Datenschutz im KI-Zeitalter – Data protection in the age of AI

Der Europäische Datenschutztag bot Vorständen und Führungskräften einen passenden Anlass, genau diesen Balanceakt in den Blick zu nehmen. Entscheidend ist dabei nicht nur, Daten besser zu schützen. Es bedarf einer bewussten Entscheidung, welche Informationen tatsächlich benötigt werden, wie lange sie aufbewahrt werden dürfen und in welcher Form – anonymisiert, pseudonymisiert oder vollständig identifizierbar – sie genutzt werden können. Organisationen, die Datenschutz als integralen Bestandteil ihrer Informations- und KI-Strategien begreifen, schaffen die Grundlage für Innovation, ohne regulatorische oder operative Risiken unnötig zu erhöhen.

Moderne Datensicherheit muss über klassische Perimeter-Sicherheit hinausgehen und eine stringente Governance über den gesamten Informationslebenszyklus – von der Entstehung bis zur sicheren, irreversiblen Löschung – etablieren. Da unstrukturierte Daten inzwischen den Großteil der Unternehmensinformationen ausmachen, müssen Organisationen wissen, welche Daten sie besitzen, wo diese gespeichert sind und wer darauf zugreifen kann.

Die rasante Verzahnung von KI und Informationsverwaltung erweitert die Anforderungen an den Datenschutz erheblich. Organisationen müssen nicht nur kontrollieren, wo Daten liegen, sondern auch, welchen Zugriff KI-Modelle erhalten, um diese Daten zu nutzen, zu transformieren und daraus Erkenntnisse zu gewinnen. Ohne diese Transparenz riskieren Unternehmen, sensible Informationen in großen Sprachmodellen (LLMs) zu verarbeiten, personenbezogene Daten länger zu speichern als zulässig und sich bei Audits, Rechtsstreitigkeiten oder Cybervorfällen angreifbar zu machen.

Drei Stellschrauben

Drei zentrale Stellschrauben für Informationssicherheit können Datenschutzverpflichtungen in konkrete, nachweisbare Maßnahmen überführen:

• Informationsverwaltung & Aufbewahrung: Organisationen richten ihre Strategie zunehmend auf klar definierte Aufbewahrungsregeln und deren praktische Umsetzung aus, gestützt durch automatisierte Retention- und Lifecycle-Kontrollen. Dieser Wandel spiegelt die wachsende Einsicht wider, dass Datenschutzreife davon abhängt, die Exposition gegenüber überflüssigen Daten konsequent zu verringern.
• Digitale Transformation & sichere Speicherung: Führungskräfte priorisieren verbesserte Kontrolle, Auffindbarkeit und Klassifizierung, um Datenfragmentierung zu reduzieren und sicherzustellen, dass sensible Informationen in hybriden Umgebungen – von Papierarchiven bis hin zu Cloud-Repositories – angemessen sichtbar, geschützt und steuerbar sind.
• Nachweisbare, irreversible Löschung: Zunehmend rückt die zertifizierte, lückenlos dokumentierte Vernichtung von Papierunterlagen, Speichermedien und IT-Assets in den Fokus. Angesichts wachsender Cyberrisiken behandeln Organisationen die gezielte Beseitigung redundanter, besonders risikobehafteter Daten immer häufiger als zentrale Sicherheits- und Datenschutzmaßnahme, die ihre Angriffsfläche unmittelbar reduziert.

Dieser kombinierte Ansatz stärkt die Datenschutzposition insgesamt und adressiert eine der größten Risikoursachen in Unternehmen: redundante und veraltete (ROT) Daten. Die Beseitigung solcher ROT-Daten senkt das Gefährdungsrisiko, reduziert Speicher- und eDiscovery-Kosten und verhindert, dass sensible Informationen über ihre legitime geschäftliche Nutzung hinaus vorgehalten werden.

Datenschutz ist ein Geschäftsauftrag

Die Auswirkungen sind unmittelbar spürbar: weniger risikobehaftete Daten, belastbarere Compliance-Grundlagen und ein höheres Vertrauen bei Kunden und Aufsichtsbehörden. Gleichzeitig entsteht die Basis für echte KI-Bereitschaft – indem sichergestellt wird, dass sensible Daten korrekt klassifiziert, anonymisiert und kontrolliert sind, bevor sie in generative oder analytische Workflows einfließen.

Der Europäische Datenschutztag 2026 steht für eine veränderte Erwartungshaltung: Datenschutz und organisatorische Resilienz sind zu zentralen Steuerungsgrößen auf Vorstandsebene geworden. Organisationen, die Informationen über ihren gesamten Lebenszyklus hinweg – von der Entstehung über Klassifizierung und Aufbewahrung bis hin zur sicheren Löschung – konsequent managen, sind am besten gerüstet, um Kunden zu schützen und Unternehmenswerte dauerhaft zu sichern.

European Data Protection Day offered board members and executives a fitting opportunity to focus on this balancing act. It is not only crucial to protect data better. A conscious decision must be made as to what information is actually needed, how long it may be stored, and in what form—anonymized, pseudonymized, or fully identifiable—it may be used. Organizations that view data protection as an integral part of their information and AI strategies lay the foundation for innovation without unnecessarily increasing regulatory or operational risks.

Modern data security must go beyond traditional perimeter security and establish stringent governance across the entire information lifecycle – from creation to secure, irreversible deletion. Since unstructured data now accounts for the majority of corporate information, organizations need to know what data they have, where it is stored, and who can access it.

The rapid convergence of AI and information management is significantly expanding data protection requirements. Organizations must not only control where data is located, but also what access AI models have to use, transform, and gain insights from that data. Without this transparency, companies risk processing sensitive information in large language models (LLMs), storing personal data longer than permitted, and making themselves vulnerable to audits, litigation, or cyber incidents.

Three levers

Three key levers for information security can translate data protection obligations into concrete, verifiable measures:

• Information management & retention: Organizations are increasingly aligning their strategy with clearly defined retention rules and their practical implementation, supported by automated retention and lifecycle controls. This shift reflects the growing realization that data privacy maturity depends on consistently reducing exposure to redundant data.
• Digital transformation & secure storage: Executives are prioritizing improved control, discoverability, and classification to reduce data fragmentation and ensure that sensitive information in hybrid environments—from paper archives to cloud repositories—is appropriately visible, protected, and controllable.
• Verifiable, irreversible deletion: There is an increasing focus on the certified, fully documented destruction of paper documents, storage media, and IT assets. In light of growing cyber risks, organizations are increasingly treating the targeted elimination of redundant, particularly risky data as a key security and data protection measure that directly reduces their attack surface.

This combined approach strengthens the overall data protection position and addresses one of the biggest causes of risk in companies: redundant and obsolete (ROT) data. Eliminating such ROT data reduces the risk of exposure, lowers storage and eDiscovery costs, and prevents sensitive information from being retained beyond its legitimate business use.

Data protection is a business imperative

The effects are immediately noticeable: less risky data, more robust compliance foundations, and greater trust among customers and regulators. At the same time, it creates the basis for true AI readiness – by ensuring that sensitive data is correctly classified, anonymized, and controlled before it flows into generative or analytical workflows.

European Data Protection Day 2026 represents a shift in expectations: data protection and organizational resilience have become key performance indicators at the executive board level. Organizations that consistently manage information throughout its entire lifecycle – from creation to classification and storage to secure deletion – are best equipped to protect customers and secure corporate value in the long term.