Autonome KI-Agenten sprengen das Akteursmodell der DSGVO 42 Millionen Euro Bußgeld zeigt die Grenzen alter TOM-Dokumente

Anbieter zum Thema

Kiteworks

cidaas by Widas ID GmbH

FAST LTA GmbH

FTAPI Software GmbH

Seit ihrem Inkrafttreten 2016 hat die DSGVO viel verändert, seit Geltungs­be­ginn 2018 prägt sie den Projektalltag. Doch TOM-Dokumentationen aus die­ser Zeit kennen keine autonomen KI-Agenten, die sich nicht mehr an feste Rollen und Zweckbindung halten. Wie teuer diese Lücke wird, zeigt ein Fall aus Frankreich.

Für deutsche Unternehmen gehören Verzeichnisse von Verarbeitungstätigkeiten nach Artikel 30 längst zum Standard, Datenschutz-Folgenabschätzungen nach Artikel 35 prägen den Pro­jekt­all­tag und auch die behördlichen Meldeprozesse nach Artikel 33 greifen in den meisten Unternehmen reibungslos. Die Krux der DSGVO liegt bei den technisch-organisatorischen Maßnahmen, kurz TOM, nach Artikel 32. Fast jede deutsche Organisation pflegt diese Do­ku­men­ta­ti­on, die jedoch zum Großteil zwischen 2018 und 2022 verfasst wurde. Obwohl diese Dokumente handwerklich solide sind, dürften sie die nächste regulatorische Prüfung kaum bestehen.

Das Problem liegt nicht an der Verordnung selbst, sondern an einem fundamentalen Wandel der IT-Infrastruktur. Artikel 32 der DSGVO basiert auf einem Akteursmodell, das mit dem breiten Einzug von künstlicher Intelligenz aufgehört hat, zu existieren.

KI-Tools und Datenschutz – Darauf ist zu achten!

Wie man KI-Tools daten­schutz­konform nutzen kann

Das traditionelle Prinzip der Zweckbindung bricht zusammen

Bisher verlangte Artikel 32 der DSGVO die Umsetzung geeigneter Schutzmaßnahmen wie Pseudonymisierung, Verschlüsselung sowie die Sicherstellung von Vertraulichkeit, Integrität und Systemverfügbarkeit unter Berücksichtigung des Stands der Technik. Die gesamte Logik fußt auf der Annahme, dass sich alle Akteure mit Zugriff auf personenbezogene Daten vorhersehbar und zweckgebunden verhalten. Dies betrifft Menschen in definierten Rollen, Service-Accounts mit klaren Aufgaben oder Softwareanwendungen mit festen Funktionen. Auf dieser kalkulierbaren Basis ließen sich TOMs entwerfen und überprüfen, weil die Akteure die vorgegebene Systemarchitektur nicht eigenmächtig umgehen.

Bei autonomen KI-Agenten greift diese Logik jedoch nicht. Wird ein Agent beispielsweise durch eine Prompt Injection manipuliert, ignoriert er die Zweckbindung der aktuellen Sitzung. Zieht eine RAG-Pipeline (Retrieval-Augmented Generation) mehr Kontext aus dem Vektorspeicher als für den Prompt nötig, liegt ein unbemerktes Vergehen gegen das Prinzip der Daten­mini­mie­rung vor. Zudem können Modelle, die mit personenbezogenen Daten feinjustiert wurden, diese Informationen unkontrolliert in ihren Antworten reproduzieren. Die klassischen TOM-Dokumente von 2018 besitzen für diese dynamischen Szenarien schlicht kein regulatorisches Vokabular.

Datenschutz im KI-Training

Wie Unternehmen personenbezogene Daten aus KI-Modellen löschen können

Das Free-Mobile-Verfahren zeigt die Beweisrichtung

Am 13. Januar 2026 verhängte die französische Aufsichtsbehörde CNIL 42 Millionen Euro Bußgelder gegen Free Mobile und Free SAS für einen Vorfall vom Oktober 2024. Hierbei wurden 24 Millionen Vertragsdatensätze exfiltriert. Es ging um drei Verstöße: schwache VPN-Authentifizierung und fehlende Anomalie-Erkennung (Art. 32), unzureichende Be­nach­rich­ti­gung Betroffener (Art. 34) und exzessive Aufbewahrung gekündigter Verträge (Art. 5), denn über 15 Millionen Datensätze waren älter als fünf Jahre.

Technisch betrachtet ist die Schwachstellenkette bemerkenswert unspektakulär. Es gab einen Single-Factor-VPN-Zugang und eine Telemetrie ohne wirksame Anomalie-Erkennung. Das Unternehmen erfuhr vom Angreifer, dass ein Angriff stattgefunden hatte. Doch was die CNIL geprüft hat, war nicht die Existenz der TOMs, sondern die Korrespondenz zwischen TOM-Inhalt und Architekturwirklichkeit. Eine TOM-Dokumentation, die VPN-MFA fordert, während die produktive VPN-Konfiguration nur Single-Factor erlaubt, ist im Sinne des Art. 32 keine "geeignete Maßnahme". Sie ist eine schriftliche Behauptung, die in der Architektur nicht eingelöst wird.

Praxisleitfaden zu KI und Datenschutz

KI einsetzen, ohne gegen den Datenschutz zu verstoßen

TOM-Dokumentation muss erweiterten Verarbeitungsperimeter abbilden

Während die CNIL den Free-Mobile-Bescheid vorbereitet hat, verabschiedete der Europäische Datenschutzausschuss (EDSA) im Dezember 2024 die Stellungnahme 28/2024. Das Rechts­do­ku­ment befasst sich mit dem Zusammenspiel zwischen der DSGVO und dem Training und Betrieb von KI-Modellen. Die Kernfrage war: Können KI-Modelle, die mit personenbezogenen Daten trainiert wurden, als anonym gelten?

