Organisationen verwenden erhebliche Sorgfalt darauf, welche Dokumente in ein KI-System hochgeladen werden dürfen, und fast keine darauf, was Mitarbeiter hineintippen. Beim Tippen gelangen die unvorhersehbaren Daten hinein.
Was tatsächlich getippt wird
Denken Sie an einen normalen Tag. Jemand kopiert die verärgerte E-Mail eines Kunden hinein, um eine sachliche Antwort zu entwerfen. Jemand fügt einen Lebenslauf ein, um ihn zusammenzufassen. Jemand schildert eine Auseinandersetzung mit einem Lieferanten, um Optionen durchzudenken. Jemand fügt einen internen Bericht ein, um eine Zusammenfassung zu erhalten. Jemand fragt, wie er mit dem Leistungsproblem einer Kollegin umgehen soll, und schildert die Lage im Detail.
Jede dieser Nutzungen ist sinnvoll. Jede bringt personenbezogene – teils sensible – Daten in das System. Und keine davon stand im Plan.
Warum das eine Datenschutzfrage ist
Personenbezogene Daten werden nicht weniger reguliert, weil sie per Einfügen statt per Upload ankamen. Die E-Mail des Kunden sind seine personenbezogenen Daten. Das geschilderte Leistungsproblem sind die der Kollegin.
Ihr Auftragsverarbeitungsvertrag, Ihr Verarbeitungsverzeichnis und Ihre Löschfristen müssen das abbilden. Beschreiben sie nur die Dokumente, die Sie förmlich verarbeiten, beschreiben sie einen Bruchteil dessen, was tatsächlich geschieht.
Wo es schiefgeht
Privatkonten. Nutzen Mitarbeiter kostenlose öffentliche Werkzeuge, gelangen Unternehmensdaten in Dienste ohne Vertrag, ohne festgelegten Ort und je nach Bedingungen mit möglicher Nutzung zur Modellverbesserung. Das passiert in den meisten Unternehmen, die keine erlaubte Alternative bereitstellen.
Gesprächsverlauf. Aufbewahrte Gespräche sind ein Speicher all dessen, was eingefügt wurde – oft lange und häufig außerhalb Ihrer üblichen Löschregeln.
Geteilte Arbeitsbereiche. Wo sich Gespräche mit Kollegen teilen lassen, kann eine Zusammenfassung mit personenbezogenen Daten Menschen erreichen, die sie nicht sehen müssen.
Auskunftsbegehren. Wenn jemand sein Auskunftsrecht ausübt – deckt Ihre Antwort ab, was Mitarbeiter über ihn in eine Assistenz getippt haben? Für die meisten Unternehmen lautet die ehrliche Antwort, dass sie es nicht herausfinden könnten.
Was dagegen hilft
Stellen Sie eine erlaubte Option bereit. Das ist die eigentliche Lösung. Mitarbeiter nutzen diese Werkzeuge, weil sie helfen. Geben Sie ihnen eines in Ihrer Umgebung, unter Ihren Verträgen, über Ihr Identitätssystem erreichbar – und die informelle Nutzung hört weitgehend von selbst auf.
Schreiben Sie eine Seite Regeln. Kein Richtliniendokument, das niemand liest. Eine kurze, konkrete Liste: Was darf hinein, was nie, und was tun im Zweifel. Mit Beispielen, denn abstrakte Kategorien helfen niemandem am Schreibtisch.
Legen Sie die Aufbewahrung bewusst fest. Entscheiden Sie, wie lange Gespräche aufbewahrt werden, und passen Sie es an Ihre übrigen Löschregeln an. Unbegrenzt als Standard ist auch eine Entscheidung, nur keine überlegte.
Nehmen Sie es ins Verzeichnis auf. Ihr Art.-30-Verzeichnis sollte abbilden, dass Mitarbeitereingaben verarbeitet werden, mit den Datenkategorien, die realistisch vorkommen.
Erklären Sie das Warum. Menschen halten sich an Regeln, die sie verstehen. „Keine Kundendaten in externe Werkzeuge“ lädt zu Umgehungen ein; zu erklären, dass das Unternehmen sagen können muss, wohin Kundendaten gegangen sind, tut das nicht.
Der Kern
Das Risiko besteht nicht darin, dass Mitarbeiter unvorsichtig wären. Es besteht darin, dass ein Textfeld alles annimmt und niemand Tippen als Datenübermittlung behandelt. Das einmal klar zu benennen verändert das Verhalten mehr als jede technische Kontrolle.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einer Anwältin oder einem Anwalt prüfen.
