Wie Sie eine DSGVO-konforme KI-Wissensdatenbank wirklich sicher betreiben

Warum KI-Wissensdatenbanken im Mittelstand oft an der DSGVO scheitern

Viele regulierte Mittelständler haben erste Versuche mit KI-Assistenten und Wissenssystemen hinter sich. Sobald echte Mandantenakten, klinische Studien oder GxP-Dokumente eingebunden werden sollen, stoppt die Rechtsabteilung jedoch häufig. Der Grund liegt selten in der KI selbst, sondern in fehlender Trennung von Datenräumen, lückenhafter Protokollierung und zu wenig Kontrolle über die Infrastruktur.

In einer Steuerberatungskanzlei mit 22 Berufsträgern und 1.800 Mandanten lagen Arbeitsanweisungen, GoBD-Dokumente und Mandantenakten zunächst in einem gemeinsamen DMS. Ein generischer KI-Assistent sollte „einfach alles durchsuchen“. Nach wenigen Tagen zeigte sich, dass Mitarbeitende versehentlich auf sensible Informationen anderer Mandanten zugreifen konnten. Die Kanzlei stoppte das Projekt, bevor ein Berufsrechtsverstoß eintrat.

Ähnliche Muster finden sich in der Medizintechnik und in der Pharma-Produktion. Dort geht es nicht nur um Vertraulichkeit, sondern auch um Nachvollziehbarkeit. Eine KI-Wissensdatenbank, die eine falsche SOP-Interpretation liefert, kann im Extremfall Produktionschargen gefährden oder eine MDR-Prüfung scheitern lassen. Hier entscheidet sich, ob KI ein Compliance-Risiko oder ein dokumentierbarer Vorteil wird.

KI-Wissensdatenbank ist ein IT- und ein Rechtsprojekt

Wer eine KI-Wissensdatenbank in regulierten Branchen einführt, muss IT-Architektur, Datenschutz und Fachrecht gemeinsam planen. Eine reine Tool-Einführung ohne Governance führt fast zwangsläufig zu DSGVO- und Audit-Problemen.

Bausteine einer DSGVO-konformen KI-Wissensdatenbank

Eine DSGVO-konforme KI-Wissensdatenbank im Mittelstand ist mehr als ein Chat-Fenster. Entscheidend sind die Architekturentscheidungen im Hintergrund. Drei Bausteine sind in regulierten Umgebungen unverzichtbar: getrennte Datenräume, vollständige Nachvollziehbarkeit und Kontrolle über Hosting und Modelle.

Erstens braucht es eine klare Trennung der Wissensindizes. Mandanten, Studien, Werke oder Produktlinien erhalten jeweils eigene Indizes. Zugriffsrechte greifen bereits auf Index-Ebene, nicht erst in der Oberfläche. Zweitens muss jede KI-Antwort einen vollständigen Audit-Trail haben: genutzte Dokumente, Versionen, Prompt, Modell und Zeitstempel. Drittens bleibt die Infrastruktur unter Kontrolle des Unternehmens, gehostet in der EU, ohne Trainingsdatennutzung durch Dritte.

In der Praxis setzt sensified diese Bausteine meist in Form eines KI-Projekts mit anschließender Nutzung der KI-Plattform um. In einem typischen Acht-Wochen-Pilot werden in der Discovery-Phase Wissensquellen und Compliance-Anforderungen aufgenommen. In der Design-Phase entstehen Index-Architektur und Berechtigungsmatrix. In der Build-Phase werden RAG-Pipelines und Audit-Logging umgesetzt. In der Operate-Phase folgen Monitoring und Governance-Routinen.

Die Datenschutzkonferenz hat 2025 Retrieval-Augmented Generation (RAG) ausdrücklich als „risikomindernde Maßnahme“ gegenüber öffentlichen Chatbots eingeordnet. Für regulierte Mittelständler ist RAG damit ein technischer und ein regulatorischer Hebel. Wichtig ist, dass die RAG-Implementierung dokumentiert und validiert wird.

