Schlagwort: Datenschutz und KI

Veröffentlicht am

Geschäftsgeheimnisse bei KI schützen: Erst prüfen, dann verarbeiten

Geschäftsgeheimnisse, Quellcode, Netzwerkpläne oder Schwachstellenberichte können für eine Datenschutzprüfung relevant sein. Sie gehören trotzdem nicht ungeprüft in einen KI-Dienst. DSBOK grenzt deshalb zunächst die Aufgabe ein und prüft, welche Angaben für die Bearbeitung tatsächlich benötigt werden.

Schutz beginnt vor der Eingabe

Nach dem Geschäftsgeheimnisgesetz kommt es auch auf angemessene Geheimhaltungsmaßnahmen an. Für den KI-Einsatz bedeutet das: Schutzbedarf erkennen, Informationen klassifizieren und den vorgesehenen Bearbeitungsweg bewerten. Passwörter, API-Schlüssel und aktive Zugangsdaten werden grundsätzlich nicht als KI-Eingabe benötigt.

Weniger Daten, klarer Auftrag

Häufig genügt eine abstrahierte Beschreibung. Interne Kennungen, technische Details oder nicht erforderliche Dokumentteile können entfernt, ersetzt oder verallgemeinert werden. Ist der verbleibende Inhalt für den vorgesehenen KI-Dienst nicht geeignet, erfolgt die Bearbeitung ohne diese Angaben, ohne KI-Unterstützung oder in einer dafür freigegebenen Umgebung.

Technik unterstützt, Menschen entscheiden

Automatische Filter können vertrauliche Inhalte übersehen. Qualifizierte Mitarbeitende prüfen daher Aufgabe, Schutzbedarf, Systemeinstellungen und Ergebnis. Sie entscheiden über den Bearbeitungsweg und verantworten die Freigabe.

Erfahren Sie, wie PrivacyMaster Geschäftsgeheimnisse und sensible Infrastrukturinformationen beim KI-Einsatz behandelt.

Veröffentlicht am

Datenschutz-Folgenabschätzung: KI strukturiert, Menschen bewerten Risiken

Eine Datenschutz-Folgenabschätzung wird erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. DSBOK unterstützt bei der Vorprüfung, der strukturierten Durchführung und der fachlichen Bewertung. PrivacyMaster kann einzelne Arbeitsschritte vorbereiten.

Nicht jede Verarbeitung erfordert eine DSFA

Entscheidend sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die möglichen Auswirkungen auf betroffene Personen. Neue Technologien, sensible Daten, systematische Überwachung oder automatisierte Bewertungen können besondere Aufmerksamkeit erfordern. Das Ergebnis der Vorprüfung sollte nachvollziehbar begründet werden.

Die Verarbeitung vollständig erfassen

Für eine belastbare Bewertung müssen unter anderem Zwecke, Datenarten, betroffene Personengruppen, Datenflüsse, Empfänger, Systeme, Speicherfristen und Zuständigkeiten bekannt sein. PrivacyMaster kann diese Informationen strukturieren und offene Punkte sichtbar machen. Fehlende Angaben werden dadurch nicht ersetzt.

Risiken und Maßnahmen fachlich bewerten

KI kann mögliche Risikoszenarien formulieren und die Dokumentation vorbereiten. Qualifizierte Mitarbeitende von DSBOK prüfen diese Vorschläge auf Plausibilität, Vollständigkeit und Bezug zum tatsächlichen Verfahren. Neben technischer Sicherheit können auch Kontrollverlust, Diskriminierung oder wirtschaftliche Nachteile relevant sein.

Die Verantwortung bleibt beim Unternehmen

Der Verantwortliche im Sinne der DSGVO bleibt für Durchführung, Entscheidungen und Umsetzung der Schutzmaßnahmen verantwortlich. Ändern sich Verfahren, Technik oder Risiken, muss geprüft werden, ob die Datenschutz-Folgenabschätzung weiterhin passt.

