung, eine mögliche Auftragsverarbeitung sowie eventuelle Drittlandtransfers geprüft werden.
Auch Embeddings und die Vektordatenbank gehören in die Datenschutzprüfung
Bei RAG sollte nicht nur das Sprachmodell betrachtet werden. Datenschutz betrifft die gesamte Verarbeitungskette.
Quelldaten
Welche Dokumente werden angebunden und welche personenbezogenen oder vertraulichen Informationen enthalten sie?
Embeddings & Index
Wo werden Embeddings und Dokumentausschnitte gespeichert und wie sind die Zugriffe geschützt?
LLM & Logs
Welche Inhalte gelangen zum Sprachmodell und welche Anfragen oder Antworten werden protokolliert?
Auch Vektor- und Embedding-Systeme sollten in Berechtigungs-, Sicherheits- und Löschkonzepte einbezogen werden.
Löschen muss auch im RAG-System funktionieren
Eine wichtige Frage entsteht spätestens dann, wenn ein Dokument geändert oder gelöscht wird.
Informationen können zusätzlich als Chunks, Embeddings, Cache-Einträge oder Protokolldaten vorhanden sein. Ein Löschkonzept sollte deshalb die gesamte RAG-Architektur berücksichtigen.
- Wie werden geänderte Dokumente neu indexiert?
- Wie schnell verschwinden gelöschte Inhalte aus dem Index?
- Werden alte Embeddings entfernt?
- Welche Daten befinden sich in Logs oder Caches?
- Wie können Auskunft, Berichtigung und Löschung umgesetzt werden?
Braucht ein RAG-System eine Datenschutz-Folgenabschätzung?
Eine Datenschutz-Folgenabschätzung ist nicht automatisch für jedes RAG-System erforderlich. Entscheidend ist das konkrete Risiko der Verarbeitung.
Genauer prüfen bei
- großen Mengen personenbezogener Daten,
- besonders sensiblen Informationen,
- umfangreichen Mitarbeiter- oder Kundendaten,
- Profiling oder Bewertung von Personen,
- Verarbeitungen mit erhöhtem Risiko.
Entscheidung dokumentieren
Auch wenn keine Datenschutz-Folgenabschätzung notwendig ist, sollte nachvollziehbar dokumentiert werden, welche Risiken geprüft und welche Schutzmaßnahmen umgesetzt wurden.
So bereitest du ein RAG-Projekt datenschutzrechtlich vor
Am einfachsten lässt sich Datenschutz berücksichtigen, bevor große Datenbestände an das RAG-System angebunden werden.
Use Case festlegen Kläre, wofür das System eingesetzt wird und wer es verwenden darf.
Datenquellen prüfen Ermittle, welche personenbezogenen und vertraulichen Informationen enthalten sind.
Datenfluss dokumentieren Halte fest, welche Daten zwischen Quelle, Index, Anwendung und Sprachmodell fließen.
Berechtigungen übernehmen Stelle sicher, dass bestehende Zugriffsbeschränkungen auch beim Retrieval gelten.
Anbieter prüfen Kläre Auftragsverarbeitung, Unterauftragnehmer, Speicherorte und mögliche Drittlandtransfers.
Löschung testen Prüfe praktisch, ob Informationen aus allen relevanten Komponenten entfernt werden können.
Wann externe Datenschutz-Unterstützung sinnvoll ist
Bei RAG-Projekten treffen Datenschutz, IT-Sicherheit, Vertragsprüfung und technische Architektur direkt aufeinander.
Unterstützung kann sinnvoll sein, wenn
- personenbezogene Daten aus mehreren Systemen eingebunden werden,
- die Rechtsgrundlage unklar ist,
- externe KI- oder Cloud-Anbieter beteiligt sind,
- Berechtigungen komplex aufgebaut sind,
- eine DSFA geprüft werden muss.
Was geprüft werden sollte
- der konkrete RAG-Use-Case,
- die beteiligten Daten und Systeme,
- der technische Datenfluss,
- Auftragsverarbeitung und Drittlandtransfers,
- Berechtigungs- und Löschkonzepte.
Du möchtest ein RAG- oder KI-Projekt datenschutzrechtlich prüfen lassen?
Über ComplyDeal kannst du passende Datenschutz-Anbieter vergleichen und klären, welche Unterstützung für dein Unternehmen sinnvoll ist.
Fazit: Bei RAG entscheidet die Architektur über das Datenschutzrisiko
Aber entscheidend ist, welche Daten eingebunden werden, wer darauf zugreifen darf, welche Dienstleister beteiligt sind und wie Löschung sowie Berechtigungen technisch umgesetzt werden.
Daten verstehen
Kläre, welche Informationen tatsächlich in der Wissensbasis landen.
Zugriffe begrenzen
Das RAG-System sollte bestehende Berechtigungen konsequent berücksichtigen.
Prozess dokumentieren
Datenflüsse, Anbieter, Speicherorte, Löschung und Schutzmaßnahmen sollten nachvollziehbar sein.
Häufige Fragen
Ist ein RAG-System mit internen Unternehmensdaten DSGVO-konform?
Das kann es sein. Entscheidend ist, wie personenbezogene Daten konkret verarbeitet werden. Zweck, Rechtsgrundlage, Berechtigungen, Dienstleister, Speicherorte und Löschung sollten vorab geklärt werden.
Werden bei RAG Unternehmensdaten zum Training der KI verwendet?
Nicht zwangsläufig. Bei einem klassischen RAG-System werden passende Informationen bei einer Anfrage als zusätzlicher Kontext bereitgestellt. Ob ein Anbieter Daten darüber hinaus zu eigenen Zwecken verwendet, sollte separat geprüft werden.
Sind Embeddings personenbezogene Daten?
Das lässt sich nicht pauschal beantworten. Embeddings sollten deshalb nicht automatisch als anonym betrachtet und ebenfalls in die Datenschutzprüfung einbezogen werden.
Muss das RAG-System bestehende Berechtigungen berücksichtigen?
Ja, das ist für Datenschutz und Vertraulichkeit besonders wichtig. Nutzer sollten über das RAG-System grundsätzlich keine Informationen erhalten, auf die sie im ursprünglichen System nicht zugreifen dürfen.
Braucht jedes RAG-System eine Datenschutz-Folgenabschätzung?
Nein. Entscheidend ist, ob die konkrete Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht.
Reicht es, ein Dokument aus der Datenquelle zu löschen?
Nicht immer. Je nach Architektur können Informationen zusätzlich im Vektorindex, in Embeddings, Caches oder Logs vorhanden sein. Der Löschprozess sollte deshalb das gesamte System berücksichtigen.
Harald Orendi ist Jurist mit Schwerpunkt Datenschutzrecht und bei ComplyDeal für die fachliche Bewertung der Compliance-Themen verantwortlich. Er begleitet Unternehmen in Deutschland und Österreich bei der Frage, welche Datenschutz-Pflichten sie konkret treffen.