Fehlende Prüfung auf Vorhandensein besonderer Kategorien personenbezogener Daten bei der Beschaffung von Trainingsmaterial für Generative KI und LLM
Bei der Auswahl und Übernahme externer oder interner Datensätze für das Training generativer KI wird nicht geprüft, ob besondere Kategorien personenbezogener Daten gemäß DSGVO verarbeitet werden, wodurch erhebliche datenschutzrechtliche Risiken und Bußgeldgefahren entstehen.
Kontext
- Branche
- Branchenübergreifend
- Prozess
- Daten und Beschaffung
- Schutzgut
- Integrität Rechtmäßigkeit
Ursachen
- Fehlende verpflichtende Datensatzbewertung oder automatisierte Analyse auf besondere Kategorien personenbezogener Daten.
Auswirkungen
- Erhebliche Bußgeldrisiken
- Risiken für Betroffene durch unzulässige Verarbeitung
- nachträglicher hoher Aufwand für Datenbereinigung.
Praxisbeispiel
- Training eines firmenweiten LLM auf unklassifizierten Unternehmens-E-Mails
- die sensible Gesundheitsdaten enthalten.
Stakeholder
- Data Engineering
- Datenschutzbeauftragte
- KI-Entwicklung
- Projektleitung
Maßnahmen
Noch nicht hinterlegt.
Präventive Maßnahmen
- Verpflichtende Prüfung auf besondere personenbezogene Daten bei jeder Datenübernahme
- Automatisierte Klassifikation zur Detektion besonderer Kategorien vor Trainingsstart
Detektive Maßnahmen
- Stichprobenkontrolle der Trainingsdaten durch DSB
- Reporting abweichender Datensatztypen
Korrektive Maßnahmen
- Neu-Evaluierung und ggf. Löschung betroffener Trainingsdaten
- Nachträgliche Anpassung des Modells/Fine-Tuning ohne problematische Datensätze
Pruefziele
- Alle Trainingsdatensätze von Generativen KI und LLM wurden auf besondere Kategorien personenbezogener Daten geprüft und dokumentiert.
Auditfragen
- Gibt es Nachweise zur spezifischen Prüfung auf besondere Kategorien nach DSGVO Art. 9 vor Trainingsbeginn?
- Wurde das Data Engineering Team zur Prüfung verpflichtet und dokumentiert?
Normbezüge
- DSGVO Artikel 9 ISO/IEC 27701 Kapitel 8.2 ISO/IEC 42001 Kapitel 8.5-8.7
Normhinweise
- Besondere Kategorien sind vor Verarbeitung speziell zu prüfen und zu dokumentieren.
Nachweise
- Datenprüfung-Code-Reports
- Freigabedokument DSB
- DSFA-Anlagen
Nachweistypen
- Dokumente
- Technische Berichte
Kontrollen
- Automatische Erkennung und Flagging besonderer Kategorien in Data Pipelines
- Freigabe-Workflow durch Datenschutzbeauftragte vor Trainingsstart
Verwandte Risiken
Noch keine Beziehungen hinterlegt.