Mehr über Datenschutz-Folgenabschätzungen mit PrivacyMaster erfahren

Veröffentlicht am

Datenschutzdokumente prüfen: KI bereitet vor, Fachleute bewerten

Datenschutzdokumente müssen zum konkreten Auftrag und zu den tatsächlichen Abläufen im Unternehmen passen. DSBOK prüft deshalb nicht nur einzelne Formulierungen, sondern auch Zusammenhänge, Widersprüche und offene Angaben. PrivacyMaster kann die Sichtung umfangreicher Unterlagen strukturiert vorbereiten.

Unterschiedliche Dokumente gezielt prüfen

Je nach Auftrag können beispielsweise Auftragsverarbeitungsverträge, Vereinbarungen zur gemeinsamen Verantwortlichkeit, technische und organisatorische Maßnahmen, Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen oder Datenschutzhinweise einbezogen werden. Die erforderliche Prüftiefe richtet sich nach Zweck, Datenart und Verarbeitungskontext.

KI schafft eine strukturierte Grundlage

PrivacyMaster kann Klauseln thematisch zuordnen und mögliche Unklarheiten, fehlende Angaben oder widersprüchliche Regelungen sichtbar machen. Bei umfangreichen Vertragswerken erleichtert dies den Vergleich zusammengehöriger Inhalte und die Vorbereitung konkreter Prüffragen.

Keine automatische Freigabe

Die technische Aufbereitung ist noch kein belastbares Prüfergebnis. Qualifizierte Mitarbeitende von DSBOK bewerten, ob erforderliche Inhalte erkennbar abgedeckt sind, Regelungen zum Auftrag passen und weitere Informationen benötigt werden. Ungeklärte Sachverhalte werden als offene Punkte benannt.

Nachvollziehbare Ergebnisse

Je nach vereinbartem Umfang kann das Ergebnis als kommentiertes Dokument, strukturierte Prüfübersicht oder konkrete Anpassungsempfehlung bereitgestellt werden. Die Prüfung kann Risiken und Handlungsbedarf sichtbar machen, ersetzt aber nicht die Kenntnis der tatsächlichen Umstände.

Mehr über die Dokumentenprüfung mit PrivacyMaster erfahren

Veröffentlicht am

Anbieter und Systeme bei PrivacyMaster: Die Konfiguration entscheidet

PrivacyMaster besteht nicht nur aus einem einzelnen KI-Dienst. Je nach Aufgabe können mehrere technische Komponenten zusammenwirken: die Arbeitsumgebung, zwei ergänzende KI-Modelle sowie Funktionen zur Dokumentenverarbeitung, Speicherung und Bereitstellung von Ergebnissen.

Zwei Modelle liefern unterschiedliche Perspektiven

Ein KI-Modell kann eine erste Struktur oder Ausarbeitung vorbereiten. Ein zweites Modell kann zusätzliche Gesichtspunkte, Abweichungen oder mögliche Lücken aufzeigen. Auch übereinstimmende Ergebnisse sind jedoch kein Beleg für Richtigkeit. Sie bleiben eine Arbeitsgrundlage für die fachliche Prüfung.

Anbieter und Modell unterscheiden

Ein Anbieter kann verschiedene Modelle, Tarife, Speicheroptionen und technische Schnittstellen bereitstellen. Für die Bewertung kommt es deshalb nicht nur auf einen Modellnamen an. Relevant sind der konkrete Dienst, die Vertragsform, die Einstellungen und der tatsächliche Verarbeitungsweg.

Auswahl nach Aufgabe und Schutzbedarf

Nicht jedes System eignet sich für jede Information. DSBOK berücksichtigt deshalb unter anderem Datenart, Schutzbedarf, Speicher- und Löschmöglichkeiten, Unterauftragnehmer, mögliche Drittlandübermittlungen und verfügbare Sicherheitsfunktionen.

Keine starre Anbieterliste

KI-Angebote und ihre Bedingungen ändern sich regelmäßig. Zudem kann je nach Auftrag eine andere technische Lösung sinnvoll sein. Konkrete Anbieter- und Systemangaben werden daher anhand der tatsächlich vorgesehenen Konfiguration geprüft und bereitgestellt.

Menschen behalten die Kontrolle

PrivacyMaster unterstützt Analyse, Strukturierung und Dokumentation. Qualifizierte Mitarbeitende wählen die Werkzeuge aus, prüfen die Ergebnisse und verantworten deren Freigabe.

