World Model Readiness DSGVO trifft auf das Prompt-Feld · English

Modul · DSGVO trifft auf das Prompt-Feld

The AI Privacy Operations Check

Ihr Datenschutzprogramm wurde für Datenbanken und Formulare gebaut, nicht für Mitarbeitende, die Kunden-E-Mails in einen Chatbot kopieren. KI setzt das Datenschutzrecht nicht aus; sie verlagert die Verarbeitung nur dorthin, wo Ihre Kontrollen womöglich nicht hinreichen. Dieses Modul prüft die fünf Stellen, an denen DSGVO-Disziplin auf KI-Realität trifft: Auftragsverarbeitungsverträge, Datenminimierung in Prompts, Nachvollziehbarkeit bei Betroffenenanfragen, Folgenabschätzungen und Aufbewahrung in den Logs.

Frage 1 von 5 · Auftragsverarbeiter unter Vertrag

Haben Sie mit jedem KI-Tool, das personenbezogene Daten berührt, einen Auftragsverarbeitungsvertrag?

Jeder Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht einen Vertrag nach Artikel 28, nicht nur Nutzungsbedingungen. Kostenlose Browser-Chatbots und Plugins zählen als Auftragsverarbeiter, sobald ein Kundenname hineinwandert. Ohne den Vertrag sind Sie exponiert, wenn die Aufsichtsbehörde fragt, wer das genehmigt hat.

Frage 2 von 5 · Prompts bleiben minimal

Hindert irgendetwas Ihre Mitarbeitenden daran, mehr personenbezogene Daten in KI-Tools zu kopieren, als die Aufgabe braucht?

Datenminimierung ist eine rechtliche Pflicht, und das Prompt-Feld ist der Ort, an dem sie leise scheitert. Menschen kopieren den ganzen E-Mail-Verlauf, wenn eine Zusammenfassung zwei Zeilen bräuchte, die volle Tabelle, wenn eine Spalte reichen würde. Eine Regel, die Menschen kennen, schlägt eine Regel, die nur im Richtlinien-PDF existiert.

Frage 3 von 5 · Anfragen sind beantwortbar

Wenn jemand fragt, was Sie mit seinen Daten gemacht haben: Können Sie auch die KI-Schritte belegen?

Ein Auskunfts- oder Löschbegehren umfasst jeden Verarbeitungsschritt, auch die Schritte, die ein KI-Tool ausgeführt hat. Wenn Sie nicht sagen können, was an welches Tool ging und ob es gelöscht werden kann, können Sie die Anfrage nicht ehrlich beantworten. 'Wir sind nicht sicher, was die KI behalten hat' ist keine verteidigungsfähige Antwort.

Frage 4 von 5 · Riskante Nutzung bewertet

Haben Sie für Ihre riskanteren KI-Use-Cases eine Datenschutz-Folgenabschätzung durchgeführt?

Eine DSFA ist Pflicht, wo die Verarbeitung voraussichtlich ein hohes Risiko birgt, und KI auf personenbezogenen Daten im großen Stil erfüllt das meist. Sie ist kein Papierkram um seiner selbst willen: Sie zwingt Sie, das Risiko vor dem Deployment zu sehen, nicht nach einer Beschwerde. Eine generische Abschätzung über alles hinweg ist eine Art, keine zu machen.

Frage 5 von 5 · Logs horten nicht

Haben die personenbezogenen Daten in Ihren KI-Logs und Prompt-Verläufen einen Löschplan?

Prompts, Ausgaben und Tool-Logs sammeln still personenbezogene Daten an, und die Speicherbegrenzung gilt auch für sie. Unbegrenzte Aufbewahrung macht aus einem hilfreichen Audit-Trail eine wachsende Angriffsfläche. Die Frage ist, ob tatsächlich etwas gelöscht wird, oder ob die Logs einfach wachsen.

Für die Statistik · je ein Klick

Drei Fragen für das Gesamtbild

Diese Fragen beeinflussen Ihr Ergebnis nicht. Sie fließen in die anonymisierten, aggregierten Statistiken ein; Gruppen unter 8 Teilnehmern werden nie ausgewiesen.

Wie viele Ihrer KI-Tools haben einen unterzeichneten Auftragsverarbeitungsvertrag?

Keines
Einige
Die meisten
Alle
Wir wissen es nicht

Haben Sie für einen KI-Use-Case eine Datenschutz-Folgenabschätzung abgeschlossen?

Keine
Geplant
Für einige Use Cases
Für alle Hochrisiko-Fälle
Nicht sicher

Wie oft landen personenbezogene Daten in Prompts an öffentliche KI-Tools?

Nie, da sind wir sicher
Selten
Oft
Routinemäßig
Wir können es nicht erkennen

Ihr Kontext

Kalibriert den Report. Unternehmensgröße und Sektor bleiben im anonymisierten Datensatz; Ihre E-Mail-Adresse nicht.