Nicht in jedem Fall, so die Antwort. Die Anonymität ist im Einzelfall zu prüfen, wobei sowohl die Wahrscheinlichkeit einer direkten oder probabilistischen Extraktion als auch die Wahr­schein­lich­keit unbeabsichtigter Offenlegungen über Modellabfragen "insignifikant" sein müssen. Die Beweislast trägt der Verantwortliche.

Strukturell heißt das: Lässt sich die Anonymität eines auf EU-Personendaten trainierten Modells nicht zweifelsfrei belegen, verarbeitet jeder Verantwortliche, der dieses Modell einsetzt, personenbezogene Daten im Sinne der DSGVO. Damit greifen für das Modell und für jede nachgelagerte Verwendung Art. 5, Art. 6, Art. 25, Art. 32 und Art. 35. Die TOM-Dokumentation muss diese Erweiterung des Verarbeitungsperimeters abbilden. Die meisten deutschen TOM-Dokumente tun das heute nicht.

Datenschutz als Mehrwert für KI

Warum der Datenschutz der Künstlichen Intelligenz doppelt hilft

Drei Säulen für eine KI-feste DSGVO-Compliance

Wer Artikel 32 DSGVO im Jahr 2026 konform umsetzen will, muss drei zentrale Anforderungen erfüllen. Diese müssen technisch präzise unterhalb der Modell- und Runtime-Schicht auf der Datenebene implementiert werden, da alles darüber durch Prompt Injections manipuliert oder überschrieben werden kann.

• Nutzerbasierte Authentifizierung statt Agenten-Identitäten: Jede SDK-Operation eines KI-Agenten, die personenbezogene Daten berührt, muss zwingend an eine OAuth-2.0-Sitzung einer realen, natürlichen Person gekoppelt sein. Eine Autorisierung über allgemeine Service-Accounts, die im Namen unbekannter User agieren, ist nicht mehr zulässig. Nur so lässt sich verhindern, dass ein manipulierter Agent Daten abgreift, für die der menschliche Nutzer überhaupt kein Mandat besitzt. Dies ist die zeitgemäße Übersetzung des Begriffs "autorisiertes Personal" für die KI-Ära.

• Attributbasierte Autorisierung (ABAC): Während klassische rollenbasierte Modelle (RBAC) lediglich entscheiden, ob ein System grundsätzlich auf Verzeichnisse zugreifen darf, fordern moderne KI-Umgebungen zudem feingranulare Attribute. Kriterien wie die Dokumentenklassifizierung, der deklarierte Sitzungszweck, die Jurisdiktion des Nutzers sowie der explizite Konsens der betroffenen Person müssen in Echtzeit bestimmen, ob genau dieser Akteur auf dieses spezifische Dokument zugreifen darf. Über diesen dynamischen Weg bleiben Zweckbindung und "Datenschutz durch Technikgestaltung" (Artikel 25) in KI-Infrastrukturen durchsetzbar.

• Modellunabhängige, manipulationssichere Audit-Trails: KI-Modelle sind flüchtig, sie werden regelmäßig ersetzt, neu trainiert oder zurückgezogen. Liegt das Audit-Log auf der Modellschicht, verschwinden wichtige Compliance-Nachweise beim Modellwechsel. Gemäß Artikel 5 Absatz 2 der DSGVO muss die Rechenschaftspflicht jedoch auch Jahre später lückenlos erbracht werden können, selbst wenn die damalige Verarbeitung längst von Nachfolgemodellen übernommen wurde. Die Lösung ist eine manipulationssichere Protokollierung (Tamper-evident Logging), die direkt an der Datenebene ansetzt.

Compliance bei Trainingsdaten für KI

Wie der Datenschutz die Künstliche Intelligenz reguliert

Die IT-Architektur steht nun auf dem Prüfstand

Während Unternehmen im ersten Jahrzehnt der DSGVO vor allem lernten, formelle Dokumente aufzusetzen, müssen sie in der kommenden Dekade beweisen, ob ihre IT-Architektur die schriftlichen Versprechen technisch einlösen kann.

Aktuelle Marktstatistiken wie der Kiteworks Data Security and Compliance Risk: 2026 Forecast Report belegen einen drastischen Nachholbedarf, da 63 Prozent der Organisationen Zweckbeschränkungen für KI-Agenten nicht technisch erzwingen können. Zudem sind 60 Prozent nicht in der Lage, einen fehlerhaften Agenten sofort zu stoppen, und 55 Prozent können KI-Systeme nicht vom restlichen Netzwerk isolieren. Da nur 43 Prozent der Unternehmen über eine zentralisierte AI-Governance-Schicht verfügen, fehlt der Mehrheit die architektonische Grundlage zur Überprüfung dieser Risiken.

Aufsichtsbehörden stellen bei Audits zunehmend tiefergehende Fragen. Jede dieser technischen Lücken führt somit unweigerlich zu einer formellen Beanstandung nach Artikel 32. IT-Verantwortliche sollten ihre TOM-Dokumentationen und die dahinterliegenden Datenstrukturen dringend aktualisieren, bevor die Regulierungsbehörden Fakten schaffen.

Über den Autor: Marc ten Eikelder ist Head of EMEA Marketing und Senior Director of Industry Research bei Kiteworks und arbeitet seit über zehn Jahren an der Schnittstelle zwischen technischer Datensicherheits-Architektur, regulatorischer Compliance und Markt­kom­mu­ni­ka­ti­on in der DACH-Region.

(ID:50954929)