Viele Unternehmen nutzen KI bereits im Arbeitsalltag. Die Priorität liegt dabei nicht mehr bei reiner Texterstellung oder einzelnen Prompts, sondern darin, echte Geschäftsprozesse mit KI zu optimieren. Dazu setzen Unternehmen auf KI-gestützte Dokumentenprozesse und verknüpfen KI mit dem Unternehmenswissen, um zeitraubende Routineaufgaben zu automatisieren, von der digitalen Ablage über die Rechnungsverarbeitung und das Vertragsmanagement bis zum Chat mit dem Unternehmenswissen. Doch gehen Unternehmen von der manuellen Sachbearbeitung zu KI-Workflows über, die autonom auf Inhalte zugreifen, verschieben sich die Anforderungen. KI DSGVO-konform einsetzen und ein lückenloses Rechte- und Rollenkonzept stehen im Fokus.
Warum Datenschutz beim KI-Einsatz so wichtig ist
KI-Anwendungen können in der Praxis massenhaft Daten verarbeiten. Entweder, weil Mitarbeitende Dokumente in KI-Werkzeuge wie ChatGPT oder Gemini hochladen, oder weil sie Drittsysteme unkontrolliert anbinden. Hier können gravierende Datenlecks entstehen. Gerade wenn es um vertrauliche Finanzdaten, Kundenverträge oder personenbezogene Bewerberdaten geht, müssen Unternehmen besonders aufpassen. Fehlen klare administrative Regeln und technische Schutzmaßnahmen, drohen Risiken:
- Ungeklärte Datenverarbeitung: Unklarheit darüber, auf welchen Servern die Dokumente verarbeitet und gespeichert werden.
- Ungewolltes Modelltraining: Gefahr, dass vertrauliches Unternehmenswissen in die Trainingsdaten öffentlicher Modelle einfließt.
- Berechtigungsfragen: Aushebelung interner Zugriffsbeschränkungen, wenn KI-Systeme allen Nutzern pauschal Zugriff auf sämtliche Quellen gewähren.
- Regulierungskonflikte: Verstöße gegen die Vorgaben der DSGVO und des EU AI Acts, die hohe Bußgelder und Haftungsrisiken nach sich ziehen.
Unternehmen benötigen eine Infrastruktur, die funktionale KI-Vorteile bietet und gleichzeitig sämtliche Datenschutz- und Compliance-Standards im Zusammenhang mit der Datenschutz-Grundverordnung (DSGVO) sowie dem EU-AI-Act garantiert.
Betriebsmodelle im Vergleich: Wo KI an ihre Grenzen stößt
Die Architektur der gewählten KI-Lösung sowie natürlich Vertrag und Konfiguration entscheiden über Datensicherheit, Betriebskosten und Rechtskonformität. Nicht jede KI arbeitet also gleich und bei den unterschiedlichen Bereitstellungsmodellen müssen Unternehmen immer einige Punkte prüfen:
|
KI-Bereitstellungsmodell
|
Typische Merkmale
|
Zu prüfende Punkte
|
Eignung im DMS-Alltag
|
|---|---|---|---|
|
Öffentliche Modelle
|
Bei Nutzung außerhalb einer kontrollierten DMS-Integration fließen Daten über öffentliche Schnittstellen an externe Server (oft US-Drittstaaten).
|
Vertragslage, Datenverwendung, Speicherort, Trainingsnutzung, Berechtigungen.
|
Für vertrauliche Dokumente häufig nicht geeignet, sofern keine geeigneten Schutzmaßnahmen bestehen.
|
|
Enterprise SaaS (Multi-Tenant)
|
Verarbeitung auf den Servern des Softwareanbieters mit vertraglichen Garantien.
|
Auftragsverarbeitungsverträgen (AVV), Region, Deployment-Typ, Protokollierung, Unterauftragnehmer
|
Für kontrollierte Unternehmensanwendungen grundsätzlich geeignet, erfordert Vertrauen in die Sicherheitsarchitektur des Anbieters.
|
|
KI im eigenen Cloud-Tenant (z. B. Azure OpenAI via Microsoft Foundry)
|
Verarbeitung in der dedizierten, abgeschotteten Cloud-Instanz Ihres Unternehmens (EU-Region). Sie kontrollieren Ressourcen, Zugriffe und Konfiguration.
|
DSGVO-konform konfigurierbar unter Einhaltung der EU Data Boundary und Ausschluss von Modelltraining.