RAG als risikomindernde Architektur für regulierte Branchen

RAG trennt Sprachmodell und Wissensbasis. Das Modell erzeugt Antworten nicht aus einem unkontrollierten Trainingsbestand, sondern arbeitet mit den Dokumenten, die Sie freigegeben haben. Für DSGVO und branchenspezifische Regulierung ist das ein deutlicher Unterschied. Statt einer „Blackbox-KI“ entsteht ein System, das sich wie eine sehr schnelle, kontextbewusste Volltextsuche mit Antwortvorschlag verhält.

In der Praxis bedeutet das: Zuerst werden relevante Dokumente aus DMS, QM-System, Fileshares oder Fachanwendungen extrahiert, bereinigt und in einen Vektorindex geschrieben. Dann sucht das System pro Anfrage passende Passagen und übergibt sie dem Sprachmodell als Kontext. Die Antwort enthält Quellenverweise, die Fachabteilungen prüfen und freigeben können. Für GxP- oder MDR-Umgebungen lassen sich Freigabe-Workflows ergänzen, bevor eine Antwort produktiv genutzt wird.

sensified setzt RAG in der Regel auf der eigenen KI-Plattform um. Diese Plattform ist TISAX-konform ausgelegt, unterstützt mehrere Sprachmodelle parallel und bietet Monitoring, Logging und Auditfunktionen. Kunden behalten die Kontrolle über Modelle und Daten, ohne eine eigene Plattform entwickeln zu müssen. Für besonders sensible Szenarien kann RAG auch im Rahmen eines KI-Result-Modells genutzt werden. In diesem Modell liefert sensified nur geprüfte Resultate, etwa freigegebene SOP-Interpretationen oder validierte Angebotsentwürfe.

RAG ersetzt keine Governance, sondern macht sie wirksam

RAG reduziert das Risiko von Halluzinationen und Datenabfluss, löst aber keine Governance-Fragen. Erst in Kombination mit klaren Rollen, Prozessen und Audit-Trails entsteht eine tragfähige KI-Wissensdatenbank.

Praxisbeispiel: Steuerberatung und mittelständische Kanzleien

In einer mittelständischen Steuerberatungskanzlei mit 22 Berufsträgern und 1.800 Mandanten sollte eine KI-Wissensdatenbank die Suche in Kommentaren, BFH-Urteilen und internen Arbeitspapieren beschleunigen. Die Mandantenakten enthielten jedoch Sozialdaten, Finanzdaten und Sonderkategorien nach Artikel 9 DSGVO. Eine Vermischung dieser Inhalte mit allgemeinen Wissensquellen hätte die DSGVO und die Berufsschweigepflicht nach BRAO und StBerG verletzt. Viele Standard-Cloud-Tools boten keine echte Mandanten-Isolation auf Index-Ebene.

sensified setzte hier ein KI-Projekt auf. In der Discovery-Phase wurden gemeinsam mit dem Compliance-Beauftragten die relevanten Normen erfasst, insbesondere DSGVO Artikel 9, BRAO, StBerG, GoBD und die Perspektive des EU AI Act. In der Design-Phase entstand eine Architektur mit strikt getrennten Mandantenindizes, einem eigenen Index für Kanzlei-Know-how und einem separaten Bereich für Fachliteratur.

Die KI-Plattform von sensified wurde EU-gehostet bereitgestellt, ohne Trainingsdatennutzung durch den Plattformbetreiber. Jede KI-Antwort erhielt einen Audit-Trail, der bei Bedarf gegenüber Aufsichtsbehörden vorgelegt werden kann. So konnte die Kanzlei nachweisen, welche Dokumente in eine Antwort eingeflossen sind.

Im Ergebnis erreichte die Kanzlei eine nachweisbare Mandantentrennung im Index. Der dokumentierte Audit-Trail jeder KI-Antwort erleichtert interne Qualitätsprüfungen und externe GoBD-Nachweise. Die Kombination aus KI-Projekt und KI-Plattform senkte den Rechercheaufwand der Berufsträger deutlich, ohne die Berufsschweigepflicht zu gefährden.

