Datenschutz wird meist als etwas behandelt, das man klärt, sobald das KI-Projekt funktioniert. Diese Reihenfolge ist teuer. Mehrere dieser Fragen können einen Ansatz vollständig entwerten, und das nach dem Bau herauszufinden ist schlimmer, als es in einer Besprechung herauszufinden.
Fünf Fragen, jede mit einer dokumentierten Antwort, bevor der erste Prompt gesendet wird.
1. Sind überhaupt personenbezogene Daten im Spiel?
Wird oft mit Nein beantwortet und ist meist falsch. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen – nicht nur Namen und Adressen. Ein Supportticket, das die Beschwerde eines Kunden schildert, ist personenbezogen. Ein Lebenslauf ist es. Eine E-Mail-Signatur ist es. Ein Foto ist es.
Beachten Sie auch: Die Frage betrifft nicht nur die Dokumente, die Sie verarbeiten wollen. Wenn Mitarbeiter beliebigen Text in eine Assistenz einfügen können, gelangen personenbezogene Daten unabhängig von Ihrer Planung in das System.
2. Was ist Ihre Rechtsgrundlage?
Die Verarbeitung personenbezogener Daten braucht eine Grundlage nach Art. 6 DSGVO. Für die meisten geschäftlichen Anwendungen sind das berechtigtes Interesse oder Vertragserfüllung. Sie muss benannt und aufgeschrieben werden.
Eine besondere Falle: Wenn Sie bereits Daten besitzen, die für einen Zweck erhoben wurden, kann deren Nutzung für einen neuen KI-gestützten Zweck über die ursprüngliche Grundlage hinausgehen. Genau das tritt auf, wenn bestehende Kundendaten ausgewertet werden, um etwas Neues zu trainieren oder zu betreiben.
3. Wer ist Auftragsverarbeiter, und gibt es einen Vertrag?
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, ist er Ihr Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag. Der ist nicht optional und wird nicht durch die AGB des Anbieters ersetzt.
Der Vertrag sollte Subauftragsverarbeiter benennen – jeder KI-Anbieter hat mindestens einen, nämlich den Betreiber der zugrunde liegenden Infrastruktur. Sie sollten wissen, wer das ist und wie Sie von Änderungen erfahren.
4. Wo wird verarbeitet?
Verarbeitung innerhalb der EU beziehungsweise des EWR ist unproblematisch. Verarbeitung in einem Drittland verlangt eine Übermittlungsgrundlage nach Art. 44 ff. – einen Angemessenheitsbeschluss, Standardvertragsklauseln, gegebenenfalls ergänzende Maßnahmen.
Fragen Sie schriftlich nach der konkreten Region. Fragen Sie auch, ob Nebenfunktionen – etwa Missbrauchsüberwachung – anderswo laufen, denn dort versteckt sich häufig eine unerwartete Übermittlung.
5. Was passiert danach mit den Daten?
Aufbewahrung, Löschung und die Trainingsfrage.
Werden Ihre Eingaben zum Modelltraining verwendet? Lassen Sie sich das vertraglich zusichern, und zwar für Drittmodelle ebenso wie für die eigenen des Anbieters. Wie lange werden Daten aufbewahrt, und wie lange überleben sie in Backups? Was gilt bei Beendigung für Exportformat, Exportfenster und Löschfrist?
Die zwei, die übersprungen werden
Ihr Verarbeitungsverzeichnis. Art. 30 verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Ein neues KI-System ist eine neue Tätigkeit und gehört hinein.
Ob eine Folgenabschätzung nötig ist. Art. 35 verlangt eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt – besonders bei systematischer Bewertung von Personen oder umfangreicher Verarbeitung besonderer Kategorien. Wenn Ihr KI-System Menschen in irgendeiner Weise bewertet, muss diese Frage beantwortet und nicht angenommen werden.
Der praktische Punkt
Nichts davon ist schwierig. Zu jeder Frage oben gibt es bei einem kompetenten Anbieter eine kurze Antwort in einem einzigen Gespräch. Das Fragen kostet eine Stunde. Das Nichtfragen kostet später – meist dann, wenn ein Kunde zuerst fragt.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einer Anwältin oder einem Anwalt prüfen.
