XGen AI

Das Widget erfasst jede vom Besucher eingegebene Nachricht, die Antwort des Assistenten, eine Konversations ID, die URL der Seite, den Referrer, die IP Adresse und den User Agent. In der Regel werden ein Sitzungs Cookie und eine Assistant ID im Local Storage abgelegt. Da Prompts Freitext sind, können Transkripte personenbezogene Daten, Kontaktdaten, Kontonummern und häufig besondere Kategorien nach Art. 9 DSGVO wie Gesundheit, Religion oder politische Meinung enthalten. XGen AI kann Transkripte zur Sicherheitsfilterung, Fehlersuche und Qualitätskontrolle aufbewahren und an OpenAI oder Anthropic zur Inferenz weiterleiten.

Ja. Der XGen AI Loader schreibt Kennungen auf das Gerät, was Art. 5(3) ePrivacy und § 25 TDDDG auslöst, und sendet Konversationsinhalte an Auftragsverarbeiter in den USA, was eine Einwilligung nach Art. 6(1)(a) DSGVO erfordert. Können Nutzer Art. 9 Daten teilen, muss die Rechtsgrundlage die ausdrückliche Einwilligung nach Art. 9(2)(a) sein. Das Widget muss hinter einer Consent Management Plattform blockiert bleiben, bis der Besucher zustimmt, und der Transparenzhinweis nach Art. 50 EU AI Act muss in der Chat Oberfläche sichtbar sein.

Für die meisten Anwendungsfälle ist die Einwilligung nach Art. 6(1)(a) DSGVO plus Art. 5(3) ePrivacy für die Gerätespeicherung die Rechtsgrundlage. Der XGen AI Workspace für Betreiber verarbeitet Arbeitgeberdaten vertraglich (Art. 6(1)(b) DSGVO) und kann sich auf berechtigtes Interesse (Art. 6(1)(f)) für Sicherheit und Missbrauchserkennung stützen. Wenn der Chatbot Art. 9 Daten verarbeitet, muss sich der Betreiber auf eine ausdrückliche Einwilligung (Art. 9(2)(a)) oder eine andere Art. 9 Ausnahme stützen. Der AI Act ergänzt eigenständige Transparenzpflichten.

Ja. Die XGen AI Server stehen in den USA, und Prompts werden an OpenAI und Anthropic weitergeleitet, beide ebenfalls in den USA. Übermittlungen stützen sich auf das EU US Data Privacy Framework, wenn der Anbieter zertifiziert ist, oder auf Standardvertragsklauseln mit ergänzenden Maßnahmen. Ein Schrems II Transfer Impact Assessment ist Pflicht und muss insbesondere das FISA 702 Risiko für textuelle Inhalte adressieren. Betreiber sollten die Inferenzregion fixieren, das Training auf Kundendaten deaktivieren und Verschlüsselung sowie Zugriffskontrollen zwischen EU und US Endpunkt dokumentieren.

Praktisch immer ja. Die Kombination aus KI gestützter Inhaltsgenerierung, Freitext Prompts, die Art. 9 Daten enthalten können, Übermittlungen in ein nicht angemessenes Drittland und großflächigem Einsatz auf einer Website erfüllt mehrere Kriterien des EDSA. Die DSFA muss den Anwendungsfall, die Datenflüsse, Speicherdauer, Unterauftragsverarbeiter (OpenAI, Anthropic), das Halluzinations und Re Identifikationsrisiko, die AI Act Klassifizierung (begrenztes oder hohes Risiko) sowie die Mitigationsmaßnahmen (Prompt Redaction, Opt Out vom Training, kurze Aufbewahrung, menschliche Prüfung) beschreiben.

Blockieren Sie den XGen AI Loader hinter der CMP und injizieren Sie ihn erst nach Einwilligung. Deaktivieren Sie das Modelltraining auf Kundendaten bei OpenAI und Anthropic, wenden Sie Prompt Redaction oder PII Erkennung vor der Inferenz an, setzen Sie eine kurze Transkript Aufbewahrungsdauer und beschränken Sie den Zugriff auf das Need to Know Prinzip. Veröffentlichen Sie eine KI Datenschutzerklärung, die XGen AI und die vorgelagerten Modellanbieter als Unterauftragsverarbeiter nennt, platzieren Sie den AI Act Transparenzhinweis innerhalb der Chat Oberfläche und bieten Sie Nutzern einen klaren Weg zum Export oder zur Löschung des Verlaufs.

Für rein EU Bereitstellungen kommen selbstgehostete Open Source Assistenten auf Basis von Mistral, Llama oder Falcon auf europäischer Infrastruktur (OVH, Scaleway, Hetzner, IONOS) in Betracht. Managed Alternativen mit EU Residenz sind Mistral La Plateforme (Paris), Aleph Alpha (Heidelberg) und Azure OpenAI in West Europa mit Residenzverträgen. Diese Optionen halten Orchestrierung und Inferenz im EWR, vereinfachen die Schrems II Lage und beseitigen die FISA 702 Exposition, allerdings mit teils geringerer Funktionsparität.

Überprüfen Sie die KI Datenschutzerklärung und die technische AI Act Dokumentation mindestens alle sechs Monate sowie immer dann, wenn Sie das System Prompt Template ändern, das Basismodell tauschen, eine neue Datenquelle hinzufügen, einen Unterauftragsverarbeiter wechseln oder den Chatbot für eine neue Nutzerkategorie öffnen. Wiederholen Sie Prompt Injection und Bias Tests, aktualisieren Sie das Cookie Inventar bei Widget Änderungen und fordern Sie erneute Einwilligung an, wenn sich Zwecke wesentlich ändern, etwa beim Aktivieren sitzungsübergreifender Erinnerung.