Für besonders sensible Fragestellungen nutzt die Kanzlei zusätzlich ein KI-Result-Modell. sensified liefert geprüfte Antwortvorschläge, die der verantwortliche Berufsträger final freigibt. So bleibt die fachliche Verantwortung klar geregelt.

Praxisbeispiel: Medizintechnik

Ein Medizintechnikhersteller mit 180 Mitarbeitenden und drei laufenden klinischen Studien wollte eine zentrale Wissensdatenbank für Entwicklungs-, Produktions- und Vertriebswissen aufbauen. Bisher lagen MDR-Dokumentation, klinische Studienberichte, Risikoanalysen und Marketingunterlagen in getrennten Silos. Die Fachabteilungen wünschten sich einen KI-Assistenten, der Fragen zu Konformitätsbewertungen, Risikoklassen oder Post-Market-Surveillance schnell beantwortet.

Gleichzeitig enthielten die Studien Patientendaten nach Artikel 9 DSGVO und unterlagen nationalem Heilberufsrecht. In einem KI-Projekt mit sensified wurde daher zuerst eine klare Trennung der Wissensbereiche entworfen. Forschungsdokumente, Produktionsunterlagen und Vertriebsinhalte erhielten jeweils eigene Indizes.

Für klinische Studien wurden nur pseudonymisierte und für die Fragestellungen relevante Auszüge in die Wissensdatenbank übernommen. Die Architektur wurde so gestaltet, dass jede Antwort des KI-Assistenten nachvollziehbare Quellenverweise liefert. Das ist mit Blick auf die MDR (Verordnung EU 2017/745) und den EU AI Act besonders wichtig.

Die Lösung lief auf der sensified-Plattform, EU-gehostet und mit vollständiger Kontrolle durch den Hersteller. Fachabteilungen konnten MDR-relevante Fragen mit wenigen Klicks beantworten und hatten die Sicherheit, dass jede Antwort auf konkrete Dokumente zurückführbar ist.

Für MDR-Audits standen strukturierte Quellenverweise zur Verfügung, die den Prüfprozess verkürzten. Die bereits bei einem anderen Medizintechnik-Kunden von sensified erreichte Reduktion der Defektrate um 62 Prozent nach 90 Tagen durch Vision-KI in der Qualitätskontrolle zeigte intern, welches Potenzial eine sauber implementierte KI auch in der Wissensarbeit hat.

Praxisbeispiel: Pharma-Produktion und GxP-regulierte Mittelständler

Ein Pharma-Mittelständler mit 240 Mitarbeitenden in der sterilen Abfüllung und drei Wirkstoffklassen wollte GxP-relevante Dokumentation besser nutzbar machen. SOPs, Validierungsberichte, Change-Control-Dokumente und Audit-Reports lagen in einem validierten Dokumentenmanagementsystem. Die Suche war langsam und unpräzise, viele Mitarbeitende arbeiteten mit lokalen Kopien.

Eine ungefilterte Volltextsuche mit generischer KI hätte haftungsrelevante Fehlinformationen erzeugt und Anforderungen aus GMP Annex 11 und GxP unterlaufen. sensified entwickelte daher eine Wissensarchitektur, die sich in das bestehende validierte System einfügt.

Zunächst wurden GxP-relevante Dokumente klassifiziert und in einen validierten Index überführt. Die RAG-Pipeline wurde so konzipiert, dass nur freigegebene Dokumentversionen in Antworten einfließen. Jede Antwort des KI-Assistenten enthält einen expliziten SOP-Quellenverweis, den Fachkräfte direkt prüfen können.

Änderungen an Dokumenten durchlaufen ein lückenloses Change-Management. Dieses adressiert sowohl die Anforderungen aus GMP Annex 11 als auch die DSGVO und den EU AI Act. So bleibt die Validierung des Systems nachvollziehbar.

