Wichtigste Erkenntnisse
- Die DSGVO-KI-Thematik ist hochaktuell, denn mit wachsendem Datenvolumen steigt auch das Risiko von Datenschutzverstößen.
- Artikel 25 DSGVO fordert “Privacy by Design” und “Privacy by Default” – Datenschutz muss von Anfang an in die KI-Systeme integriert sein.
- Verschlüsselung von Daten bei Training und Nutzung von KI-Modellen
- Memorisation: LLMs können personenbezogene Daten aus ihren Trainingsdaten “auswendig lernen” und später reproduzieren.
- Datensparsamkeit KI ist ein fundamentales Prinzip der DSGVO
- Auftragsverarbeitung erfordert klare vertragliche Regelungen, besonders bei Cloud-basierten KI-Diensten.
DSGVO & KI: So gestalten Unternehmen ihre Künstliche Intelligenz rechtskonform
Einleitung
Die Datenschutz-Grundverordnung (DSGVO) stellt Unternehmen vor Herausforderungen, besonders wenn es um den Einsatz von KI geht. Die DSGVO-KI-Thematik ist hochaktuell, denn mit wachsendem Datenvolumen steigt auch das Risiko von Datenschutzverstößen. Die Artikel 5, 25 und 35 der DSGVO bilden den rechtlichen Rahmen für die Verarbeitung personenbezogener Daten in Large Language Models (LLMs) und anderen KI-Systemen.
Besonders bei automatisierten Entscheidungsprozessen ist die Einhaltung von Datenschutzvorschriften entscheidend. Unternehmen stehen vor der Herausforderung, innovative KI-Lösungen einzusetzen und gleichzeitig Compliance-Anforderungen zu erfüllen.
In diesem Beitrag erfahren Sie konkrete Maßnahmen zur datenschutzkonformen Implementierung von KI-Systemen. Wir zeigen, wie Sie personenbezogene Daten in LLMs schützen, Compliance-Anforderungen erfüllen und rechtssichere KI-Lösungen in Ihrem Unternehmen etablieren können.
DSGVO Grundprinzipien für KI
Die DSGVO-KI-Beziehung basiert auf zentralen Prinzipien des Artikel 5 DSGVO, der als “Goldstandard” für den Datenschutz gilt. Diese Grundsätze umfassen:
- Rechtmäßigkeit: Jede KI-gestützte Verarbeitung personenbezogener Daten benötigt eine klare Rechtsgrundlage.
- Zweckbindung: Daten dürfen nur für festgelegte, eindeutige Zwecke verwendet werden.
- Datensparsamkeit KI: Das Prinzip der Datenminimierung verlangt, dass nur die für den Zweck notwendigen Daten erhoben werden.
- Transparenz: Betroffene müssen über die Verarbeitung ihrer Daten informiert werden.
- Integrität und Vertraulichkeit: Die Sicherheit der Daten muss durch angemessene Maßnahmen gewährleistet sein.
Artikel 25 DSGVO fordert “Privacy by Design” und “Privacy by Default” – Datenschutz muss von Anfang an in die KI-Systeme integriert sein. Artikel 35 verlangt eine Datenschutz-Folgenabschätzung (DPIA) bei Verarbeitungsvorgängen, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen.
Zur Umsetzung dieser Prinzipien sind technische und organisatorische Maßnahmen (TOM) erforderlich:
- Verschlüsselung von Daten bei Training und Nutzung von KI-Modellen
- Zugriffskontrollen für KI-Systeme und deren Trainingsdaten https://www.optikronix.de/rollenrechte-workflow-tools-automation
- Audit-Logs zur Nachverfolgung von Datenverarbeitungsaktivitäten
Die neue EU-KI-Verordnung (EU AI Act) ergänzt die DSGVO mit spezifischen Anforderungen an KI-Systeme. Sie klassifiziert KI-Anwendungen in Risikokategorien:
- Unannehmbares Risiko: Verbotene KI-Anwendungen
- Hohes Risiko: Strenge Anforderungen an Transparenz und Kontrolle
- Begrenztes Risiko: Transparenzpflichten
- Minimales Risiko: Keine zusätzlichen Anforderungen
Diese Klassifizierung hilft Unternehmen, angemessene Datenschutzmaßnahmen für ihre KI-Systeme zu implementieren.
