Mandantendaten können für eine fachliche Datenschutzaufgabe wichtig sein. Gleichzeitig sollen nur die Informationen verwendet werden, die für den jeweiligen Zweck tatsächlich benötigt werden. DSBOK prüft deshalb vor einer KI-gestützten Bearbeitung, welche Daten erforderlich sind, wie sie reduziert werden können und welche Schutzanforderungen sich aus ihrem Inhalt ergeben.
Die konkrete Aufgabe ist der Ausgangspunkt
Welche Mandantendaten benötigt werden, hängt vom Auftrag ab. Für die Prüfung eines allgemeinen Textes können andere Angaben erforderlich sein als für eine Vertragsprüfung, eine Datenschutz-Folgenabschätzung oder die Bewertung eines konkreten Verarbeitungsvorgangs.
Daten werden nicht pauschal oder vorsorglich an ein KI-System übergeben. Zunächst wird betrachtet, welche Informationen für ein fachlich sinnvolles Ergebnis benötigt werden und welche Angaben weggelassen werden können.
Identifizierende Angaben möglichst reduzieren
Namen, Kontaktdaten, Personalnummern und vergleichbare Identifikationsmerkmale sind für viele Fragestellungen nicht erforderlich. Soweit möglich, werden solche Angaben vor der KI-gestützten Bearbeitung entfernt, ersetzt oder verallgemeinert.
Auch nach einer Pseudonymisierung können Informationen weiterhin personenbezogen sein. Die Reduzierung der Daten ist deshalb eine Schutzmaßnahme, aber nicht automatisch mit einer vollständigen Anonymisierung gleichzusetzen.
Sensible und vertrauliche Inhalte gesondert betrachten
Besondere Kategorien personenbezogener Daten, Angaben zu Beschäftigten, Gesundheitsinformationen, Geschäftsgeheimnisse oder sonstige vertrauliche Inhalte können erhöhte Risiken mit sich bringen. Vor ihrer Nutzung ist deshalb genauer zu prüfen, ob die Verarbeitung erforderlich und das vorgesehene System dafür geeignet ist.
Wenn eine Aufgabe ohne diese Inhalte bearbeitet werden kann, sollen sie nicht in die KI-gestützte Verarbeitung einbezogen werden. Bestehen Zweifel, wird der Sachverhalt zunächst abstrahiert oder auf anderem Weg bearbeitet.
Kontrollierte Bereitstellung und Zugriffsbegrenzung
Mandantendaten sollen nur den Personen und Systemen zugänglich sein, die für die Bearbeitung benötigt werden. Bei der Übermittlung von Unterlagen sind Art und Schutzbedarf der Informationen zu berücksichtigen. Für vertrauliche Dokumente sind geeignete Übertragungswege und klar zugeordnete Empfänger erforderlich.
Innerhalb des Bearbeitungsprozesses müssen Zuständigkeiten nachvollziehbar bleiben. KI ersetzt weder eine Berechtigungsprüfung noch die Entscheidung darüber, wer auf Mandantendaten zugreifen darf.
Rahmenbedingungen der eingesetzten Systeme prüfen
Vor dem Einsatz eines KI-Dienstes sind die verfügbaren Informationen zu Vertrag, Speicherpraxis, Datenverwendung und möglichen Unterauftragnehmern zu berücksichtigen. Ob Eingaben beispielsweise für eine Weiterentwicklung von Modellen genutzt werden können, hängt vom Anbieter, dem gewählten Tarif und den jeweiligen Einstellungen ab.
Deshalb werden keine allgemeinen Aussagen für sämtliche KI-Dienste getroffen. Maßgeblich sind die konkret eingesetzten Systeme und ihre aktuellen Rahmenbedingungen.
Fachliche Prüfung und verantwortliche Freigabe
Auch bei einem sorgfältigen Umgang mit Mandantendaten können KI-Ergebnisse fehlerhaft oder unvollständig sein. Qualifizierte Mitarbeitende von DSBOK prüfen deshalb die Ausgaben, ordnen sie in den Mandantenkontext ein und verantworten das freigegebene Arbeitsergebnis.
Fragen zu Ihren Daten?
Gern erläutern wir Ihnen vor einer konkreten Beauftragung, welche Informationen benötigt werden und wie eine datenarme Bearbeitung möglich ist. Nehmen Sie Kontakt mit uns auf oder informieren Sie sich über „PrivacyMaster mieten“.