Technische und organisatorische Maßnahmen sollen personenbezogene und vertrauliche Informationen angemessen schützen. Welche Maßnahmen erforderlich sind, lässt sich jedoch nicht pauschal festlegen. Entscheidend sind die konkrete Aufgabe, die eingesetzten Systeme, die Art der Daten und die möglichen Auswirkungen eines Vorfalls.
Der Schutzbedarf ist der Ausgangspunkt
Ein abstrahierter Sachverhalt stellt andere Anforderungen als Dokumente mit Beschäftigtendaten, Gesundheitsinformationen oder Geschäftsgeheimnissen. Vor einer KI-gestützten Bearbeitung wird deshalb geprüft, welcher Schutzbedarf besteht und ob das vorgesehene System dafür geeignet ist.
Technik und Organisation gehören zusammen
Begrenzte Zugriffsrechte, angemessene Anmeldeverfahren und eine nachvollziehbare Benutzerverwaltung sind wichtige Bausteine. Ebenso erforderlich sind klare Zuständigkeiten, Arbeitsanweisungen und kontrollierte Bearbeitungswege. Nicht benötigte Angaben sollen entfernt, ersetzt oder verallgemeinert werden.
Den gesamten Datenweg berücksichtigen
Schutzmaßnahmen betreffen nicht nur die Eingabe in ein KI-System. Auch Übermittlung, Arbeitskopien, Speicherung, Löschung und die Ablage des geprüften Ergebnisses müssen zum Schutzbedarf passen. Änderungen bei Anbietern, Funktionen oder Vertragsbedingungen können eine erneute Bewertung erforderlich machen.
Keine pauschale Sicherheitszusage
Geeignete Maßnahmen können Risiken reduzieren, aber nicht vollständig ausschließen. Deshalb sind auch klare Melde- und Prüfwege für Fehlübermittlungen, unberechtigte Zugriffe oder andere Abweichungen notwendig.
Menschen prüfen und verantworten
PrivacyMaster unterstützt die Bearbeitung. Qualifizierte Mitarbeitende von DSBOK wählen die Schutzmaßnahmen aus, prüfen die KI-Ergebnisse und verantworten die Freigabe.
Mehr über technische und organisatorische Maßnahmen bei PrivacyMaster erfahren