Mehr über die eingesetzten Anbieter und Systeme erfahren

Veröffentlicht am

Technische und organisatorische Maßnahmen: Schutz muss zum Risiko passen

Technische und organisatorische Maßnahmen sollen personenbezogene und vertrauliche Informationen angemessen schützen. Welche Maßnahmen erforderlich sind, lässt sich jedoch nicht pauschal festlegen. Entscheidend sind die konkrete Aufgabe, die eingesetzten Systeme, die Art der Daten und die möglichen Auswirkungen eines Vorfalls.

Der Schutzbedarf ist der Ausgangspunkt

Ein abstrahierter Sachverhalt stellt andere Anforderungen als Dokumente mit Beschäftigtendaten, Gesundheitsinformationen oder Geschäftsgeheimnissen. Vor einer KI-gestützten Bearbeitung wird deshalb geprüft, welcher Schutzbedarf besteht und ob das vorgesehene System dafür geeignet ist.

Technik und Organisation gehören zusammen

Begrenzte Zugriffsrechte, angemessene Anmeldeverfahren und eine nachvollziehbare Benutzerverwaltung sind wichtige Bausteine. Ebenso erforderlich sind klare Zuständigkeiten, Arbeitsanweisungen und kontrollierte Bearbeitungswege. Nicht benötigte Angaben sollen entfernt, ersetzt oder verallgemeinert werden.

Den gesamten Datenweg berücksichtigen

Schutzmaßnahmen betreffen nicht nur die Eingabe in ein KI-System. Auch Übermittlung, Arbeitskopien, Speicherung, Löschung und die Ablage des geprüften Ergebnisses müssen zum Schutzbedarf passen. Änderungen bei Anbietern, Funktionen oder Vertragsbedingungen können eine erneute Bewertung erforderlich machen.

Keine pauschale Sicherheitszusage

Geeignete Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Deshalb sind auch klare Melde- und Prüfwege für Fehlübermittlungen, unberechtigte Zugriffe oder andere Abweichungen notwendig.

Menschen prüfen und verantworten

PrivacyMaster unterstützt die Bearbeitung. Qualifizierte Mitarbeitende von DSBOK wählen die Schutzmaßnahmen aus, prüfen die KI-Ergebnisse und verantworten die Freigabe.

Mehr über technische und organisatorische Maßnahmen bei PrivacyMaster erfahren

Veröffentlicht am

Speichern und Löschen bei KI: Der Zweck entscheidet

Bei einer KI-gestützten Bearbeitung können verschiedene Datenbestände entstehen: Originalunterlagen, reduzierte Arbeitsfassungen, Eingaben, Zwischenergebnisse und das fachlich geprüfte Endergebnis. Diese Informationen müssen nicht automatisch gleich lange gespeichert werden. DSBOK betrachtet deshalb den gesamten Datenweg von der Bereitstellung bis zur Löschung.

Der konkrete Zweck bestimmt die Speicherdauer

Unterlagen werden benötigt, solange sie für die Bearbeitung, fachliche Prüfung und nachvollziehbare Dokumentation erforderlich sind. Nach Abschluss ist zu prüfen, welche Daten weiter aufbewahrt werden müssen und welche gelöscht werden können. Dabei können Auftrag, Datenart, Vereinbarungen und gesetzliche Pflichten unterschiedliche Fristen begründen.

Auch externe Anbieter berücksichtigen

Bei KI-Diensten ist relevant, ob und wie lange Eingaben, Ausgaben, Protokolle oder Sicherungskopien gespeichert werden. Die tatsächlichen Löschmöglichkeiten hängen vom Anbieter, Vertrag, Tarif und den gewählten Einstellungen ab. Eine Löschung im Benutzerkonto muss daher nicht bedeuten, dass sämtliche technischen Kopien sofort entfernt sind.

Löschung ist ein organisatorischer Prozess

Entfällt der Speicherzweck, müssen mögliche Kopien, Exporte und Ablageorte mitbetrachtet werden. Zuständigkeiten und technische Möglichkeiten müssen zusammenpassen. Werden Anbieter, Funktionen oder interne Abläufe geändert, ist auch das Speicher- und Löschkonzept erneut zu prüfen.