Datenschutz KI Automatisierung in der Praxis
Der Datenschutz KI Automatisierung kommt eine immer wichtigere Rolle zu. Hierbei werden Algorithmen eingesetzt, um Datenflüsse systematisch zu scannen, potenzielle DSGVO-Verletzungen automatisch zu erkennen und detaillierte Compliance-Berichte zu generieren.
https://www.optikronix.de/dsgvo-ki-automatisierung-leitfaden
Konkrete Anwendungsfälle:
- Automatisiertes Verarbeitungsverzeichnis: KI-Systeme können Datenquellen in Unternehmen identifizieren und kategorisieren. Sie erstellen und aktualisieren das nach Art. 30 DSGVO geforderte Verzeichnis von Verarbeitungstätigkeiten kontinuierlich.
- Echtzeit-Risikobewertung: Algorithmen scannen Datenströme und bewerten das Datenschutzrisiko in Echtzeit. Bei kritischen Verarbeitungsvorgängen können sie automatisch Warnungen ausgeben.
- Automatisierte Lösch-Workflows: KI-gestützte Systeme erkennen, wann Daten nicht mehr benötigt werden und initiieren regelbasierte Löschprozesse.
- Compliance-Monitoring: Die fortlaufende Überwachung von Datenschutz-Kennzahlen erfolgt durch KI-Tools, die Abweichungen sofort melden.
Eine Studie von Proliance zeigt, dass bis zu 92% der Kundendatenbanken durch automatisierte Prozesse überwacht werden können. Dies führt zu erheblichen Kosten- und Risikoreduktionen für Unternehmen:
- Weniger manuelle Überwachungsarbeit (Zeitersparnis bis zu 70%)
- Frühzeitige Erkennung potenzieller Verstöße
- Reduzierung des Bußgeldrisikos durch proaktive Maßnahmen
- Bessere Dokumentation für Nachweispflichten
Moderne Plattformen für “AI-driven GDPR compliance” bieten integrierte Lösungen. Beispielsweise kann die SuperAGI-Plattform:
- Personenbezogene Daten automatisch erkennen und klassifizieren
- Berechtigungsstrukturen überwachen und Anomalien melden
- Datenschutz-Impact-Assessments teilautomatisieren
- Compliance-Dokumentation automatisch erstellen und aktualisieren
Die Implementierung solcher Systeme erfordert eine sorgfältige Konfiguration und menschliche Aufsicht, führt aber zu deutlich höherer Compliance-Effizienz im Unternehmensalltag.
https://www.proliance.ai/blog/kuenstliche-intelligenz-datenschutz-best-practices
https://ambersearch.de/en/gdpr-compliant-business-ai/
Auftragsverarbeitung & KI – AVV richtig managen
Die Auftragsverarbeitung KI ist ein zentrales Element der DSGVO-KI-Compliance. Artikel 28 DSGVO schreibt vor: Wenn KI-Anbieter personenbezogene Daten im Auftrag eines Unternehmens verarbeiten, ist ein Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich.
Wesentliche Inhalte eines AVV für KI-Dienste:
- Zweckbestimmung: Eindeutige Festlegung, für welche Zwecke der KI-Anbieter Daten verarbeiten darf
- Weisungsrecht: Der Verantwortliche muss detaillierte Weisungen erteilen können
- Technische und organisatorische Maßnahmen (TOMs): Spezifische Sicherheitsmaßnahmen für KI-Systeme
- Regelungen zu Sub-Auftragsverarbeitern: Wann und wie dürfen weitere Dienstleister eingebunden werden
- Audit-Rechte: Möglichkeiten zur Überprüfung der Einhaltung des AVV
Ein praktisches Beispiel ist ChatGPT Enterprise/Teams, bei dem OpenAI einen standardisierten AVV bereitstellt. Dieser regelt die weisungskonforme Verarbeitung und enthält Vorgaben zur Pseudonymisierung der verarbeiteten Daten.
Vor dem Einsatz eines KI-Tools sollte eine gründliche Risikoanalyse erfolgen. Diese umfasst:
- Art der verarbeiteten Daten (Kategorien personenbezogener Daten)
- Verarbeitungsort und mögliche Drittlandtransfers
- Technische Sicherheitsvorkehrungen des Anbieters
- Mögliche Risiken für die Rechte Betroffener
Die Verwaltung von AVVs kann selbst durch KI unterstützt werden. KI-basierte Systeme können die Dokumentation automatisieren, Vertragspflege-Prozesse steuern und auf Änderungen in der Verarbeitung hinweisen.
