Generative KI in Belgien: DSGVO, NIS2 und KI-Governance im Verwaltungsrat

In Belgien schreibt dasselbe Team morgens auf Französisch, nachmittags auf Niederländisch und für die europäische Zentrale auf Englisch. Generative KI ist schnell zum bevorzugten Werkzeug geworden, um zwischen den Sprachen zu wechseln: einen Vertrag übersetzen, eine Kundenmail umformulieren, einen technischen Bericht zusammenfassen. Das ist praktisch. Es ist aber auch ein unauffälliger Ausgang für Daten, die das Unternehmen nie verlassen sollten.

Für Verwaltungsräte und Geschäftsleitungen ist das Thema nicht mehr nur technisch. Zwischen der DSGVO, über die die Datenschutzbehörde wacht, und dem belgischen NIS2-Gesetz, das das Zentrum für Cybersicherheit Belgien beaufsichtigt, ist KI-Governance zur Chefsache geworden.

Eine mehrsprachige Wirtschaft, intensive KI-Nutzung

In einem belgischen Unternehmen ist Übersetzung keine Nebensache. Eine Handelsgruppe bedient Kunden in Flandern, der Wallonie und Brüssel. Ein Logistiker im Hafen von Antwerpen arbeitet mit Partnern aus aller Welt. Eine Brüsseler Beratung arbeitet mit den EU-Institutionen. Einen Text in einen KI-Assistenten zu kopieren, um eine saubere Fassung in einer anderen Sprache zu erhalten, ist zum Reflex geworden.

Das Problem ist der Inhalt dieses Textes. Ein Kündigungsschreiben, eine Kundenakte, ein Angebot oder ein Vorfallbericht landen dann bei einem externen Dienst, oft ohne Vertrag, ohne Kontrolle und ohne Spur. Genau das beschreiben wir in unserer Anatomie eines KI-Datenlecks.

Was die Datenschutzbehörde sagt

Die Datenschutzbehörde, auf Französisch Autorité de protection des données (APD) und auf Niederländisch Gegevensbeschermingsautoriteit (GBA), überwacht die Einhaltung der DSGVO in Belgien. Im September 2024 veröffentlichte sie eine Informationsbroschüre zu KI-Systemen und der DSGVO, erhältlich auf Französisch, Niederländisch und Englisch, und eröffnete einen eigenen KI-Bereich auf ihrer Website.

Die Broschüre stellt klar, dass die Grundsätze der DSGVO voll für KI gelten: eine Rechtsgrundlage für jede Verarbeitung, Transparenz gegenüber den Betroffenen, Zweckbindung, Datenminimierung und Sicherheit der Verarbeitung. Sie betont auch die Rechenschaftspflicht: Das Unternehmen muss seine Entscheidungen und Risikoanalysen dokumentieren können. Für ein Leitungsgremium ist die Botschaft eindeutig: Wer KI nutzt, schiebt die Verantwortung nicht auf den Anbieter ab.

NIS2 in Belgien: Die Leitung steht in der ersten Reihe

Belgien hat die NIS2-Richtlinie mit dem Gesetz vom 26. April 2024 umgesetzt, das am 18. Oktober 2024 in Kraft trat. Das Zentrum für Cybersicherheit Belgien (CCB) ist die zuständige Behörde und betreibt auch das nationale CSIRT. Betroffene Einrichtungen mussten sich über Safeonweb@Work registrieren, in den meisten Fällen bis spätestens 18. März 2025.

Der Teil, der die Führung direkt betrifft, lautet so. Leitungsorgane müssen:

• die Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen;

• deren Umsetzung überwachen;

• an Schulungen teilnehmen, um die Risiken und ihre Folgen zu verstehen;

• für Verstöße der Einrichtung gegen diese Pflichten einstehen.

KI-Assistenten gehören zur Angriffsfläche. Ein unkontrolliertes Tool, das interne Daten erhält, ist ein weiterer Lieferant in der Kette und manchmal die Ursache eines Vorfalls. Mehr dazu in unserem Artikel über NIS2 und KI-Datenverarbeitung.

Meldung von Vorfällen: sehr kurze Fristen

Nach NIS2 muss ein erheblicher Sicherheitsvorfall dem CCB in Stufen gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat danach. Sind personenbezogene Daten betroffen, kommt die Meldung an die Datenschutzbehörde nach DSGVO hinzu, grundsätzlich innerhalb von 72 Stunden.

Diese Fristen setzen voraus, dass man weiß, was passiert ist. Wenn aber ein Mitarbeiter eine Kundendatei in einen öffentlichen Chatbot kopiert, sieht das Unternehmen oft nichts. Ohne Protokollierung lässt sich weder das Ausmaß eines Lecks messen noch der Behörde präzise antworten.

KI-Governance auf Ebene des Verwaltungsrats

Ein Verwaltungsrat muss kein KI-Experte werden. Er muss aber die richtigen Fragen stellen und dokumentierte Antworten verlangen:

1. Inventar: Welche KI-Tools werden genutzt, in welchen Abteilungen, mit welchen Daten?

2. Richtlinie: Welche Nutzungen sind erlaubt, in welchen Sprachen und für welche Dokumenttypen?

3. Verträge: Sind die Anbieter durch einen Auftragsverarbeitungsvertrag und Garantien für Übermittlungen abgedeckt?

4. Kontrolle: Woher weiß das Unternehmen, dass die Richtlinie im Alltag eingehalten wird?

5. Nachweis: Welche Aufzeichnungen lassen sich der Datenschutzbehörde oder dem CCB auf Nachfrage vorlegen?

Die europäische KI-Verordnung ergänzt eine Pflicht zur KI-Kompetenz des Personals, die seit dem 2. Februar 2025 gilt. Schulungen sind also nötig, aber Schulung allein garantiert kein richtiges Verhalten.

Eine Kontrolle, die alle Sprachen spricht

In einem Land mit drei Amtssprachen muss eine wirksame Kontrolle sensible Daten unabhängig von der Sprache des Textes erkennen. Eine Nationalregisternummer, eine IBAN, der Name eines Patienten oder eine Vertraulichkeitsklausel bleiben sensibel, ob auf Französisch, Niederländisch, Deutsch oder Englisch.

Eine KI-DLP-Lösung greift in dem Moment, in dem der Text zum Assistenten geht. Sie erkennt sensible Daten, ersetzt sie durch realistische Platzhalter mithilfe der formatbewahrenden Anonymisierung, warnt oder blockiert je nach Regel und hinterlässt einen verwertbaren Nachweis. Die Teams übersetzen und schreiben weiter, ohne preiszugeben, was intern bleiben muss.

Das Wichtigste in Kürze

In Belgien dient generative KI oft als Brücke zwischen den Sprachen, und genau dort fließen Daten ab. Die Datenschutzbehörde stellt klar, dass die DSGVO voll für KI gilt. Das NIS2-Gesetz nimmt die Leitung direkt in die Pflicht. Ein gut informierter Verwaltungsrat verlangt ein Inventar, eine klare Richtlinie, solide Verträge und eine Kontrolle, die Nachweise liefert.

Möchten Sie sehen, wie ZeusLock den Austausch Ihrer Teams mit KI schützt, in allen ihren Sprachen? Demo anfragen.