|
Optimaler Standard: Nahtlose Integration in bestehende DMS-Rechtessysteme bei voller Kontrolle über Datenflüsse ohne Hardware-Ballast.
|
|
Lokale Modelle (On-Premise / Edge)
|
KI-Infrastruktur läuft vollständig auf eigenen Servern im Unternehmensrechenzentrum.
|
Maximale Daten- Souveränität, zu prüfen: Hardware, Betrieb, Modellqualität, Wartung und Know-how
|
Hohe Investitionen in spezialisierte KI-Hardware (GPUs), Wartung und internes Fachwissen erforderlich.
|
DSGVO-konforme KI für Unternehmenswissen in der Praxis
Um interne Dokumente für KI-Modelle nutzbar zu machen, kommt meist eine RAG-Architektur (Retrieval-Augmented Generation) zum Einsatz. Dabei sucht die KI in der Dokumentendatenbank nach relevanten Informationen und generiert daraus die Antwort. Das macht den Einsatz von öffentlichen Modellen schwierig. Unternehmenswissen, Verträge oder andere personenbezogene Daten sollten niemals in öffentliche Prompts fließen. Auch Rechte- & Rollenkonzepte können hier nicht umgesetzt werden.
Werden externe Cloud-Tenants an ein bestehendes DMS angebunden, müssen geänderte oder neue Dokumente ständig synchronisiert werden. Das erzeugt hohen Wartungsaufwand, Datenverzögerungen und Sicherheitslücken im Rechtemanagement.
Unsere Empfehlung ist daher eine direkte Integration der KI im DMS: Änderungen an Dokumenten stehen der KI ohne Verzögerung zur Verfügung, während sämtliche Zugriffsrechte direkt greifen. Durch die sichere Integration von KI direkt in inPoint haben wir von H&S als europäischer DMS-Hersteller im DACH-Raum DSGVO, Datenschutz & Compliance sowie Betriebsfähigkeit in Kombination mit KI direkt in der Hand.
Wie inPoint KI-Funktionen in Dokumentenprozesse integriert
inPoint bettet KI-Werkzeuge direkt in die bestehenden Prozessstrukturen ein. Dadurch entfällt für Anwender der Wechsel zwischen verschiedenen Schnittstellen oder das händische Exportieren von Dateien.
Die Kernfunktionen im Überblick:
- Dokumenten-Analyse & OCR: Automatische Texterkennung und Datenstrukturierung ermöglichen die sofortige Weiterverarbeitung unstrukturierter Dokumente.
- Content Understanding & Klassifizierung: Die KI erfasst Inhalte im Kontext – inklusive Tabellen und visueller Elemente – und ordnet Dokumente automatisch der passenden Akte zu.
- Dokumentenzusammenfassung: Wichtige Fristen, Vertragsklauseln und Kerninhalte werden auf Knopfdruck übersichtlich dargestellt.
- inPoint Assistent: Ein integrierter Chat-Assistent beantwortet Fragen zu Vorgängen, recherchiert in Freitexten und erinnert an anstehende Aufgaben.
- Kontextbezogene RAG-Antworten: Antworten basieren ausschließlich auf freigegebenen Unternehmensdaten und Metadaten.
- Bilderkennung: Visualisierte Inhalte und gescannte Dokumente werden automatisch analysiert und indexiert.
Technische Sicherheit und Modell-Architektur in inPoint
Der Einsatz von KI im Unternehmensumfeld scheitert in der Praxis selten am Funktionsumfang, sondern an unklaren Datenwegen. inPoint DMS nutzt für KI-Funktionen die Modellinfrastruktur von Microsoft Foundry (ehemals Azure AI Studio / Azure OpenAI) und setzt hier auf die OpenAI-Modelle. Microsoft Foundry dient als Enterprise-Plattform, über die große Sprachmodelle wie die von OpenAI oder auch Anthropic oder Meta in einer abgeschotteten Cloud-Umgebung bereitgestellt, verwaltet und überwacht werden. Microsoft veröffentlicht dort extra für Europa geeignete Modelle.
Der entscheidende Unterschied zur Konsumenten-Version von OpenAI liegt in der strikten Mandantentrennung. Wenn inPoint OpenAI-Modelle über Microsoft Foundry ansteuert, erfolgt der Datenfluss nicht über die öffentlichen Server von OpenAI, sondern ausschließlich über die gesicherte Infrastruktur von Microsoft Azure.
