Fehlende Rollen- und Verantwortlichkeitsklärung bei KI-Datenverarbeitung

Kontext

Branche

Alle Branchen

Prozess

Dienstleistersteuerung

Schutzgut

Vertraulichkeit Kontrolle Rechenschaftspflicht

Ursachen

• Ungeprüfte Anbieterbedingungen
• Fehlende Vertragsprüfung
• Unklare Weiterverarbeitung für Training oder Produktverbesserung

Auswirkungen

• Unwirksame Verträge
• Unkontrollierte Drittlandübermittlungen
• Unklare Haftung
• Schwierige Ausübung von Betroffenenrechten

Praxisbeispiel

• Ein SaaS-KI-Dienst wird eingesetzt
• ohne dass geklärt ist
• ob Eingaben für Training oder Anbieteranalysen weiterverwendet werden.

Stakeholder

• Einkauf
• Legal
• Datenschutzbeauftragte
• IT-Sicherheit
• Fachbereich

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• KI-Anbieterprüfung vor Vertragsschluss
• Rollenmodell dokumentieren
• Auftragsverarbeitungsvertrag und Drittlandprüfung einfordern

Detektive Maßnahmen

• Lieferantenreview
• Kontrolle von Vertragsanlagen
• Abgleich mit tatsächlicher Systemnutzung

Korrektive Maßnahmen

• Vertrag nachverhandeln
• Datenübermittlung begrenzen
• Anbieter wechseln oder Nutzung einschränken

Pruefziele

• Nachweisen
• dass Rollen
• Verträge und Datenübermittlungen für KI-Dienste geklärt und dokumentiert sind.

Auditfragen

• Welche datenschutzrechtliche Rolle hat der Anbieter?
• Ist eine Auftragsverarbeitung oder gemeinsame Verantwortung dokumentiert?
• Sind Drittlandtransfers bewertet?

Normbezüge

• ISO/IEC 27701 DSGVO Art. 28 DSGVO Art. 26 DSGVO Art. 44 ff.

Normhinweise

• Quellenbezug: Datenschutz-Informationsmanagement nach ISO/IEC 27701 sowie Rollen- und Transferpflichten der DSGVO.

Nachweise

• Anbieterbewertung
• AV-Vertrag
• Transfer Impact Assessment
• Freigabeentscheidung

Nachweistypen

• Vertrag
• Bewertungsbogen
• Auditnachweis

Kontrollen

• Verpflichtende Datenschutzprüfung für KI-Beschaffung
• Zentrale Ablage für KI-Anbieterverträge

Verwandte Risiken

Noch keine Beziehungen hinterlegt.