Besonders wichtig: Bei Cloud-basierten KI-Diensten muss sichergestellt sein, dass der Anbieter die Daten nicht für eigene Zwecke (z.B. Training der KI) nutzt, sofern dies nicht ausdrücklich vereinbart wurde.
https://gesellschaft-datenschutz.de/chatgpt-und-auftragsverarbeitung/
https://www.optikronix.de/on-premise-ki-cloud-vergleich
Umgang mit personenbezogenen Daten in LLMs
Large Language Models (LLMs) stellen besondere Herausforderungen für den Schutz personenbezogener Daten dar. Die wichtigsten Risiken im Zusammenhang mit personenbezogene Daten LLM sind:
Risiken:
- Memorisation: LLMs können personenbezogene Daten aus ihren Trainingsdaten “auswendig lernen” und später reproduzieren.
- Leakage: Unbeabsichtigte Preisgabe sensibler Informationen in Antworten des Modells.
- Prompt-Injection: Manipulation des Modells zur Umgehung von Sicherheitsmaßnahmen und Extraktion vertraulicher Daten.
- Inferenzangriffe: Ableitung personenbezogener Daten durch geschickte Abfragesequenzen.
Effektive Gegenmaßnahmen:
1. Anonymisierung pseudonymisierung KI vor dem Training:
- Automatische Erkennung und Maskierung personenidentifizierbarer Informationen (PII)
- Ersetzen realer Namen durch Platzhalter oder synthetische Identitäten
- Verschleierung von Kontaktdaten, Adressen und anderen identifizierenden Merkmalen
2. Fortschrittliche Datenschutztechniken:
- Differential Privacy: Mathematisch nachweisbare Privatspäre durch gezieltes Hinzufügen von “Rauschen”
- Federated Learning: Training über verteilte Datenquellen ohne zentrale Sammlung
- Synthetische Datensätze: Vollständig künstlich erzeugte Daten mit ähnlichen statistischen Eigenschaften, aber ohne echte personenbezogene Informationen
3. Kontinuierliche Kontrollen:
- Human-in-the-loop: Menschliche Prüfung kritischer Ausgaben https://www.optikronix.de/human-in-the-loop-chatbot-guardrails
- Output-Monitoring: Automatische Filterung von Antworten mit potenziellen personenbezogenen Daten https://www.optikronix.de/guardrails-fuer-llm-workflow-sichern
- Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO bei hohem Risiko
Praktische Checkliste für den Einsatz von LLMs:
- Training-Daten vor Nutzung filtern und anonymisieren
- Detaillierte Protokollierung aller Verarbeitungsvorgänge implementieren
- Incident-Response-Plan für Datenschutzverletzungen entwickeln
- Regelmäßige Tests auf mögliche Daten-Leakage durchführen
- Zugriffsbeschränkungen für sensible Prompts und Anwendungsfälle einrichten
Besonders wichtig: Je sensibler die verarbeiteten Daten, desto strenger müssen die Schutzmaßnahmen sein. Für Gesundheitsdaten oder biometrische Informationen in Verbindung mit LLMs sollten höchste Sicherheitsstandards gelten.
https://pacific.ai/managing-privacy-risks-llm-guidance/
https://www.protecto.ai/blog/7-proven-ways-safeguard-llm-personal-data/
Datensparsamkeit KI – Daten nur so viel wie nötig
Datensparsamkeit KI ist ein fundamentales Prinzip der DSGVO und bezieht sich auf das Konzept der “Datenminimierung” gemäß Artikel 5 Absatz 1c. Dieser Grundsatz verlangt, dass personenbezogene Daten:
- dem Zweck angemessen
- erheblich und
- auf das notwendige Maß beschränkt sind
Bei KI-Systemen ist die Umsetzung dieses Prinzips besonders herausfordernd, da Algorithmen oft von großen Datenmengen profitieren. Dennoch lässt sich Datensparsamkeit durch automatisierte Mechanismen gewährleisten:
Automatisierte Lösungen für Datensparsamkeit:
Input-Filter in Chatbots und LLMs:
- Erkennung personenbezogener Daten in Echtzeit
- Automatisches Blockieren oder Maskieren sensibler Informationen
- Nutzerhinweise bei Übermittlung potenziell problematischer Daten
Automatische Lösch-Scheduler:
- Implementierung der 30-Tage-Regel: Temporäre Daten werden nach maximal 30 Tagen automatisch gelöscht
- Bedarfsgesteuerte Datenhaltung: Nur aktiv genutzte Daten bleiben gespeichert
- Regelmäßige automatisierte Datenbereinigung in KI-Trainingssätzen
Privacy-by-Default-Einstellungen:
- Voreingestellte minimale Datenerhebung
- Opt-In statt Opt-Out für erweiterte Datenverarbeitung
- Automatische Anonymisierung von Standard-Datensätzen
Der DSGVO-KI-konforme Ansatz der Datensparsamkeit bietet erhebliche wirtschaftliche Vorteile:
- Geringeres Breach-Risiko: Weniger gespeicherte personenbezogene Daten bedeuten ein reduziertes Risiko bei Datenpannen
- Reduzierte Speicher- und Rechenkosten: Effizientere Ressourcennutzung durch fokussierte Datenhaltung
- Vereinfachte Compliance: Weniger Daten bedeuten weniger Verwaltungsaufwand für Auskunfts- und Löschanfragen
Datensparsamkeit sollte nicht als Hindernis, sondern als Chance für präzisere KI-Modelle verstanden werden. Durch gezielte Auswahl relevanter Daten können oft sogar bessere Ergebnisse erzielt werden als durch wahllose Datensammlung.
