Wie kann eine NGO ein KI-Wissenssystem über die eigenen Akten aufsetzen – ohne genau die Menschen zu gefährden, die ihr vertrauen? Vier Teile über Daten, Server, Löschbarkeit und die Machtfrage. Jede zentrale Zahl belegt, jede Anbieter-Behauptung als Anspruch markiert – Faktentreue vor Wirkung. Dazu ein Nachtrag, der die Betriebsfrage nachlegt – die Ebene, an der die schönste Architektur im Alltag durchfällt.
DSGVO-Konformität eines RAG-Systems ist kein Häkchen, sondern eine Kette von Entscheidungen entlang der Datenflüsse. Der härteste Knoten ist nicht die Technik, sondern die Kombination aus Drittstaaten-Zugriff (CLOUD Act), besonderen Datenkategorien (Artikel 9) und dem praktisch ungelösten Löschproblem im Vektorspeicher. Für die meisten NGOs mit sensiblen Klient:innendaten führt der belastbarste Weg über EU-Hosting oder lokalen Betrieb – nicht über US-Cloud-APIs. Diese Reihe geht den schmalen Grat zwischen Nutzen und Schutz, statt sich auf eine der beiden bequemen Seiten zu schlagen.
Was ins System kommt: die sieben Stellen, an denen personenbezogene Daten anfallen, warum Artikel 9 für NGOs der Normalfall ist – und weshalb „anonymisiert“ meist eine Illusion ist.
Wo verarbeitet wird: CLOUD Act, Schrems II, das erneut angefochtene Data Privacy Framework – und warum der vollständig lokale Betrieb keine Bastelei ist, sondern eine politische Option.
Was bleibt: das Löschproblem im Vektorspeicher, „Ghost Vectors“, die hohe Anonymitätshürde der EU-Aufsicht – und die Frage, ob so ein System überhaupt vergessen kann.
Wer entscheidet: Datenschutz-Folgenabschätzung, der verschobene AI Act, die ehrliche Empfehlung nach NGO-Größe – und die Machtfrage, die auch der eigenen Seite widerspricht.
Was in der Reihe fehlt: die Betriebsfrage. Betriebssicherheit vs. Rechtsschutz, die achte Stelle im Datenfluss – und warum Souveränität eine Zuständigkeit ist, keine Anschaffung. Der Praxis-Teil, den man leicht überspringt und am ehesten braucht.
Ihr wollt ein KI-Wissenssystem über eure eigenen Akten aufsetzen – DSGVO-fest und ohne die Menschen zu gefährden, die euch vertrauen? Oder die ganze Reihe als Vortrag für euer Team?
Erstgespräch buchen