Kontext

Branche

Alle Branchen

Prozess

Datenschutzmanagement

Schutzgut

Rechtmaessigkeit Zweckbindung Transparenz

Ursachen

• Unklare Datenfluesse
• Fehlende Rechtsgrundlagenpruefung
• Unzureichende Dokumentation von Trainings- und Eingabedaten

Auswirkungen

• Rechtsverstoesse
• Vertrauensverlust
• Aufsichtsrechtliche Massnahmen
• Schadensersatzforderungen

Praxisbeispiel

• Ein Fachbereich nutzt ein KI-Tool zur Auswertung von Kundendaten
• ohne vorher Rechtsgrundlage
• Zweck und Informationspflichten zu pruefen.

Stakeholder

• Datenschutzbeauftragte
• AI Governance Manager
• Fachbereich
• IT-Sicherheit

Massnahmen

Noch nicht hinterlegt.

Praeventive Massnahmen

• Rechtsgrundlagenpruefung vor KI-Einsatz etablieren
• Verzeichnis der KI-Verarbeitungen pflegen
• Datenschutz-Freigabeprozess fuer KI-Anwendungen einrichten

Detektive Massnahmen

• Regelmaessige Stichproben in KI-Projekten
• Abgleich mit Verzeichnis von Verarbeitungstaetigkeiten
• Monitoring externer KI-Dienste

Korrektive Massnahmen

• Verarbeitung stoppen oder anpassen
• Betroffene informieren, sofern erforderlich
• Dokumentation und Freigabeprozess nachziehen

Pruefziele

• Nachweisen
• dass KI-Verarbeitungen vor produktivem Einsatz datenschutzrechtlich bewertet und freigegeben werden.

Auditfragen

• Welche Rechtsgrundlage wurde fuer die KI-Verarbeitung dokumentiert?
• Wie wird sichergestellt, dass KI-Daten nur fuer festgelegte Zwecke genutzt werden?
• Ist die Verarbeitung im Verzeichnis dokumentiert?

Normbezuege

• DSGVO Erwaegungsgrund 75 DSGVO Art. 5 DSGVO Art. 6 SDM

Normhinweise

• Quellenbezug: Risikoarten aus Erwaegungsgrund 75 DSGVO
• Datenschutz-Grundsaetze der DSGVO und Schutzziele des Standard-Datenschutzmodells.

Nachweise

• Freigabeprotokoll
• Datenschutzbewertung
• Verzeichnis der Verarbeitungstaetigkeiten
• Technische und organisatorische Massnahmen

Nachweistypen

• Dokumentation
• Prozessnachweis
• Systemexport

Kontrollen

• KI-Datenschutz-Check vor Go-live
• Vier-Augen-Freigabe fuer personenbezogene KI-Verarbeitungen

Verwandte Risiken

• DAX-DS-SDM-002 - Unzureichende Transparenz ueber KI-Datenverarbeitung
  Verwandtes Risiko: Rechtmaessigkeit und Transparenz sind eng miteinander verbunden.