Fehlende Transparenz und Betroffeneninformation
Betroffene Personen erhalten keine ausreichenden Informationen über KI-gestützte Verarbeitung, Datenquellen, Zwecke oder relevante Auswirkungen.
Kontext
- Branche
- branchenübergreifend
- Prozess
- Betroffenenkommunikation
- Schutzgut
- Transparenz
Ursachen
- fehlende Zuordnung zu Datenschutzhinweisen
- unverständliche Beschreibung der KI-Verarbeitung
- keine Prozesse für Betroffenenrechte
Auswirkungen
- Vertrauensverlust
- Beschwerden und Auskunftsersuchen
- unzureichende Ausübung von Betroffenenrechten
Praxisbeispiel
- Kunden werden mit KI-gestützten Empfehlungen oder Priorisierungen konfrontiert
- ohne dass die Verarbeitung in der Datenschutzerklärung nachvollziehbar beschrieben ist.
Stakeholder
- Betroffene Personen
- Kundenservice
- Datenschutz
- Marketing
- Fachbereich
Maßnahmen
- Datenschutzhinweise um KI-Verarbeitungen ergänzen
- Betroffenenrechte-Prozess für KI-Auskünfte definieren
- verständliche Kurzbeschreibung je KI-System pflegen
Präventive Maßnahmen
- Transparenzanforderungen in KI-Freigabe aufnehmen
- Textbausteine für KI-Verarbeitungen erstellen
- Datenquellen und Zwecke im Register dokumentieren
Detektive Maßnahmen
- Datenschutzhinweise gegen KI-Register abgleichen
- Auskunftsersuchen auf KI-Bezug auswerten
- Beschwerden regelmäßig analysieren
Korrektive Maßnahmen
- Informationen aktualisieren
- Antwortprozesse nachschärfen
- KI-System bis zur transparenten Information einschränken
Pruefziele
- Nachweisen
- dass Betroffene angemessen über KI-bezogene Verarbeitung informiert werden.
Auditfragen
- Wo ist die KI-Verarbeitung für Betroffene beschrieben?
- Sind Datenquellen, Zwecke und Auswirkungen nachvollziehbar erklärt?
- Wie werden KI-bezogene Auskunftsersuchen beantwortet?
Normbezüge
- SDM ISO/IEC 27701 DSGVO Erwägungsgrund 75 ISO/IEC 42001
Normhinweise
- Fokussiert Transparenz
- Intervenierbarkeit
- Datenschutzmanagement und dokumentierte KI-Governance.
Nachweise
- Datenschutzhinweise
- Textbausteine
- Auskunftsprozess
- KI-Systemsteckbrief
Nachweistypen
- Dokumentation
- Prozessbeschreibung
- Nachweis
- Register
Kontrollen
- KI-Register und Datenschutzhinweise halbjährlich abgleichen
- keine Produktivsetzung ohne Transparenzprüfung
Verwandte Risiken
Noch keine Beziehungen hinterlegt.