https://www.e-recht24.de/datenschutz/13199-datensparsamkeit.html
https://ambersearch.de/en/gdpr-compliant-business-ai/
Anonymisierung & Pseudonymisierung durch KI
Die Anonymisierung pseudonymisierung KI spielt eine zentrale Rolle im Datenschutz KI Automatisierung. Zunächst ist der grundlegende Unterschied wichtig:
- Anonymisierung: Ein irreversibler Prozess, bei dem personenbezogene Daten so verändert werden, dass eine Identifizierung der betroffenen Person unmöglich wird.
- Pseudonymisierung: Ein reversibler Prozess, bei dem identifizierende Merkmale durch Kennzeichen ersetzt werden. Mit einem Schlüssel kann die Identifikation wiederhergestellt werden.
KI-gestützte Verfahren für besseren Datenschutz:
1. Tokenisierung:
- Ersetzung sensibler Datenelemente durch nicht-sensible Stellvertreterwerte
- KI erkennt automatisch schützenswerte Informationen und ersetzt sie systematisch
- Beispiel: “Max Mustermann, geb. 01.01.1980” → “Person_123, [GEBURTSDATUM]”
2. Hashing und Verschlüsselung:
- Umwandlung personenbezogener Daten in Hashwerte oder verschlüsselte Formate
- KI kann diesen Prozess für große Datenmengen automatisieren und überwachen
- Homomorphe Verschlüsselung erlaubt Berechnungen auf verschlüsselten Daten
3. Generativer Ersatz durch synthetische Daten:
- KI generiert statistisch äquivalente, aber fiktive Datensätze
- Beibehaltung der strukturellen Eigenschaften und Zusammenhänge
- Eliminierung echter personenbezogener Informationen
Zur Minimierung von Re-Identifikationsrisiken werden folgende Techniken angewandt:
- K-Anonymität: Jeder Datensatz ist von mindestens k-1 anderen Datensätzen nicht unterscheidbar
- L-Diversity: Sensitive Attribute haben mindestens l verschiedene Werte in jeder Anonymitätsgruppe
- T-Closeness: Die Verteilung sensitiver Werte innerhalb einer Gruppe ähnelt der Gesamtverteilung
Artikel 25 DSGVO fordert “Privacy by Design”, was diese Techniken zu einer technischen Gestaltungspflicht macht. KI-Systeme können dabei helfen, diese Pflicht effizient zu erfüllen, indem sie:
- Automatisch personenbezogene Daten in großen Datensätzen identifizieren
- Den optimalen Anonymisierungsgrad bestimmen
- Fortlaufend die Wirksamkeit der Anonymisierung überprüfen
Regelmäßige Tests sind unerlässlich, da fortschrittliche Analysemethoden die Re-Identifikation scheinbar anonymer Daten ermöglichen könnten.