Im laufenden Betrieb nutzt der Kunde die sensified-Plattform als technisches Fundament, ergänzt um ein KI-Result-Modell für besonders kritische Anwendungsfälle. Dort liefert sensified geprüfte Antwortpakete, etwa Interpretationen von Validierungsdokumenten, die intern nochmals freigegeben werden. Der validierte Index, die konsequenten SOP-Quellenverweise und das dokumentierte Change-Management reduzieren das Risiko von Fehlinterpretationen und erleichtern externe Inspektionen.

Governance: EU AI Act, DSGVO und TISAX im Blick behalten

Für regulierte Mittelständler ist eine KI-Wissensdatenbank immer auch ein Governance-Thema. Der EU AI Act sieht ab dem 2. August 2026 verbindliche Pflichten für Hochrisiko-KI-Systeme vor. Ab 2027 gelten diese Pflichten zusätzlich für Bestandssysteme. Ob eine konkrete Wissensdatenbank als Hochrisiko-System gilt, hängt vom Anwendungsfall ab.

Klar ist jedoch: Dokumentation, Transparenz und Risikomanagement werden Pflicht. Eine saubere Governance-Struktur umfasst mindestens vier Elemente. Erstens eine Klassifikation der Anwendungsfälle, inklusive Bewertung, ob Hochrisiko-Kriterien erfüllt sein könnten.

Zweitens ein Rollenmodell, das Verantwortlichkeiten für Datenpflege, Modellwahl, Freigaben und Monitoring definiert. Drittens technische und organisatorische Maßnahmen, die DSGVO, branchenspezifische Normen und gegebenenfalls TISAX-Anforderungen zusammenführen.

Viertens ein kontinuierliches Monitoring, das Auffälligkeiten in Antworten, Performance oder Nutzungsverhalten erkennt und adressiert. So entsteht ein System, das nicht nur technisch, sondern auch organisatorisch beherrschbar bleibt.

sensified verankert diese Governance-Aspekte in jedem KI-Projekt. Die KI-Plattform bietet Funktionen für Audit-Logging, Modellkataloge, Zugriffskontrolle und Monitoring. Kunden können so nachweisen, welche Modelle in welchen Anwendungsfällen eingesetzt werden, welche Datenquellen zugrunde liegen und wie Risiken bewertet wurden.

Festpreis-Modelle statt offener Beratungsstunden

Ein wichtiger Unterschied von sensified zu klassischen KI-Beratungen liegt im Modell. Statt offener Beratungsstunden mit unklarem Ende arbeitet sensified mit klar definierten Festpreis-Modellen: KI-Projekt, KI-Plattform und KI-Result. Das reduziert Budgetrisiken und schafft Planungssicherheit.

Im Kontext einer KI-Wissensdatenbank bedeutet das: Sie wissen vor Projektstart, welche Phasen durchlaufen werden, welche Ergebnisse Sie erhalten und wie der Übergang in den Betrieb aussieht. Die vollständige Code-Übergabe an Ihr Unternehmen stellt sicher, dass Sie nicht in einen Vendor-Lock-in geraten.

Gleichzeitig können Sie die gemanagte KI-Plattform nutzen, um Betrieb, Monitoring und Updates effizient abzubilden. So kombinieren Sie interne Kontrolle mit einem schlanken Betriebsmodell.

sensified-Solution-Match für Ihre KI-Wissensdatenbank

Für eine DSGVO-konforme KI-Wissensdatenbank im regulierten Mittelstand kommen alle drei sensified-Modelle in Frage, je nach Ausgangslage. Wenn Sie einen klar umrissenen Anwendungsfall haben, etwa einen MDR-Assistenten oder eine GxP-Wissenssuche, ist ein KI-Projekt der passende Einstieg.

In acht Wochen entsteht ein produktionsnaher Pilot mit klarer Index-Architektur, RAG-Pipeline, Audit-Trail und Governance-Konzept. Am Ende steht ein lauffähiges System, dessen Code vollständig in Ihre Verantwortung übergeht. Sie können es intern weiterentwickeln oder gemeinsam mit sensified ausbauen.

