Datenschutz ist nicht der Grund, warum eure KI-Pilotprojekte scheitern

„Das dürfen wir wegen der DSGVO nicht." Diesen Satz höre ich bei fast jedem gescheiterten KI-Projekt. Meistens ist er falsch — und praktisch, weil er den eigentlichen Grund verdeckt.

Der Datenschutz ist ein bequemer Sündenbock. Er klingt nach einem externen Hindernis, für das keiner im Haus etwas kann. Brüssel ist schuld, nicht die eigene Umsetzung. Nur passt das Bild nicht zu den Zahlen.

Was die Studienlage sagt

Das MIT hat 2025 in seinem Bericht „The GenAI Divide: State of AI in Business" untersucht, wie es Unternehmen mit generativer KI tatsächlich ergeht. Das Ergebnis wurde viel zitiert: Rund 95 Prozent der KI-Pilotprojekte liefern keinen messbaren Effekt auf das Ergebnis. Nur etwa 5 Prozent schaffen den Sprung zu echtem Umsatz- oder Kostenimpact. Die Basis waren 150 Interviews mit Verantwortlichen, eine Befragung von 350 Mitarbeitern und die Analyse von 300 öffentlichen KI-Einführungen.

Interessant ist, was das MIT als Hauptursache nennt: nicht die Qualität der Modelle und auch nicht der Datenschutz, sondern eine „Learning Gap". Die meisten Systeme merken sich nichts, passen sich nicht an den konkreten Arbeitsablauf an und werden mit der Zeit nicht besser. Das Tool bleibt ein generischer Assistent, statt in den Prozess hineinzuwachsen.

Die deutsche Einordnung dazu ist deckungsgleich: KI-Projekte scheitern vor allem an fehlenden oder unklaren Use Cases, an mangelnder Datenqualität und an fehlender Integration in bestehende Systeme. KI wird aus Hype eingeführt, nicht um ein konkretes Problem zu lösen. Datenschutz taucht in diesen Ursachenlisten praktisch nicht an erster Stelle auf.

Warum der Datenschutz trotzdem herhalten muss

Weil er unangreifbar wirkt. Wer sagt „unser Use Case war zu unklar", gibt einen eigenen Fehler zu. Wer sagt „die DSGVO lässt das nicht zu", verschiebt die Verantwortung nach außen. Das ist menschlich, aber es blockiert das nächste Projekt gleich mit.

In der Praxis heißt „das dürfen wir nicht" fast immer eines von drei Dingen:

• Keiner hat es geprüft. Statt einmal sauber zu klären, welche Daten wie verarbeitet werden dürfen, wird pauschal abgewunken.
• Das falsche Werkzeug. Die kostenlose Consumer-Version eines Chatbots ist tatsächlich problematisch. Die Geschäftsvariante mit Auftragsverarbeitungsvertrag und Serverstandort EU ist es meist nicht.
• Die Daten sind ein Chaos. Und weil man das nicht zugeben will, ist der Datenschutz die elegantere Ausrede.

Datenschutz ist ein lösbares Teilproblem

Ich will ihn nicht kleinreden. Personenbezogene Daten gehören nicht ungeprüft in ein beliebiges Tool, und in Betrieben mit Betriebsrat gibt es zusätzlich Mitbestimmung zu beachten. Das ist real. Aber es ist ein Punkt auf einer Checkliste, kein Show-Stopper.

Die meisten Büro-Anwendungsfälle im Mittelstand fassen ohnehin kaum sensible Personendaten an: ein technisches Angebot aus einer Lieferanten-PDF ziehen, wiederkehrende Serviceanfragen vorsortieren, eine englische Doku übersetzen. Wo doch Personendaten im Spiel sind, lösen ein Geschäftstarif mit Vertrag zur Auftragsverarbeitung, ein EU-Serverstandort und eine klare Regel, was rein darf und was nicht, den größten Teil.

Ein KI-Projekt scheitert nicht an der DSGVO. Es scheitert daran, dass niemand vorher entschieden hat, welches konkrete Problem gelöst werden soll.

Was die 5 Prozent anders machen

Der MIT-Bericht liefert dazu einen brauchbaren Hinweis. Eingekaufte, spezialisierte Lösungen von externen Anbietern waren in rund zwei Dritteln der Fälle erfolgreich — deutlich häufiger als intern selbst gebaute Tools. Und die Einführung läuft besser, wenn die Leute an der Linie sie treiben, nicht nur ein zentrales KI-Labor.

Übersetzt auf einen 50-Mann-Betrieb: Fang mit einem klar umrissenen Prozess an, bei dem du den Zeitgewinn messen kannst. Nimm ein Werkzeug, das in deinen Ablauf passt, statt ein eigenes Projekt aufzusetzen. Und klär den Datenschutz einmal am Anfang sauber — dann ist er vom Tisch, statt in jeder Diskussion neu als Bremse aufzutauchen.

Die ehrliche Einordnung

Nichts davon ist eine Garantie. Auch ein sauber gewählter Use Case kann floppen, wenn die Datenlage schlechter ist als gedacht oder die Kollegen das Tool nicht annehmen. Die 95 Prozent verschwinden nicht, nur weil man den Datenschutz von der Ausrede-Liste streicht.

Aber man kommt der Realität näher. Und die Realität ist: Die meisten Projekte scheitern an Entscheidungen, die im eigenen Haus getroffen werden — welcher Prozess, welche Daten, welches Werkzeug. Das ist unbequemer als „Brüssel ist schuld". Es ist aber auch das Einzige, an dem man selbst etwas ändern kann.