https://pacific.ai/managing-privacy-risks-llm-guidance/
https://ambersearch.de/en/gdpr-compliant-business-ai/
Gesamtstrategie – Compliance KI Unternehmen
Eine umfassende Compliance KI Unternehmen Strategie vereint technische, organisatorische und rechtliche Maßnahmen. Hier ist ein strukturierter Ansatz für die DSGVO-KI-konforme Implementierung:
1. Risiko-Klassifizierung nach EU-AI-Act
Die Einstufung Ihres KI-Systems ist entscheidend für alle weiteren Schritte:
- Unannehmbares Risiko: Verbotene Anwendungen (z.B. Social Scoring)
- Hohes Risiko: Strenge Anforderungen (z.B. Personalauswahl, Kreditwürdigkeit)
- Begrenztes Risiko: Transparenzpflichten (z.B. Chatbots)
- Minimales Risiko: Keine speziellen Anforderungen (z.B. Spam-Filter)
2. Datenschutz-Folgenabschätzung & Konformitätserklärung
- Für Hochrisiko-KI ist eine Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO obligatorisch
- Dokumentierte Bewertung der Verarbeitungsvorgänge und Risikominderungsmaßnahmen
- Bei bestimmten KI-Anwendungen: CE-Konformitätserklärung gemäß EU-AI-Act
3. Technische Kontrollmaßnahmen
- Datenverschlüsselung: Ende-zu-Ende-Verschlüsselung für Training und Anwendung
- Zugriffsmanagement: Rollenbasierte Berechtigungen mit Zwei-Faktor-Authentifizierung
- Bias-Monitoring: Kontinuierliche Überwachung auf diskriminierende Tendenzen
- Audit-Logs: Lückenlose Dokumentation aller Datenverarbeitungsvorgänge
- Isolation: Trennung von Produktiv- und Trainingsdaten
4. Organisatorische Kontrollmaßnahmen
- Schulungsprogramme: Regelmäßige Schulungen für Entwickler und Anwender https://www.optikronix.de/ai-act-schulung-mitarbeitende-guide
- AI-Ethik-Board: Interdisziplinäres Gremium für ethische Fragen
- AVV-Verzeichnis: Dokumentation aller Auftragsverarbeiter
- Verantwortlichkeiten: Klare Zuständigkeiten für KI-Compliance
- Dokumentationspflichten: Systematische Erfassung aller compliance-relevanten Prozesse
5. Kontinuierliches Monitoring & Dokumentation
- Quartalsweise interne Audits
- Automatisierte Compliance-Checks mit Berichtswesen https://www.optikronix.de/kpis-prozessautomatisierung-dashboard-governance
- Fortlaufende Anpassung an regulatorische Änderungen
- Überprüfung der Wirksamkeit implementierter Maßnahmen
6. Incident-Response-Plan
- Vordefinierte Prozesse für Datenpannen
- Meldepflicht innerhalb von 72 Stunden gemäß Art. 33 DSGVO
- Dokumentierte Eskalationswege
- Kommunikationsplan für Betroffene
Umsetzungstabelle für schnelle Implementation:
| Schritt | Beschreibung | Best Practice |
|---|---|---|
| Risikoanalyse | Einstufung des KI-Systems und Bewertung der Datenverarbeitung | Standardisierte Fragebögen für verschiedene KI-Typen |
| Rechtsgrundlage | Festlegung der rechtlichen Basis für die Datenverarbeitung | Dokumentierte Abwägung zwischen verschiedenen Rechtsgrundlagen |
| Datenschutz by Design | Integration von Datenschutzanforderungen in die Entwicklung | Checklisten für Entwickler; Review-Prozesse |
| Dokumentation | Erstellung aller erforderlichen Nachweise | Automatisierte Dokumentationssysteme mit Versionierung |
| Schulung | Training von Personal im Umgang mit KI-Systemen | Rollenspezifische Schulungsmodule mit Zertifizierung |
| Überprüfung | Regelmäßige Kontrolle der Compliance | Automatisierte Compliance-Scans mit Abweichungsberichten |
Die Implementierung einer solchen Gesamtstrategie stellt sicher, dass Ihr Unternehmen sowohl die aktuellen DSGVO-Anforderungen als auch die kommenden Vorgaben des EU-AI-Acts erfüllt.
https://ambersearch.de/en/gdpr-compliant-business-ai/
Fazit
Die Verbindung von DSGVO KI und Unternehmensalltag ist herausfordernd, aber unumgänglich. Wie wir gesehen haben, bieten Automatisierungslösungen, sorgfältige AVV-Gestaltung, konsequente Datensparsamkeit und durchdachte Anonymisierungsstrategien die Schlüssel für rechtskonforme KI-Systeme.
Die wichtigsten Erkenntnisse:
- KI-Systeme können selbst zur Verbesserung der DSGVO-Compliance eingesetzt werden.
