Unzureichende Analyse datenschutzrechtlicher Risiken bei der Planung generativer KI- und LLM-Projekte

Kontext

Branche

Branchenübergreifend

Prozess

Planung und Klassifizierung

Schutzgut

Rechtmäßigkeit Privacy by Design

Ursachen

• Mangelnde Sensibilisierung oder Kapazität zur frühzeitigen Einbeziehung von Datenschutz-Expertise im KI-Projektstart.

Auswirkungen

• Entwicklung von Systemen mit nicht rechtmäßigem Umgang personenbezogener Daten
• Versäumnis von Privacy-by-Design-Vorgaben
• hohe Anforderungen an nachträgliche Datenschutzanpassungen.

Praxisbeispiel

• Ein Unternehmen plant einen firmeninternen LLM-Chatbot
• ohne vorab die Datenschutzrelevanz und Betroffenheit zu analysieren
• wodurch unrechtmäßige Verarbeitung persönlicher Inhalte möglich wird.

Stakeholder

• Projektleitung
• Datenschutzbeauftragte
• IT-Architekten
• Geschäftsbereichsleitung

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• Pflicht zur Datenschutzfolgeabschätzung vor Projektstart
• Integration von Datenschutzbeauftragten in die Projektinitialisierung
• Klar definierte Entscheidungsmatrix zum Umgang mit personenbezogenen Daten

Detektive Maßnahmen

• Checkliste zur DSK-Einordnung im Planungsprotokoll
• Nachweis Prüfung auf Privacy-by-Design

Korrektive Maßnahmen

• Nachträgliche Durchführung der Datenschutzfolgeabschätzung
• Anpassung der Systemarchitektur

Pruefziele

• Es ist nachweisbar
• dass die Planung generativer KI-Systeme mit einer datenschutzrechtlichen Risikoanalyse beginnt.

Auditfragen

• Existiert eine dokumentierte Risikoanalyse vor Auswahl/Entwicklung eines LLM?
• Wurde der Datenschutzbeauftragte frühzeitig einbezogen?

Normbezüge

• DSGVO Artikel 35 ISO/IEC 27701 Kapitel 6.4 ISO/IEC 42001 Kapitel 5

Normhinweise

• Normen und Vorschriften fordern risikobasierte Datenschutzbewertung vor KI-Projekteinsatz.

Nachweise

• DSFA-Unterlagen
• Projektstartprotokolle
• Risikoklassifizierungscheckliste

Nachweistypen

• Dokumente

Kontrollen

• DSFA-Pflichtfeld im Projektantrag
• Freigabe durch DSB als Projekt-Milestone

Verwandte Risiken

Noch keine Beziehungen hinterlegt.