Die Entscheidung bleibt beim Menschen

PrivacyMaster kann den Arbeitsprozess unterstützen. Qualifizierte Mitarbeitende von DSBOK entscheiden jedoch, welche Informationen benötigt werden, was dokumentiert bleiben muss und wann eine Löschung erfolgen kann.

Mehr über das Speicher- und Löschkonzept von PrivacyMaster erfahren

Veröffentlicht am

Vertraulichkeit beim KI-Einsatz beginnt vor der Verarbeitung

Mandanten überlassen DSBOK personenbezogene Daten, interne Abläufe, Vertragsinhalte, technische Angaben oder Geschäftsgeheimnisse. Der Einsatz von KI ändert nichts daran, dass diese Informationen vertraulich zu behandeln sind. Vertraulichkeit beginnt deshalb bereits bei der Auswahl der Daten, Systeme und Bearbeitungswege.

Nur erforderliche Informationen verwenden

Vor einer KI-gestützten Bearbeitung wird geprüft, welche Inhalte für die konkrete Aufgabe benötigt werden. Soweit möglich, werden Namen, interne Kennzeichnungen und andere identifizierende Angaben entfernt oder ersetzt. Eine geringere Datenmenge kann mögliche Auswirkungen begrenzen. Sie ersetzt jedoch nicht die Prüfung, ob das vorgesehene System für die verbleibenden Informationen geeignet ist.

Zugriffe und technische Rahmenbedingungen prüfen

Vertrauliche Daten sollen nur Personen zugänglich sein, die sie für ihre Aufgabe benötigen. Auch Speicherpraxis, Datenverwendung, Unterauftragnehmer und Einstellungen des eingesetzten KI-Dienstes sind zu berücksichtigen. Ebenso gehören Übertragungswege, Zwischenablagen und die spätere Speicherung der Ergebnisse zum Bearbeitungsprozess.

Risiken regelmäßig neu bewerten

Technische und organisatorische Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Werden neue Anbieter, Funktionen oder Verarbeitungswege eingesetzt, müssen ihre Auswirkungen auf Datenschutz und Vertraulichkeit deshalb erneut geprüft werden.

Die Verantwortung bleibt beim Menschen

KI unterstützt die Aufbereitung. Qualifizierte Mitarbeitende von DSBOK entscheiden über die verwendeten Daten, prüfen die Ergebnisse fachlich und verantworten deren Freigabe.

Mehr über die vertrauliche KI-gestützte Bearbeitung erfahren

Veröffentlicht am

Mandantendaten beim KI-Einsatz: auf das Erforderliche beschränken

KI kann Datenschutzaufgaben unterstützen. Dafür werden je nach Auftrag auch Informationen aus dem Mandantenkontext benötigt. Das bedeutet jedoch nicht, dass vollständige Unterlagen oder sämtliche verfügbaren Daten an ein KI-System übergeben werden müssen. DSBOK prüft deshalb vorab, welche Angaben für die konkrete Aufgabe tatsächlich erforderlich sind.

Nur notwendige Informationen verwenden

Namen, Kontaktdaten, Personalnummern und vergleichbare Identifikationsmerkmale lassen sich bei vielen Aufgaben entfernen, ersetzen oder verallgemeinern. Dabei bleibt wichtig: Eine Pseudonymisierung reduziert Risiken, ist aber nicht automatisch eine vollständige Anonymisierung.

Sensible Inhalte gesondert betrachten

Gesundheitsdaten, Beschäftigtendaten, Geschäftsgeheimnisse und andere vertrauliche Informationen können einen erhöhten Schutzbedarf haben. Vor einer KI-gestützten Bearbeitung ist daher zu prüfen, ob diese Inhalte benötigt werden und ob das vorgesehene System dafür geeignet ist. Wenn die Aufgabe ohne sensible Angaben bearbeitet werden kann, werden sie nicht einbezogen.

