Technische und organisatorische Maßnahmen sollen personenbezogene und vertrauliche Informationen angemessen schützen. Welche Maßnahmen erforderlich sind, hängt von der konkreten Verarbeitung, den verwendeten Systemen, der Art der Daten und den möglichen Auswirkungen eines Vorfalls ab. Eine pauschale Sicherheitszusage für sämtliche KI-Anwendungen wäre deshalb nicht sachgerecht.
Maßnahmen müssen zum Risiko passen
Ein kurzer, abstrahierter Sachverhalt stellt andere Anforderungen als umfangreiche Dokumente mit Beschäftigtendaten, Gesundheitsinformationen oder Geschäftsgeheimnissen. Vor der KI-gestützten Bearbeitung ist daher zu prüfen, welcher Schutzbedarf besteht und ob das vorgesehene System für die Aufgabe geeignet ist.
Technische Funktionen allein reichen dabei nicht aus. Klare Zuständigkeiten, Arbeitsanweisungen und ein kontrollierter Umgang mit den Daten sind ebenso wichtig.
Zugänge und Berechtigungen begrenzen
Konten und Zugriffsrechte sollen auf die Personen beschränkt sein, die sie für ihre Aufgabe benötigen. Dazu gehören eine nachvollziehbare Benutzerverwaltung, angemessene Anmeldeverfahren und die regelmäßige Prüfung vorhandener Berechtigungen.
Gemeinsam genutzte oder unnötig weitreichende Zugänge können die Nachvollziehbarkeit erschweren und Risiken erhöhen. Die konkrete Ausgestaltung richtet sich nach dem eingesetzten Dienst und den dort verfügbaren Funktionen.
Daten vor und während der Bearbeitung reduzieren
Nicht erforderliche personenbezogene Angaben sollen vor einer KI-gestützten Verarbeitung entfernt, ersetzt oder verallgemeinert werden. Wo eine vollständige Anonymisierung nicht möglich ist, kann eine Pseudonymisierung das Risiko verringern.
Zusätzlich ist zu prüfen, ob vollständige Dokumente benötigt werden oder einzelne Abschnitte und abstrahierte Informationen für die Aufgabe ausreichen.
Übertragung, Speicherung und Löschung berücksichtigen
Schutzmaßnahmen müssen den gesamten Datenweg erfassen. Dazu gehören die Übermittlung von Unterlagen, mögliche Arbeitskopien, Eingaben und Ausgaben des KI-Systems sowie die Ablage des geprüften Ergebnisses. Übertragungswege und Speicherorte müssen zum Schutzbedarf passen.
Aufbewahrung und Löschung werden anhand des Zwecks, des Auftrags und bestehender Pflichten festgelegt. Technische Grenzen des jeweiligen Anbieters, etwa bei Protokollen oder Sicherungskopien, sind dabei einzubeziehen.
Anbieter und Änderungen kontrollieren
Bei externen Diensten werden verfügbare Informationen zu Sicherheit, Datenschutz, Unterauftragnehmern und Datenverarbeitung berücksichtigt. Maßgeblich sind der konkret genutzte Tarif und die gewählten Einstellungen, nicht allein allgemeine Werbeaussagen des Anbieters.
Neue Funktionen, geänderte Vertragsbedingungen oder andere Verarbeitungswege können eine erneute Bewertung erforderlich machen. Maßnahmen sind deshalb nicht als einmalige Prüfung zu verstehen.
Vorfälle und Abweichungen bearbeiten
Auch geeignete Schutzmaßnahmen können Risiken nicht vollständig ausschließen. Für erkennbare Fehlübermittlungen, unberechtigte Zugriffe oder andere Abweichungen werden daher klare Melde- und Prüfwege benötigt. Anschließend ist zu beurteilen, welche weiteren Schritte erforderlich sind.
Menschen prüfen und verantworten
Qualifizierte Mitarbeitende von DSBOK steuern den Einsatz, prüfen die KI-Ergebnisse und geben Arbeitsergebnisse frei. PrivacyMaster unterstützt die Bearbeitung, entscheidet aber nicht selbst über Schutzmaßnahmen oder deren Angemessenheit.
Fragen zu den Schutzmaßnahmen?
Gern erläutern wir Ihnen die für Ihre konkrete Aufgabe vorgesehenen Rahmenbedingungen. Nehmen Sie Kontakt mit uns auf oder informieren Sie sich über „PrivacyMaster mieten“.