DAX-DSP-102 Datenschutz Beschaffungsrisiko RAG und Wissenssysteme Hoch medium

Unvollständige Berücksichtigung von Datenherkunft und Zweckbindung bei der Beschaffung von Wissensgrundlagen für RAG-Systeme

Bei der Beschaffung von Datenquellen für Retrieval-Augmented Generation (RAG) und Wissenssysteme werden die Anforderungen an die Herkunftsprüfung, Zweckbindung sowie die datenschutzkonforme Weiterverarbeitung nicht vollständig umgesetzt. Es besteht das Risiko, dass personenbezogene oder vertrauliche Daten unzulässig genutzt oder Dritten zugänglich gemacht werden.

Kontext

Branche: Branchenübergreifend
Prozess: Daten und Beschaffung
Schutzgut: Vertraulichkeit Rechtmäßigkeit

Ursachen

Unklare Prüfung und Dokumentation der Herkunft von Informationsquellen sowie fehlende Zweckbestimmung auf Datenebene bei der Integration in den Datenbestand des RAG-Systems.

Auswirkungen

Verstoß gegen die DSGVO
mögliche Bußgelder
Reputationsschäden und Einschränkungen in der Nachvollziehbarkeit der Datenverarbeitung.

Praxisbeispiel

Öffentliche und interne Datenquellen werden ohne Prüfkriterien und Zweckbindung in eine Unternehmensdatenbank für ein RAG-System aufgenommen; personenbezogene Inhalte könnten ohne Berechtigung verarbeitet werden.

Stakeholder

Datenschutzbeauftragte
AI Product Owner
Systemarchitekt
IT-Leitung

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

Verpflichtende Herkunfts- und Zweckbindungsprüfung für jede Datenquelle vor Integration
Formalisierte Einbindung des Datenschutzbeauftragten in den Beschaffungsprozess

Detektive Maßnahmen

Stichprobenprüfung der Datenquellen auf Herkunft und Zulässigkeit
Regelmäßige interne Audits

Korrektive Maßnahmen

Nachträgliche Löschung unrechtmäßiger Datenquellen
Schulung für verantwortliche Fachbereiche

Pruefziele

Überprüfung
ob Datenquellen systematisch auf Herkunft und Zweckbindung vor Aufnahme in das RAG-System geprüft und dokumentiert werden.

Auditfragen

Wurden alle Datenquellen mit Herkunft und Zweck dokumentiert?
Existiert ein Prozess zur Freigabe nach Datenschutzprüfung vor Integration?

Normbezüge

DSGVO Artikel 5
6
9 ISO/IEC 27701 Kapitel 6.4
8.2 ISO/IEC 42001 Kapitel 8.5

Normhinweise

DSGVO: Datenverarbeitung auf rechtmäßiger Grundlage mit dokumentierter Herkunft und Zweckbindung
ISO/IEC 27701: Management personenbezogener Datenquellen
ISO/IEC 42001: Konfigurierte Datenbeschaffung und Dokumentationspflichten

Nachweise

Dokumentation Datenquellen und Zweckbindung
Nachweise aus Datenschutz-Freigabeprozess

Nachweistypen

Prozessbeschreibung
Systemdokumentation
Protokolle Freigabeprozess

Kontrollen

Data Source Approval Workflow
Freigabeprotokoll durch Datenschutzbeauftragte