KI-Übersetzungstools: Datenschutzrisiken bei Sprachdaten

KI-Übersetzungstools gewinnen in Unternehmen, Behörden und Einrichtungen zunehmend an Bedeutung. Sie ermöglichen es, Texte, Gespräche und Dokumente schnell, effizient und in zahlreichen Sprachen zu übersetzen – etwa im Kundenservice, im Bürgerbüro oder bei der internen Kommunikation. Der praktische Nutzen ist hoch: Prozesse werden beschleunigt, Sprachbarrieren reduziert und Ressourcen eingespart. Gleichzeitig entstehen erhebliche Datenschutzfragen, wenn personenbezogene Daten, sensible Inhalte oder Spracheingaben verarbeitet werden.

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat die zweite Ausgabe seiner Reihe „AI in a nutshell“ veröffentlicht, die sich explizit dem Einsatz von KI-basierten Sprachübersetzungstools widmet. Die Handreichung behandelt zentrale KI-datenschutzrechtliche Fragestellungen zur Beachtung bei Beschaffung und Nutzung von KI-Sprachübersetzungstools.

KI-Übersetzungstools verarbeiten nicht nur den eingegebenen Text oder das gesprochene Wort. Je nach System können auch Anmeldedaten, Metadaten, Eingabeaufforderungen, Ausgabedaten oder weitere Nutzungsdaten entstehen. Diese Informationen können personenbezogen sein und damit unter die Datenschutz-Grundverordnung (DSGVO) fallen.

Besonders sensibel wird es bei Spracheingaben. Die Stimme einer Person kann Rückschlüsse auf Identität, Herkunft, Gesundheitszustand oder andere persönliche Merkmale zulassen. Werden Sprachdaten zur eindeutigen Identifizierung genutzt, können sogar biometrische Daten betroffen sein. Dann gelten besonders hohe Anforderungen.

Der konkrete Einsatzbereich ist entscheidend. Werden KI-Übersetzungstools etwa im Gesundheitswesen, in der Sozialverwaltung, im Personalbereich oder bei behördlichen Verfahren eingesetzt, können schnell besondere Kategorien personenbezogener Daten betroffen sein. Dazu gehören Gesundheitsdaten, Sozialdaten oder Informationen über persönliche Lebensumstände.

Auch scheinbar einfache Übersetzungen können sensible Inhalte enthalten. Wird etwa ein Gespräch mit einer Behörde, einer Ärztin oder einem Sozialleistungsträger übersetzt, können Informationen verarbeitet werden, die besonders schutzbedürftig sind. Verantwortliche sollten deshalb genau festlegen, für welche Zwecke ein KI-Übersetzungstool genutzt werden darf und welche Inhalte ausgeschlossen sind.

Ein besonders wichtiger Punkt ist die Frage, ob Eingaben zum Training des KI-Systems verwendet werden. Gerade bei externen Tools muss geprüft werden, ob Texte, Sprachaufnahmen oder Übersetzungsergebnisse gespeichert oder für ein Weitertraining des KI-Systems genutzt werden.

Für Verantwortliche ist das riskant. Personenbezogene oder sensible Daten dürfen nicht ohne Rechtsgrundlage an Anbieter übermittelt oder zum Training weiterverwendet werden. Deshalb sollten Unternehmen und Behörden vertraglich und technisch sicherstellen, dass Eingaben nicht für Trainingszwecke genutzt werden, sofern hierfür keine rechtliche Grundlage besteht.

Vor dem Einsatz eines KI-Übersetzungstools müssen die einzelnen Verarbeitungsschritte sauber geprüft werden. Dazu gehören Anmeldung, Eingabe, Übersetzung, Ausgabe, Speicherung, Löschung und mögliche Weiterverwendung der Daten.

Ebenso wichtig ist die Frage, wer datenschutzrechtlich verantwortlich ist. Je nach Ausgestaltung kann ein Auftragsverarbeitungsvertrag erforderlich sein. In anderen Fällen kann eine gemeinsame Verantwortlichkeit oder eine eigenständige Verantwortlichkeit des Anbieters vorliegen. Diese Rollen sollten vor der Einführung geklärt und dokumentiert werden.

Datenschutz betrifft nicht nur die Frage, ob Daten verarbeitet werden dürfen. Auch die Richtigkeit der verarbeiteten Daten spielt eine wichtige Rolle. Fehlerhafte Übersetzungen können dazu führen, dass Inhalte falsch verstanden, falsch dokumentiert oder falsch bewertet werden.

Das ist besonders relevant, wenn Übersetzungen in behördlichen, medizinischen oder rechtlich bedeutsamen Kontexten verwendet werden. Werden falsche Übersetzungen in Akten übernommen oder zur Entscheidungsgrundlage gemacht, kann dies erhebliche Folgen für betroffene Personen haben. Verantwortliche sollten daher Qualitätskontrollen und klare Grenzen für den Einsatz solcher Tools vorsehen.

Vor der Nutzung von KI-Übersetzungstools sollten Verantwortliche den konkreten Anwendungsbereich festlegen. Dabei sollte geklärt werden, ob nur einfache Alltagstexte übersetzt werden oder ob sensible Inhalte betroffen sein können.

Außerdem sollten Spracheingaben besonders kritisch bewertet werden. Wenn der Zweck auch mit Texteingaben erreicht werden kann, kann dies datenschutzfreundlicher sein. Zusätzlich sollten Löschfristen, Zugriffsbeschränkungen, Anbieterbedingungen, Protokollierung und technische Schutzmaßnahmen geprüft werden.

Wichtig ist auch eine interne Nutzungsrichtlinie. Beschäftigte sollten wissen, welche Daten in KI-Übersetzungstools eingegeben werden dürfen und welche nicht. Ohne klare Vorgaben besteht das Risiko, dass vertrauliche oder sensible Informationen unbewusst in externe Systeme gelangen.

KI-Übersetzungstools können Sprachbarrieren abbauen und Arbeitsprozesse erleichtern. Datenschutzrechtlich sind sie jedoch kein unproblematisches Hilfsmittel. Besonders bei Spracheingaben, sensiblen Daten und möglichem Weitertraining bestehen erhebliche Risiken.

Unternehmen, Behörden und Einrichtungen sollten daher vor dem Einsatz klare Regeln schaffen. Entscheidend sind eine belastbare Rechtsgrundlage, transparente Verantwortlichkeiten, der Ausschluss unzulässiger Trainingsnutzung, geeignete Schutzmaßnahmen und regelmäßige Qualitätskontrollen. Nur so lässt sich der praktische Nutzen von KI-Übersetzungstools mit den Anforderungen der DSGVO vereinbaren.