Die Entscheidung von H&S für diese Architektur gewährleistet eine lückenlose Sicherheitskette – speziell auf die Anforderungen von Unternehmen und den strengen Datenschutz (inklusive DSGVO-Konformität in Europa) ausgelegt:
- Einhaltung der EU Data Boundary: Datenverarbeitungsschritte wie Daten-Inferenz, Speicherung, Zwischenspeicher (Caches), Telemetrie und Server-Logs verbleiben innerhalb des Europäischen Wirtschaftsraums (EWR).
- Vertraglicher und technischer Trainingsausschluss: Übertragene Dokumenteninhalte, Prompts und generierte Antworten werden isoliert verarbeitet. Microsoft gibt dazu deutlich an, dass Prompts und Inhalte bei den von Azure angebotenen Foundry-Modellen nicht ohne ausdrückliche Anweisung zum Training der Modelle verwendet werden.
- Einbindung eigener Azure-Tenants: Unternehmen, die bereits eigene KI-Instanzen auf Microsoft Azure betreiben, können inPoint direkt mit ihrem bestehenden Tenant verbinden. Die Datenhoheit verbleibt in diesem Fall vollständig in der Hand der eigenen IT-Abteilung.
- Verschlüsselung und Nachvollziehbarkeit: Die Kommunikation zwischen inPoint und den angebundenen KI-Diensten wird nach Enterprise-Standards verschlüsselt und kann abhängig von Funktion, Konfiguration und vertraglicher Ausgestaltung nachvollziehbar protokolliert werden.
Mehr Infos: AI Foundry Microsoft
Menschliche Kontrolle: Vorgaben des EU AI Acts erfüllt
KI im Unternehmen sollte immer Anwender unterstützen und im Sinne der EU-KI-Verordnung keine eigenständigen Entscheidungen treffen, die mit Risiko oder Personen zu tun haben. Die KI-Funktionen in inPoint sind daher als reine Assistenzwerkzeuge ausgelegt. Sie unterstützen Mitarbeiter bei der Suche, Strukturierung, Textanalyse und Arbeitsvorbereitung.
Das DMS trifft keine autonomen oder rechtlich bindenden Entscheidungen über Personen und führt keine automatisierten Bewertungen durch. Die Kontrolle und die finale Entscheidung verbleiben zu jedem Zeitpunkt beim Sachbearbeiter (Human-in-the-Loop). Das Human-in-the-Loop-Prinzip unterstützt einen verantwortungsvollen Einsatz: KI-Ergebnisse werden als Vorschläge, Zusammenfassungen oder Arbeitshilfen bereitgestellt und müssen bei geschäftskritischen Vorgängen fachlich geprüft werden. Damit erfüllt der Einsatz in inPoint die Anforderungen der EU-KI-Verordnung für risikoarme KI-Anwendungen, wobei die konkrete Einordnung nach der EU-KI-Verordnung dennoch vom jeweiligen Anwendungsfall und Nutzungskontext beim einzelnen Kunden abhängt.
KI Datenschutz und Compliance im DMS-Kontext
Als europäischer Softwarehersteller entwickelt H&S die Lösung inPoint unter strikter Einhaltung der DSGVO- sowie der GoBD-Vorgaben. Die KI-Erweiterung fügt sich nahtlos in dieses bestehende Regelwerk ein.
- Zweckbindung: Die Datenverarbeitung bleibt streng auf den jeweils definierten Prozess und den konkreten Dokumentenzweck beschränkt.
- Datensparsamkeit: Administratorseitig wird exakt festgelegt, welche Metadaten und Dokumentenarten für KI-Analysen freigegeben sind.
- Rechte- und Rollenkonzept: Die KI übernimmt das Berechtigungsmodell von inPoint. Anwender erhalten in Antworten nur Informationen aus Dokumenten, für die sie eine explizite Leseberechtigung besitzen.
- Protokollierung & Revisionssicherheit: Relevante Systemaktionen werden nachvollziehbar dokumentiert. Die KI verändert keine Archivierungs- oder Audit-Trail-Funktionen, sondern ergänzt diese um Analysemöglichkeiten.
- Anbindung externer Agenten (MCP-Server): Über den Model Context Protocol (MCP)-Server lassen sich externe KI-Assistenten anbinden, ohne dass das zentrale Berechtigungssystem von inPoint umgangen wird.
