Wer Personendaten mithilfe von KI-Tools bearbeiten lässt, zieht in der Regel einen Dritten als Auftragsbearbeiter bei. Der Anbieter des KI-Tools gilt dabei als Auftragsbearbeiter. 

Eine solche Auftragsbearbeitung ist nur zulässig, wenn insbesondere der Auftragsbearbeiter die Datensicherheit gewährleistet. Zur Sicherstellung dieser Anforderungen ist in der Praxis der Abschluss eines Auftragsbearbeitungsvertrags erforderlich. Dieser dient insbesondere dazu, die Datensicherheit, den zulässigen Umfang der Bearbeitung sowie den Umgang mit den Personendaten verbindlich festzulegen. 

Bei öffentlich zugänglichen oder kostenlosen KI-Tools fehlt häufig eine ausreichende vertragliche Grundlage für eine datenschutzkonforme Auftragsbearbeitung. In solchen Fällen kann insbesondere nicht sichergestellt werden, dass die gesetzlichen Anforderungen an die Datensicherheit erfüllt sind.  

Der Einsatz solcher KI-Tools zur Bearbeitung von Personendaten ist daher regelmässig unzulässig, sofern keine geeignete vertragliche Absicherung besteht.