Schlagwort: Datenminimierung

Veröffentlicht am

Geschäftsgeheimnisse bei KI schützen: Erst prüfen, dann verarbeiten

Geschäftsgeheimnisse, Quellcode, Netzwerkpläne oder Schwachstellenberichte können für eine Datenschutzprüfung relevant sein. Sie gehören trotzdem nicht ungeprüft in einen KI-Dienst. DSBOK grenzt deshalb zunächst die Aufgabe ein und prüft, welche Angaben für die Bearbeitung tatsächlich benötigt werden.

Schutz beginnt vor der Eingabe

Nach dem Geschäftsgeheimnisgesetz kommt es auch auf angemessene Geheimhaltungsmaßnahmen an. Für den KI-Einsatz bedeutet das: Schutzbedarf erkennen, Informationen klassifizieren und den vorgesehenen Bearbeitungsweg bewerten. Passwörter, API-Schlüssel und aktive Zugangsdaten werden grundsätzlich nicht als KI-Eingabe benötigt.

Weniger Daten, klarer Auftrag

Häufig genügt eine abstrahierte Beschreibung. Interne Kennungen, technische Details oder nicht erforderliche Dokumentteile können entfernt, ersetzt oder verallgemeinert werden. Ist der verbleibende Inhalt für den vorgesehenen KI-Dienst nicht geeignet, erfolgt die Bearbeitung ohne diese Angaben, ohne KI-Unterstützung oder in einer dafür freigegebenen Umgebung.

Technik unterstützt, Menschen entscheiden

Automatische Filter können vertrauliche Inhalte übersehen. Qualifizierte Mitarbeitende prüfen daher Aufgabe, Schutzbedarf, Systemeinstellungen und Ergebnis. Sie entscheiden über den Bearbeitungsweg und verantworten die Freigabe.

Erfahren Sie, wie PrivacyMaster Geschäftsgeheimnisse und sensible Infrastrukturinformationen beim KI-Einsatz behandelt.

Veröffentlicht am

Technische und organisatorische Maßnahmen: Schutz muss zum Risiko passen

Technische und organisatorische Maßnahmen sollen personenbezogene und vertrauliche Informationen angemessen schützen. Welche Maßnahmen erforderlich sind, lässt sich jedoch nicht pauschal festlegen. Entscheidend sind die konkrete Aufgabe, die eingesetzten Systeme, die Art der Daten und die möglichen Auswirkungen eines Vorfalls.

Der Schutzbedarf ist der Ausgangspunkt

Ein abstrahierter Sachverhalt stellt andere Anforderungen als Dokumente mit Beschäftigtendaten, Gesundheitsinformationen oder Geschäftsgeheimnissen. Vor einer KI-gestützten Bearbeitung wird deshalb geprüft, welcher Schutzbedarf besteht und ob das vorgesehene System dafür geeignet ist.

Technik und Organisation gehören zusammen

Begrenzte Zugriffsrechte, angemessene Anmeldeverfahren und eine nachvollziehbare Benutzerverwaltung sind wichtige Bausteine. Ebenso erforderlich sind klare Zuständigkeiten, Arbeitsanweisungen und kontrollierte Bearbeitungswege. Nicht benötigte Angaben sollen entfernt, ersetzt oder verallgemeinert werden.

Den gesamten Datenweg berücksichtigen

Schutzmaßnahmen betreffen nicht nur die Eingabe in ein KI-System. Auch Übermittlung, Arbeitskopien, Speicherung, Löschung und die Ablage des geprüften Ergebnisses müssen zum Schutzbedarf passen. Änderungen bei Anbietern, Funktionen oder Vertragsbedingungen können eine erneute Bewertung erforderlich machen.

Keine pauschale Sicherheitszusage

Geeignete Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Deshalb sind auch klare Melde- und Prüfwege für Fehlübermittlungen, unberechtigte Zugriffe oder andere Abweichungen notwendig.

Menschen prüfen und verantworten

PrivacyMaster unterstützt die Bearbeitung. Qualifizierte Mitarbeitende von DSBOK wählen die Schutzmaßnahmen aus, prüfen die KI-Ergebnisse und verantworten die Freigabe.