Fachliche Prüfung bleibt unverzichtbar

Zugriffsrechte, Übertragungswege und die Rahmenbedingungen des eingesetzten KI-Dienstes gehören ebenfalls zur Prüfung. Die KI entscheidet weder über Berechtigungen noch über die Freigabe. Qualifizierte Mitarbeitende von DSBOK prüfen die Ergebnisse im konkreten Mandantenkontext und verantworten das freigegebene Arbeitsergebnis.

Mehr über den Umgang mit Mandantendaten bei PrivacyMaster erfahren

Veröffentlicht am

Zwei KI-Modelle: zusätzliche Perspektiven für Datenschutzaufgaben

KI-Modelle können dieselbe Datenschutzaufgabe unterschiedlich bearbeiten. Sie gewichten Informationen anders, setzen eigene Schwerpunkte und gelangen teilweise zu abweichenden Vorschlägen. PrivacyMaster kann deshalb zwei Modelle in einen Arbeitsprozess einbeziehen.

Unterschiedliche Perspektiven sichtbar machen

Ein Modell kann zunächst Inhalte strukturieren, Fragen herausarbeiten oder einen Entwurf vorbereiten. Ein zweites Modell kann weitere Gesichtspunkte ergänzen und die erste Ausarbeitung aus einer anderen Perspektive betrachten. Der Vergleich kann dabei helfen, mögliche Lücken oder Widersprüche früher zu erkennen.

Zwei Ergebnisse sind keine Garantie

Auch zwei KI-Modelle können denselben Fehler wiederholen oder wichtige Informationen übersehen. Eine übereinstimmende Aussage ist daher nicht automatisch richtig oder vollständig. Die Ergebnisse bleiben eine Arbeitsgrundlage, die zum konkreten Mandanten und zur jeweiligen Aufgabe passen muss.

Die fachliche Prüfung bleibt entscheidend

Qualifizierte Mitarbeitende von DSBOK prüfen die Vorschläge, gleichen sie mit den verfügbaren Informationen ab und berücksichtigen den betrieblichen Kontext. Die abschließende Bewertung und Verantwortung werden nicht an ein KI-System übertragen.

Mehr über den Einsatz erfahren

Auf der neuen Unterseite erläutern wir, wie PrivacyMaster unterschiedliche KI-Perspektiven nutzen kann und wo die Grenzen dieses Ansatzes liegen.

Jetzt mehr über die zwei KI-Modelle erfahren

Veröffentlicht am

KI unterstützt – die Verantwortung bleibt beim Menschen

PrivacyMaster kann Informationen strukturieren, Zusammenhänge aufzeigen und Datenschutzaufgaben vorbereiten. Die Verantwortung für Bewertungen, Empfehlungen und Arbeitsergebnisse wird jedoch nicht an ein KI-System übertragen.

Menschen steuern den Arbeitsprozess

Ein sinnvoller KI-Einsatz beginnt mit einer klaren Aufgabenstellung. Qualifizierte Mitarbeitende legen fest, welche Informationen benötigt werden, in welchem Umfang KI unterstützen kann und welche Prüfschritte erforderlich sind. Die KI übernimmt damit eine unterstützende Rolle innerhalb eines fachlich gesteuerten Prozesses.

Keine automatische Übernahme

KI-Ausgaben können unvollständig oder fehlerhaft sein. Auch eine überzeugende Formulierung oder die Übereinstimmung mehrerer Modelle ersetzt keine Prüfung. Maßgeblich bleiben die verfügbaren Tatsachen, die fachlichen Grundlagen und der konkrete Mandantenkontext.

Verantwortung schließt Grenzen ein

Nicht jede Aufgabe eignet sich in gleicher Weise für eine KI-Unterstützung. Besondere Aufmerksamkeit ist erforderlich, wenn personenbezogene oder vertrauliche Informationen betroffen sind. Auch verbleibende Unsicherheiten müssen bei der Bewertung berücksichtigt und nachvollziehbar benannt werden.

Klare Zuständigkeit bei DSBOK

Die abschließende Einordnung und Freigabe erfolgt durch qualifizierte Menschen. DSBOK bleibt für die eigenen Beratungs- und Arbeitsergebnisse verantwortlich.

Mehr über die Verantwortung des Menschen beim KI-Einsatz erfahren