Datenschutzkonforme Nutzung von Künstlicher Intelligenz: Eine Checkliste für Unternehmen

In der heutigen digitalen Welt nimmt die Bedeutung von Künstlicher Intelligenz (KI) kontinuierlich zu. Unternehmen nutzen KI-Technologien, um Prozesse zu optimieren, Entscheidungen zu automatisieren und innovative Produkte und Dienstleistungen anzubieten. Doch mit den Vorteilen der KI kommen auch erhebliche datenschutzrechtliche Herausforderungen. Um diese zu meistern und die Datenschutz-Grundverordnung (DS-GVO) einzuhalten, haben wir eine praxisorientierte Checkliste entwickelt, die die wesentlichen Schritte und Maßnahmen zur datenschutzkonformen Nutzung von KI zusammenfasst.

1. Interne Richtlinien zur Nutzung von KI-Anwendungen für Mitarbeiter etablieren

  • Treffen Sie interne Vorgaben zur Verwendung von KI-Anwendungen, die Mitarbeiter an der unrechtmäßigen Nutzung personenbezogener Daten hindert
  • Bestimmen Sie insbesondere Grenzen der Verarbeitung personenbezogener Daten (z.B. Verarbeitung besonderer Kategorien personenbezogener Daten oder für bestimmte Zwecke)

2. Bewusstsein schaffen und Schulungen durchführen

  • Sensibilisieren Sie Ihre Mitarbeiter für die datenschutzrechtlichen Anforderungen bei der Nutzung von KI.
  • Führen Sie regelmäßige Schulungen und Weiterbildungen durch, um sicherzustellen, dass alle Beteiligten über die neuesten gesetzlichen Vorgaben informiert sind.

3. Verpflichtende Pre-Checks von KI-Anwendungen

  • Etablieren Sie eine verkürzte Vorprüfung, die vor Einführung von KI-Anwendungen durchgeführt werden muss
  • Nehmen Sie in die Prüfung zentrale Gesichtspunkte des Datenschutzes (z.B. Auftragsverarbeitungsvertrag, Drittstaatenübermittlung, Zweckbindung und Rechtmäßigkeit, Transparenz), aber auch anderer Bereiche auf (z.B- Informationssicherheit und KI-Verordnung)

4. Datenschutz-Folgenabschätzung (DSFA)

  • Führen Sie eine Datenschutz-Folgenabschätzung durch, insbesondere bei der Nutzung von Hoch-Risiko-KI-Systemen, sofern erforderlich (z.B. bei KI-basieren Chatbots, siehe DSK-Blacklist,  Nr. 11)
  • Identifizieren und bewerten Sie potenzielle Risiken für die Rechte und Freiheiten betroffener Personen und entwickeln Sie Maßnahmen zur Risikominimierung.

5. Rechtmäßigkeit der Datenverarbeitung gewährleisten

  • Stellen Sie sicher, dass Sie für die Verarbeitung personenbezogener Daten eine legitime Rechtsgrundlage haben, sowohl für das Anlernen von KI-Modellen als auch die Anwendung selbst.(vgl. Diskussionspapier des LfDI BaWü)
  • Sofern die eine Einwilligung einholen, Informieren Sie die Betroffenen klar und verständlich über die Besonderheiten der KI-Anwendung und über ihre Rechte, einschließlich des Widerrufs der Einwilligung.

6. Anonymisierung und Pseudonymisierung

  • Nutzen Sie nach Möglichkeit anonymisierte oder pseudonymisierte Daten, um den Schutz der Privatsphäre zu gewährleisten.
  • Entwickeln Sie Verfahren zur sicheren Anonymisierung und Pseudonymisierung von Daten, bevor diese in KI-Systemen verwendet werden.

7. Implementierung von Privacy by Design und Privacy by Default

  • Integrieren Sie Datenschutzmaßnahmen bereits in der Entwicklungsphase Ihrer KI-Systeme (Privacy by Design).
  • Stellen Sie sicher, dass die datenschutzfreundlichsten Voreinstellungen standardmäßig aktiviert sind (Privacy by Default).

8. Transparenz und Informationspflichten

  • Informieren Sie die betroffenen Personen transparent über die Verarbeitung ihrer Daten durch KI-Systeme und damit einhergehenden Besonderheiten (z.B. dass Daten zum Anlernen.
  • Aktualisieren Sie Ihre Datenschutzerklärungen und -richtlinien regelmäßig und stellen Sie sicher, dass sie leicht verständlich und zugänglich sind.

9. Rechenschaftspflicht und Dokumentation

  • Dokumentieren Sie alle Maßnahmen und Prozesse zur Einhaltung der Datenschutzanforderungen sorgfältig.
  • Ergänzen Sie bestehende Dokumentation, unter anderem das Verzeichnis von Verarbeitungstätigkeiten, Datenschutzerklärungen, Auftragsverarbeitungsverträge und Prozessbeschreibungen.

10. Technische und organisatorische Maßnahmen (TOM)

  • Implementieren Sie geeignete technische und organisatorische Maßnahmen, um die Sicherheit und den Schutz personenbezogener Daten zu gewährleisten.
  • Überprüfen und aktualisieren Sie diese Maßnahmen regelmäßig, um den aktuellen Bedrohungen und Risiken zu begegnen.

11. Kontinuierliche Überwachung und Verbesserung

  • Überwachen Sie kontinuierlich die Einhaltung der datenschutzrechtlichen Anforderungen und verbessern Sie Ihre Prozesse und Maßnahmen fortlaufend.
  • Führen Sie regelmäßige Audits und Bewertungen durch, um sicherzustellen, dass Ihre KI-Systeme stets datenschutzkonform betrieben werden. 

Fazit

Die datenschutzkonforme Nutzung von Künstlicher Intelligenz ist eine komplexe, aber essentielle Aufgabe für jedes Unternehmen. Unsere Checkliste bietet eine strukturierte Herangehensweise, um die Herausforderungen zu bewältigen und gleichzeitig das volle Potenzial der KI-Technologien auszuschöpfen. Indem Sie diese Schritte befolgen, können Sie nicht nur rechtliche Risiken minimieren, sondern auch das Vertrauen Ihrer Kundinnen und Kunden sowie Geschäftspartner stärken.

Share