Geschäftsgeheimnisse, Quellcode, Netzwerkpläne oder Schwachstellenberichte können für eine Datenschutzprüfung relevant sein. Sie gehören trotzdem nicht ungeprüft in einen KI-Dienst. DSBOK grenzt deshalb zunächst die Aufgabe ein und prüft, welche Angaben für die Bearbeitung tatsächlich benötigt werden.
Schutz beginnt vor der Eingabe
Nach dem Geschäftsgeheimnisgesetz kommt es auch auf angemessene Geheimhaltungsmaßnahmen an. Für den KI-Einsatz bedeutet das: Schutzbedarf erkennen, Informationen klassifizieren und den vorgesehenen Bearbeitungsweg bewerten. Passwörter, API-Schlüssel und aktive Zugangsdaten werden grundsätzlich nicht als KI-Eingabe benötigt.
Weniger Daten, klarer Auftrag
Häufig genügt eine abstrahierte Beschreibung. Interne Kennungen, technische Details oder nicht erforderliche Dokumentteile können entfernt, ersetzt oder verallgemeinert werden. Ist der verbleibende Inhalt für den vorgesehenen KI-Dienst nicht geeignet, erfolgt die Bearbeitung ohne diese Angaben, ohne KI-Unterstützung oder in einer dafür freigegebenen Umgebung.
Technik unterstützt, Menschen entscheiden
Automatische Filter können vertrauliche Inhalte übersehen. Qualifizierte Mitarbeitende prüfen daher Aufgabe, Schutzbedarf, Systemeinstellungen und Ergebnis. Sie entscheiden über den Bearbeitungsweg und verantworten die Freigabe.