- Auftragsverarbeitung erfordert klare vertragliche Regelungen, besonders bei Cloud-basierten KI-Diensten.
- Datensparsamkeit ist kein Hindernis, sondern eine Chance für präzisere KI-Modelle.
- Effektive Anonymisierung und Pseudonymisierung sind technisch anspruchsvoll, aber mit modernen Tools umsetzbar.
- Eine ganzheitliche Compliance-Strategie verbindet technische, organisatorische und rechtliche Maßnahmen.
DSGVO-konforme KI-Implementierung schafft nicht nur rechtliche Sicherheit, sondern auch echte Wettbewerbsvorteile: Kunden und Partner vertrauen Unternehmen, die verantwortungsvoll mit Daten umgehen. Zudem werden kostspielige Bußgelder vermieden, die bis zu 4% des globalen Jahresumsatzes betragen können.
Die Compliance KI Unternehmen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess, der fortlaufende Anpassung an rechtliche und technologische Entwicklungen erfordert.
Infokasten: Begriffsdefinitionen
Datensparsamkeit: Das Prinzip, nur die für den jeweiligen Zweck unbedingt erforderlichen personenbezogenen Daten zu erheben und zu verarbeiten. In der DSGVO als “Datenminimierung” (Art. 5 Abs. 1c) bezeichnet.
DPIA (Datenschutz-Folgenabschätzung): Eine systematische Bewertung der Folgen und Risiken einer Verarbeitung personenbezogener Daten. Gemäß Art. 35 DSGVO verpflichtend für Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte Betroffener.
AVV (Auftragsverarbeitungsvertrag): Vertrag zwischen Verantwortlichem und Auftragsverarbeiter gemäß Art. 28 DSGVO, der die Pflichten und Rechte bei der Verarbeitung personenbezogener Daten regelt.
Checkliste: 10 Schritte zur DSGVO-konformen KI
- Risikobewertung durchführen: KI-System nach EU-AI-Act klassifizieren
- Rechtsgrundlage der Datenverarbeitung dokumentieren
- Datensparsamkeit implementieren: Minimale Datenerfassung einrichten
- Datenschutz-Folgenabschätzung (DPIA) bei hohem Risiko durchführen
- Anonymisierung/Pseudonymisierung für Trainingsdaten umsetzen
- Auftragsverarbeitungsverträge (AVV) mit KI-Anbietern abschließen
- Technische und organisatorische Maßnahmen (TOMs) implementieren
- Transparenz sicherstellen: Datenschutzerklärung anpassen
- Betroffenenrechte gewährleisten: Auskunfts- und Löschprozesse
- Kontinuierliches Monitoring und Dokumentation etablieren
Möchten Sie wissen, wie Sie den Datenschutz KI Automatisierung in Ihrem Unternehmen optimal umsetzen? Kontaktieren Sie uns für eine individuelle Beratung oder teilen Sie Ihre Erfahrungen mit datenschutzkonformen KI-Lösungen.
FAQ
Was fordert Artikel 25 DSGVO?
Artikel 25 DSGVO fordert “Privacy by Design” und “Privacy by Default” – Datenschutz muss von Anfang an in die KI-Systeme integriert sein.
Wann ist eine Datenschutz-Folgenabschätzung (DPIA) erforderlich?
Artikel 35 verlangt eine Datenschutz-Folgenabschätzung (DPIA) bei Verarbeitungsvorgängen, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen.
Welche Risiken bestehen bei der Nutzung von LLMs?
Memorisation: LLMs können personenbezogene Daten aus ihren Trainingsdaten “auswendig lernen” und später reproduzieren. Leakage: Unbeabsichtigte Preisgabe sensibler Informationen in Antworten des Modells.
Was umfasst Datensparsamkeit bei KI-Systemen?
Datensparsamkeit KI ist ein fundamentales Prinzip der DSGVO und bezieht sich auf das Konzept der “Datenminimierung” gemäß Artikel 5 Absatz 1c. Dieser Grundsatz verlangt, dass personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sind.
Welche Inhalte sollte ein AVV für KI-Dienste enthalten?
Zweckbestimmung: Eindeutige Festlegung, für welche Zwecke der KI-Anbieter Daten verarbeiten darf. Weisungsrecht: Der Verantwortliche muss detaillierte Weisungen erteilen können. Technische und organisatorische Maßnahmen (TOMs): Spezifische Sicherheitsmaßnahmen für KI-Systeme.