Wenn Sie mehrere Anwendungsfälle planen oder bereits KI-Experimente im Haus haben, bietet sich die sensified-Plattform als Fundament an. Sie stellt Multi-LLM-Fähigkeit, RAG-Bausteine, Monitoring, Auditierbarkeit und EU-Hosting bereit. Fachbereiche können darauf eigene Wissensindizes aufbauen, ohne sich um Infrastrukturfragen kümmern zu müssen.

Für Szenarien, in denen Sie keine eigene Plattform betreiben wollen oder können, etwa in kleineren Kanzleien, ist KI-Result eine Option. sensified liefert dann geprüfte Resultate, zum Beispiel freigegebene Antwortvorschläge zu steuerlichen Fragestellungen oder validierte SOP-Interpretationen, zu einem Pro-Stück-Preis.

In allen drei Modellen bleibt die Kontrolle über Daten und Prozesse bei Ihnen. sensified versteht sich nicht als Tool-Reseller, sondern als Umsetzungspartner, der Systeme entwickelt, betreibt und bei Bedarf wieder vollständig in Ihre Organisation übergibt.

Eigene Kontrolle statt versteckter Vendor-Lock-in

Wer eine KI-Wissensdatenbank in regulierten Branchen betreibt, sollte Plattform und Code verstehen und kontrollieren. Festpreis-Projekte mit vollständiger Code-Übergabe und EU-gehostete Plattformen sind ein pragmatischer Weg, dieses Ziel zu erreichen.

Nächste Schritte

Wenn Sie eine KI-Wissensdatenbank planen oder ein bestehendes System DSGVO- und EU-KI-Act-fest machen möchten, sollten Sie zuerst Ihre Anwendungsfälle und regulatorischen Rahmenbedingungen strukturieren. Danach lohnt sich ein Blick auf Ihre bestehenden Wissensquellen und Systeme, um den Aufwand für eine RAG-Architektur realistisch zu bewerten.

sensified bietet Ihnen dafür ein strukturiertes Strategiegespräch. Darin klären Sie Ihre Ausgangslage, mögliche KI-Projektpfade und den Einsatz der KI-Plattform oder von KI-Result. Auf dieser Basis entscheiden Sie, ob ein Acht-Wochen-Pilot, der Aufbau einer eigenen Plattforminstanz oder ein Output-as-a-Service-Modell der passende Einstieg ist.

Wer DSGVO-, MDR- oder GxP-Anforderungen in eine produktive Plattform-Architektur überführen möchte, findet unter Compliance-konforme KI-Plattform für regulierte Branchen den dazugehörigen sensified-Bauplan mit Audit-Trail, Mandantentrennung und Exit-Garantie. Für den ersten produktiven Use-Case mit DSGVO-konformem Wissenszugriff beschreibt KI-Mitarbeiterchat für internes Wissensmanagement Aufbau und Datenflüsse.

Für Versicherer, Banken und Sparkassen reicht DSGVO allein nicht: KI-Wissensbasis VAIT-, BAIT-, MaRisk- und DORA-konform für Versicherer und Banken verbindet DSGVO-konformen Wissenszugriff mit aufsichtsrechtlicher Nachweisführung und BaFin-Readiness in 14 Tagen.

Die fachliche Auslegungslinie zur DSGVO im Wissens- und RAG-Kontext liefern die Leitlinien des Europaeischen Datenschutzausschusses; die deutsche Behoerdensicht ergaenzt der Bundesbeauftragte fuer den Datenschutz.

Wer die DSGVO-Frage nicht nur auf die Wissensdatenbank, sondern auf das gesamte KI-Setup ausdehnen moechte, findet in Datenschutzkonforme KI im Mittelstand in 90 Tagen umsetzen einen 90-Tage-Pfad mit AVV-Vorlage, DPIA-Begleitung, EU-Hosting und Audit-Trail fuer regulierte Mittelstaendler.