KI, Cloud und Outsourcing: Wo die rechtlichen Unterschiede wirklich liegen

Kurzantwort

KI, Cloud und Outsourcing sind rechtlich keine Gegensätze, sondern unterschiedliche Ausprägungen desselben Grundproblems: Daten werden ausserhalb der eigenen Organisation bearbeitet. Entscheidend ist nicht das Schlagwort, sondern wer warum was mit welchen Daten macht.

Warum diese Begriffe ständig vermischt werden

In der Praxis hört man Sätze wie:

• „Das geht nicht, das ist KI.“

• „Cloud dürfen wir nicht.“

• „Outsourcing ist heikel.“

Diese Aussagen klingen nach Recht, sind aber meist Ausdruck von Unsicherheit.
Begriffe werden vermischt, Risiken pauschalisiert und Entscheidungen vertagt.

Der zentrale Denkfehler

Die implizite Annahme lautet:

KI ist rechtlich etwas völlig anderes als Cloud oder Outsourcing.

Das ist falsch.

Rechtlich relevant ist nicht die Technologie, sondern:

• die Datenbearbeitung

• die Verantwortlichkeit

• das Schutzniveau

• die Risikokonstellation

KI, Cloud und Outsourcing sind nur technische Organisationsformen dieser Bearbeitung.

Was alle drei gemeinsam haben

In allen drei Fällen gilt:

• Personendaten werden durch Dritte oder mit Drittinfrastruktur bearbeitet

• Verantwortlichkeit bleibt beim Unternehmen bzw. der Behörde

• Es braucht eine ausreichende Rechtsgrundlage

• Das angemessene Schutzniveau muss gewährleistet sein

Das Datenschutzrecht fragt nicht, wie modern die Technologie ist, sondern wie kontrolliert sie eingesetzt wird.

Wo die Unterschiede liegen

Cloud

Bei Cloud-Lösungen:

• werden Daten auf externer Infrastruktur verarbeitet

• bleibt die Funktionalität meist klar definiert

• ist der Anbieter häufig Auftragsbearbeiter

Rechtlich geht es primär um:

• Auftragsdatenbearbeitung

• Datensicherheit

• Zugriffsmöglichkeiten

• Datenstandorte

Cloud ist rechtlich gut beherrschbar, weil sie vorhersehbar ist.

Outsourcing

Beim Outsourcing:

• werden Aufgaben ganz oder teilweise ausgelagert

• bearbeiten Dritte Daten im eigenen Entscheidungsspielraum

• liegt oft eine gemeinsame Verantwortung oder Eigenverantwortung vor

Rechtlich zentral sind:

• Rollenklärung

• Haftung

• Weisungsrechte

• Kontrollmechanismen

Outsourcing ist weniger technisch, aber organisatorisch komplexer.

KI

Bei KI:

• entstehen neue Inhalte, Bewertungen oder Empfehlungen

• ist der Output oft probabilistisch

• verstärken sich Risiken durch Skalierung und Intransparenz

Rechtlich relevant sind daher zusätzlich:

• Entscheidwirkung

• Nachvollziehbarkeit

• Erwartungsmanagement

• menschliche Kontrolle

KI ist nicht gefährlicher, aber schwieriger zu erklären.

Warum KI besonders viel Aufmerksamkeit erhält

KI bündelt mehrere Risikofaktoren:

• neue Technologie

• Automatisierung

• Geschwindigkeit

• Aussenwirkung

Das macht sie sichtbar.
Rechtlich neu ist daran aber wenig.

Die entscheidende Abgrenzung

Die richtige Frage lautet nicht:

Dürfen wir KI einsetzen?

Sondern:

Haben wir eine ausreichende Rechtsgrundlage, klare Verantwortlichkeit und ein angemessenes Schutzniveau für diese konkrete Datenbearbeitung?

Wenn diese Frage sauber beantwortet ist, spielt es kaum eine Rolle, ob im Hintergrund KI, Cloud oder ein externer Dienstleister arbeitet.

Praxisreflexion

Organisationen, die Cloud und Outsourcing seit Jahren rechtssicher nutzen, haben 80 % der Arbeit für KI bereits erledigt.

Die verbleibenden 20 % betreffen:

• Entscheidwirkung

• Transparenz

• Governance

Nicht die Technologie an sich.

Kurze Einordnung für die Praxis

• Technologie ist austauschbar

• Verantwortung nicht

• Datenschutz ist technologieoffen

• KI verstärkt Risiken, schafft aber keine neuen Kategorien

Einordnung

KI ist rechtlich kein Sonderfall.
Sie ist ein Stresstest für bestehende Strukturen.

Wer Cloud und Outsourcing im Griff hat, hat auch KI im Griff.

Selbsttest

1. Ist klar, wer für den KI-Output verantwortlich ist?

2. Ist geregelt, wer Daten wie und wozu bearbeitet?

3. Entspricht das Schutzniveau dem Risiko der Bearbeitung?

Wenn ja, ist der Einsatz rechtlich beherrschbar – unabhängig vom Schlagwort.