KI kann die Datenschutzarbeit sinnvoll unterstützen. Gleichzeitig muss geprüft werden, welche Informationen für eine Aufgabe tatsächlich benötigt werden und unter welchen Bedingungen sie verarbeitet werden dürfen. DSBOK betrachtet Datenschutz deshalb nicht erst beim fertigen Ergebnis, sondern bereits bei der Vorbereitung und Durchführung des KI-Einsatzes.
Der Zweck bestimmt den Einsatz
Am Anfang steht eine konkrete Aufgabe. Aus ihr ergibt sich, welche Informationen erforderlich sind und ob KI-Unterstützung dafür geeignet ist. Daten werden nicht allein deshalb in ein KI-System eingegeben, weil dies technisch möglich wäre.
Vor der Bearbeitung ist insbesondere zu klären, welchen Zweck der Einsatz verfolgt, welche Datenarten betroffen sind und ob die Aufgabe auch mit weniger oder stärker reduzierten Angaben bearbeitet werden kann.
So wenig personenbezogene Daten wie möglich
Für viele Aufgaben reichen abstrahierte, anonymisierte oder pseudonymisierte Informationen aus. Namen, Kontaktdaten und andere unmittelbar identifizierende Angaben sind häufig für die fachliche Fragestellung nicht erforderlich und können vor der Bearbeitung entfernt oder ersetzt werden.
Ob eine solche Reduzierung möglich und ausreichend ist, wird anhand der konkreten Aufgabe beurteilt. Bei besonders sensiblen Informationen ist zusätzlich zu prüfen, ob und in welchem Umfang eine Verarbeitung mit KI überhaupt angemessen ist.
Anbieter und Systeme müssen zum Zweck passen
KI-Dienste unterscheiden sich unter anderem hinsichtlich ihrer Vertragsbedingungen, technischen Ausgestaltung, Speicherpraxis und möglichen Datenübermittlungen. Deshalb ist nicht jedes frei zugängliche KI-Angebot für die Verarbeitung von Mandantendaten geeignet.
Bei der Auswahl eines Systems werden die verfügbaren Informationen zu den Rahmenbedingungen berücksichtigt. Welche Anbieter und Systeme konkret eingesetzt werden, wird auf einer eigenen Seite erläutert und bei Änderungen entsprechend überprüft.
Zugriff und Vertraulichkeit berücksichtigen
Neben dem Datenschutz ist die Vertraulichkeit der überlassenen Informationen zu beachten. Zugriffe sollen auf die Personen und Systeme beschränkt bleiben, die für die jeweilige Aufgabe benötigt werden. Interne Vorgaben und Zuständigkeiten unterstützen einen kontrollierten Umgang mit den Daten.
Ein allgemeines Sicherheitsversprechen wäre dabei nicht sachgerecht. Schutzmaßnahmen müssen zum Risiko, zur Art der Informationen und zum konkreten Verarbeitungsvorgang passen und regelmäßig überprüft werden.
Speicherung und Löschung aufgabenbezogen regeln
Informationen sollen nicht länger gespeichert werden, als es für den jeweiligen Zweck und bestehende Pflichten erforderlich ist. Dabei sind sowohl die Ablage bei DSBOK als auch mögliche Speicherungen innerhalb der eingesetzten Systeme zu betrachten.
Konkrete Aufbewahrungs- und Löschregelungen können je nach Auftrag, Datenart und Anbieter unterschiedlich sein. Das Speicher- und Löschkonzept wird deshalb gesondert beschrieben.
Fachliche Kontrolle bleibt Teil des Datenschutzes
Datenschutzgerechter KI-Einsatz betrifft nicht nur die technische Verarbeitung. Auch fehlerhafte oder unvollständige Ergebnisse können Auswirkungen auf betroffene Personen und Mandanten haben. Deshalb werden KI-Ausgaben durch qualifizierte Menschen geprüft und verantwortet. PrivacyMaster unterstützt die fachliche Arbeit, ersetzt sie jedoch nicht.
Fragen zum Datenschutz bei PrivacyMaster?
Gern erläutern wir Ihnen die Rahmenbedingungen für Ihre konkrete Aufgabenstellung. Nehmen Sie Kontakt mit uns auf oder informieren Sie sich über „PrivacyMaster mieten“.