Das heißt: H&S ermöglicht mit inPoint DMS die sichere und technische Bereitstellung von KI im DMS. Sie als Kunde legen den konkreten Nutzungskontext fest, vergeben Berechtigungen und stellen die fachliche Kontrolle der Ergebnisse sicher. Bei kundenspezifischen Enterprise-Konfigurationen können zusätzlich eigene Modelle oder KI-Infrastrukturen eingebunden werden.
Wie sich KI DSGVO-konform in Ihre täglichen Dokumentenprozesse einfügen kann?
In einer kurzen Online-Demo zeigen wir Ihnen ganz unverbindlich, wie inPoint DMS KI sicher integriert und Ihnen Arbeit abnimmt.
Demotermin vereinbarenFazit: Effizienz ohne KI-Compliance-Risiken
Die direkte Integration von KI in bestehende Dokumentenprozesse über ein DMS wie inPoint löst bei Unternehmen den Zielkonflikt zwischen Produktivität und Datenschutz. Entscheidend ist, dass KI kontrolliert, transparent und innerhalb klarer Compliance-Vorgaben eingesetzt wird. Genau dafür bietet inPoint flexible Konfigurationsmöglichkeiten und setzt auf sichere Microsoft Foundry-Modelle. Durch die Kombination mit europäischer Produktentwicklung und strikter Rechteverwaltung verarbeiten Unternehmen ihre Daten produktiv und DSGVO-konform. Die vorkonfigurierten Strukturen, automatische Dokumentenerkennung und intelligente Zuordnung erleichtern den Einstieg mit dem DMS darüber hinaus.
Stephan Gehling
Häufige Fragen zum DSGVO-konformen KI-Einsatz im DMS
Welche Vorgaben des EU AI Acts müssen Unternehmen beim KI-Einsatz im DMS beachten?
Ist der Einsatz von KI im Dokumentenmanagement nach der DSGVO überhaupt erlaubt?
Ja, der Einsatz ist rechtssicher möglich, sofern klare technische und organisatorische Schutzmaßnahmen greifen. Entscheidend ist, dass personenbezogene Daten ausschließlich zweckgebunden verarbeitet werden und die verarbeitenden Systeme strengen europäischen Datenschutzstandards unterliegen. inPoint stellt dies sicher, indem KI-Modelle über Microsoft Foundry eingebunden werden. Dadurch verbleiben alle Datenströme innerhalb des Europäischen Wirtschaftsraums (EWR) und werden nicht für das Training externer Sprachmodelle verwendet.
Wie verhindert inPoint, dass vertrauliche Dokumente zum Training von KI-Modellen genutzt werden?
inPoint nutzt keine öffentlichen KI-Schnittstellen, sondern Enterprise-Infrastrukturen über Microsoft Azure OpenAI. Durch vertragliche Vereinbarungen und technische Isolation ist garantiert, dass eingegebene Prompts, hochgeladene Schriftstücke und generierte Antworten zu keinem Zeitpunkt von Microsoft oder OpenAI für das Training öffentlicher Modelle verwendet werden. Die Datenhoheit verbleibt vollständig bei Ihrem Unternehmen.
Können Mitarbeiter über die KI-Suche in inPoint Dokumente einsehen, für die sie keine Berechtigung haben?
Nein. Die KI-Engine greift direkt auf die Datenbankstrukturen von inPoint zu und übernimmt das im DMS hinterlegte Rechte- und Rollenkonzept. Stellt ein Mitarbeiter eine Anfrage an den inPoint Assistenten, filtert das System die Ergebnisse im Hintergrund. Der Anwender erhält ausschließlich Antworten und Zusammenfassungen aus Dokumenten, für die er auch in den regulären inPoint-Ordnern eine explizite Leseberechtigung besitzt.
Kann inPoint auch an eine bereits vorhandene Unternehmens-KI angebunden werden?
Ja. Wenn Ihr Unternehmen bereits eine eigene Azure-OpenAI-Instanz oder einen eigenen Microsoft-Tenant betreibt, lässt sich inPoint direkt an diese Schnittstellen anbinden. Darüber hinaus ermöglicht inPoint über einen MCP-Server die sichere Einbindung externer KI-Agenten, ohne dass dabei das zentrale Rechtesystem oder die Compliance-Vorgaben Ihres DMS umgangen werden.
