Ob Mandantendaten für KI-Training verwendet werden können, hängt vom konkret eingesetzten Anbieter, Dienst, Tarif und den gewählten Einstellungen ab. Eine pauschale Aussage für sämtliche KI-Systeme wäre nicht belastbar. Deshalb müssen die tatsächlichen Bedingungen des vorgesehenen Verarbeitungswegs geprüft werden.
Training und Verarbeitung sind zu unterscheiden
Ein KI-System verarbeitet Eingaben zunächst, um eine angeforderte Ausgabe zu erzeugen. Davon zu unterscheiden ist die mögliche weitere Verwendung von Ein- oder Ausgaben zur Verbesserung, Weiterentwicklung oder zum Training eines Modells. Ob eine solche Nutzung vorgesehen ist oder ausgeschlossen werden kann, ergibt sich aus den Vertragsbedingungen und technischen Einstellungen des jeweiligen Dienstes.
Welche Punkte werden betrachtet?
Vor einer Bearbeitung mit Mandantendaten sind insbesondere folgende Fragen relevant:
- Werden Eingaben oder Ausgaben zu Trainings- oder Verbesserungszwecken genutzt?
- Lässt sich diese Verwendung vertraglich und technisch ausschließen?
- Welche Protokoll-, Sicherheits- oder Missbrauchskontrollen bestehen daneben?
- Wie lange werden Daten, Arbeitsstände und Sicherungskopien gespeichert?
- Welche Unterauftragnehmer und möglichen Drittlandübermittlungen sind beteiligt?
Eine deaktivierte Trainingsnutzung bedeutet nicht automatisch, dass keinerlei technische Speicherung erfolgt. Speicher- und Protokollzwecke müssen gesondert geprüft werden.
So wenig Mandantendaten wie erforderlich
Unabhängig von den Anbieterbedingungen sollen nur Informationen verwendet werden, die für die konkrete Aufgabe benötigt werden. Namen, Kontaktdaten und andere identifizierende Angaben können häufig entfernt, ersetzt oder verallgemeinert werden. Bei sensiblen oder besonders vertraulichen Inhalten ist zusätzlich zu beurteilen, ob das vorgesehene System überhaupt geeignet ist.
Keine unveränderliche Aussage für alle Systeme
Anbieter können Tarife, Funktionen und Bedingungen ändern. Außerdem kann sich die geeignete Konfiguration je nach Auftrag und Bereitstellungsmodell unterscheiden. Eine einmalige Prüfung darf deshalb nicht ungeprüft auf jeden zukünftigen Einsatz übertragen werden.
Weitere Informationen finden Sie unter Umgang mit Mandantendaten und Eingesetzte Anbieter und Systeme.
Konkrete Rahmenbedingungen klären
Vor einer Beauftragung erläutert DSBOK die für die jeweilige Aufgabe vorgesehene Verarbeitung. Wenn Sie wissen möchten, welche Angaben benötigt werden und welche Konfiguration vorgesehen ist, nehmen Sie Kontakt mit uns auf.