So sehen die fünf Stufen aus

Jede Dimension von The AI Privacy Operations Check wird von 1 bis 5 bewertet. Das bedeuten die Stufen, Dimension für Dimension. Der benotete Report diagnostiziert, wo Ihre eigenen Antworten landen und was daraus folgt.

Auftragsverarbeiter unter Vertrag

  1. 1Keine Verträge
  2. 2Nur Nutzungsbedingungen
  3. 3Einige Tools abgedeckt
  4. 4Die meisten Tools abgedeckt
  5. 5Jeder Verarbeiter abgedeckt

Am unteren Ende: Personenbezogene Daten, die ohne Auftragsverarbeitungsvertrag zu einem KI-Anbieter fließen, sind eine rechtswidrige Übermittlung, der Sie durch Unterlassen zugestimmt haben. Listen Sie die genutzten KI-Tools auf und lassen Sie die Verträge unterzeichnen, bevor der nächste Kundendatensatz hineingeht. So sieht gut aus: Vollständige Verarbeiterabdeckung ist die Basis, die die meisten Unternehmen überspringen. Verdrahten Sie sie mit dem Einkauf, damit kein neues KI-Tool live gehen kann, bevor sein Vertrag steht.

Prompts bleiben minimal

  1. 1Keine Grenzen
  2. 2Hinweise ignoriert
  3. 3Schriftliche Regel
  4. 4Regel plus Schulung
  5. 5Durch Tooling erzwungen

Am unteren Ende: Ohne etwas zwischen Mitarbeitenden und Prompt-Feld ist jede Aufgabe eine Gelegenheit, aus Gewohnheit zu viele personenbezogene Daten zu teilen. Veröffentlichen Sie eine kurze Regel, was kopiert werden darf und was nicht, und platzieren Sie sie dort, wo gearbeitet wird. So sieht gut aus: Tooling, das überschüssige personenbezogene Daten entfernt oder blockiert, ist die stärkste Form der Minimierung. Prüfen Sie regelmäßig, was es abfängt, damit die Filter mit den Tools Schritt halten, zu denen die Leute tatsächlich greifen.

Anfragen sind beantwortbar

  1. 1KI nicht nachvollziehbar
  2. 2Manuelles Rätselraten
  3. 3Teilweise Aufzeichnungen
  4. 4Für das meiste dokumentiert
  5. 5Vollständig nachvollziehbar

Am unteren Ende: Wenn KI-Verarbeitung keine Spur hinterlässt, beantworten Sie jede Betroffenenanfrage mit einer Vermutung. Beginnen Sie zu protokollieren, welche Tools personenbezogene Daten erhalten und was sie zurückgeben, damit der Nachweis existiert, bevor die Anfrage eintrifft. So sieht gut aus: Volle Nachvollziehbarkeit über die KI-Schritte macht aus einer Betroffenenanfrage Routine statt Feuerwehrübung. Testen Sie den Löschpfad Ende zu Ende; eine Aufzeichnung, nach der Sie nicht handeln können, ist nur die halbe Pflicht.

Riskante Nutzung bewertet

  1. 1Nie erwogen
  2. 2Keine durchgeführt
  3. 3Eine generische DSFA
  4. 4Für einige Fälle erledigt
  5. 5Erledigt und gepflegt

Am unteren Ende: Hochriskante KI auf personenbezogenen Daten ohne Folgenabschätzung zu betreiben verletzt den gesetzlich geforderten Prozess, noch vor jedem tatsächlichen Schaden. Identifizieren Sie Ihren riskantesten Use Case und bewerten Sie diesen zuerst; die Vorlage ist ein Arbeitstag, kein Projekt. So sieht gut aus: Gepflegte Abschätzungen je Use Case sind genau das, was die Aufsichtsbehörde sehen will. Überarbeiten Sie sie, wenn ein Use Case seinen Umfang ändert; eine DSFA, die das System von letztem Jahr beschreibt, ist Beleg für Drift, nicht für Sorgfalt.

Logs horten nicht

  1. 1Für immer behalten
  2. 2Keine Richtlinie
  3. 3Richtlinie, nicht angewendet
  4. 4Auf einiges angewendet
  5. 5Überall durchgesetzt

Am unteren Ende: Für immer aufbewahrte KI-Logs sind eine Datenpanne, die auf den Vorfall wartet, der sie offenlegt. Setzen Sie eine Aufbewahrungsfrist, die sich daran orientiert, warum Sie die Daten behalten, und aktivieren Sie die Löschung zuerst für die volumenstärksten Logs. So sieht gut aus: Durchgesetzte Aufbewahrung über Prompts, Ausgaben und Logs hält Ihre Exponierung begrenzt, während die Nutzung wächst. Auditieren Sie sie regelmäßig; ein Job, der still aufhört zu löschen, ist der Weg, auf dem ein gelöstes Problem zurückkommt.