Mandanten überlassen DSBOK Informationen, die nicht für Dritte bestimmt sind. Dazu können personenbezogene Daten, interne Abläufe, Vertragsinhalte, technische Angaben oder Geschäftsgeheimnisse gehören. Die Nutzung von KI ändert nichts an der Bedeutung dieser Vertraulichkeit. Sie muss bereits bei der Auswahl der Daten, Systeme und Bearbeitungswege berücksichtigt werden.
Vertraulichkeit beginnt vor der Verarbeitung
Bevor Informationen für eine KI-gestützte Aufgabe verwendet werden, ist zu prüfen, welche Inhalte tatsächlich benötigt werden. Nicht erforderliche Namen, interne Kennzeichnungen oder sonstige identifizierende Angaben sollen entfernt oder ersetzt werden, soweit dies für die Aufgabe möglich ist.
Eine reduzierte Datenmenge begrenzt mögliche Auswirkungen, falls Informationen unbeabsichtigt offengelegt werden. Sie ersetzt jedoch nicht die Prüfung, ob das vorgesehene System für die verbleibenden Inhalte geeignet ist.
Zugriffe müssen zur Aufgabe passen
Vertrauliche Informationen sollen nur den Personen zugänglich sein, die sie für die Bearbeitung benötigen. Berechtigungen, Benutzerkonten und interne Zuständigkeiten müssen deshalb zum jeweiligen Arbeitsprozess passen. Allgemein verfügbare Zugänge oder unnötig weit gefasste Freigaben sind für Mandantendaten nicht sachgerecht.
Auch bei einer fachlichen Zusammenarbeit bleibt zu prüfen, welche Unterlagen vollständig benötigt werden und wann eine abstrahierte Darstellung des Sachverhalts ausreicht.
Geeignete Systeme und Einstellungen auswählen
KI-Dienste unterscheiden sich in ihrer technischen und vertraglichen Ausgestaltung. Für die Vertraulichkeit ist unter anderem relevant, ob Eingaben gespeichert, durch den Anbieter ausgewertet oder für andere Zwecke verwendet werden können. Auch Unterauftragnehmer und mögliche Datenübermittlungen können eine Rolle spielen.
Maßgeblich sind der konkret eingesetzte Dienst, der gewählte Tarif und die vorgenommenen Einstellungen. Deshalb wird nicht davon ausgegangen, dass jedes KI-Angebot automatisch für vertrauliche Mandanteninformationen geeignet ist.
Übertragung und Ablage mitbetrachten
Vertraulichkeit betrifft nicht nur die eigentliche Verarbeitung im KI-System. Auch die Übermittlung von Dokumenten, ihre Zwischenablage und die spätere Speicherung von Arbeitsergebnissen gehören zum Bearbeitungsprozess. Der verwendete Weg muss zum Schutzbedarf der Informationen passen.
Unterlagen sollen nicht unkontrolliert vervielfältigt oder länger bereitgehalten werden, als es für die Aufgabe und bestehende Pflichten erforderlich ist. Einzelheiten hierzu werden im Speicher- und Löschkonzept beschrieben.
Keine absolute Vertraulichkeitsgarantie
Technische und organisatorische Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Ein seriöser Umgang mit Vertraulichkeit setzt deshalb voraus, Risiken zu bewerten, Schutzmaßnahmen angemessen auszuwählen und bei Veränderungen erneut zu prüfen.
Werden neue Anbieter, Funktionen oder Verarbeitungswege eingesetzt, müssen ihre Auswirkungen auf Datenschutz und Vertraulichkeit berücksichtigt werden.
Menschen bleiben verantwortlich
KI kann bei der Aufbereitung vertraulicher Informationen unterstützen. Die Entscheidung über die verwendeten Daten, die fachliche Prüfung und die Freigabe des Ergebnisses erfolgen durch qualifizierte Menschen. DSBOK überträgt diese Verantwortung nicht an ein KI-System.
Fragen zur vertraulichen Bearbeitung?
Gern erläutern wir Ihnen, welche Angaben für Ihre konkrete Aufgabe benötigt werden und welche Schutzanforderungen zu berücksichtigen sind. Nehmen Sie Kontakt mit uns auf oder informieren Sie sich über „PrivacyMaster mieten“.