Mehr über technische und organisatorische Maßnahmen bei PrivacyMaster erfahren

Veröffentlicht am

Vertraulichkeit beim KI-Einsatz beginnt vor der Verarbeitung

Mandanten überlassen DSBOK personenbezogene Daten, interne Abläufe, Vertragsinhalte, technische Angaben oder Geschäftsgeheimnisse. Der Einsatz von KI ändert nichts daran, dass diese Informationen vertraulich zu behandeln sind. Vertraulichkeit beginnt deshalb bereits bei der Auswahl der Daten, Systeme und Bearbeitungswege.

Nur erforderliche Informationen verwenden

Vor einer KI-gestützten Bearbeitung wird geprüft, welche Inhalte für die konkrete Aufgabe benötigt werden. Soweit möglich, werden Namen, interne Kennzeichnungen und andere identifizierende Angaben entfernt oder ersetzt. Eine geringere Datenmenge kann mögliche Auswirkungen begrenzen. Sie ersetzt jedoch nicht die Prüfung, ob das vorgesehene System für die verbleibenden Informationen geeignet ist.

Zugriffe und technische Rahmenbedingungen prüfen

Vertrauliche Daten sollen nur Personen zugänglich sein, die sie für ihre Aufgabe benötigen. Auch Speicherpraxis, Datenverwendung, Unterauftragnehmer und Einstellungen des eingesetzten KI-Dienstes sind zu berücksichtigen. Ebenso gehören Übertragungswege, Zwischenablagen und die spätere Speicherung der Ergebnisse zum Bearbeitungsprozess.

Risiken regelmäßig neu bewerten

Technische und organisatorische Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Werden neue Anbieter, Funktionen oder Verarbeitungswege eingesetzt, müssen ihre Auswirkungen auf Datenschutz und Vertraulichkeit deshalb erneut geprüft werden.

Die Verantwortung bleibt beim Menschen

KI unterstützt die Aufbereitung. Qualifizierte Mitarbeitende von DSBOK entscheiden über die verwendeten Daten, prüfen die Ergebnisse fachlich und verantworten deren Freigabe.

Mehr über die vertrauliche KI-gestützte Bearbeitung erfahren

Veröffentlicht am

Mandantendaten beim KI-Einsatz: auf das Erforderliche beschränken

KI kann Datenschutzaufgaben unterstützen. Dafür werden je nach Auftrag auch Informationen aus dem Mandantenkontext benötigt. Das bedeutet jedoch nicht, dass vollständige Unterlagen oder sämtliche verfügbaren Daten an ein KI-System übergeben werden müssen. DSBOK prüft deshalb vorab, welche Angaben für die konkrete Aufgabe tatsächlich erforderlich sind.

Nur notwendige Informationen verwenden

Namen, Kontaktdaten, Personalnummern und vergleichbare Identifikationsmerkmale lassen sich bei vielen Aufgaben entfernen, ersetzen oder verallgemeinern. Dabei bleibt wichtig: Eine Pseudonymisierung reduziert Risiken, ist aber nicht automatisch eine vollständige Anonymisierung.

Sensible Inhalte gesondert betrachten

Gesundheitsdaten, Beschäftigtendaten, Geschäftsgeheimnisse und andere vertrauliche Informationen können einen erhöhten Schutzbedarf haben. Vor einer KI-gestützten Bearbeitung ist daher zu prüfen, ob diese Inhalte benötigt werden und ob das vorgesehene System dafür geeignet ist. Wenn die Aufgabe ohne sensible Angaben bearbeitet werden kann, werden sie nicht einbezogen.

Fachliche Prüfung bleibt unverzichtbar

Zugriffsrechte, Übertragungswege und die Rahmenbedingungen des eingesetzten KI-Dienstes gehören ebenfalls zur Prüfung. Die KI entscheidet weder über Berechtigungen noch über die Freigabe. Qualifizierte Mitarbeitende von DSBOK prüfen die Ergebnisse im konkreten Mandantenkontext und verantworten das freigegebene Arbeitsergebnis.

Mehr über den Umgang mit Mandantendaten bei PrivacyMaster erfahren