Kontext

Branche

Industrieübergreifend

Prozess

Betroffenenrechte

Schutzgut

Intervenierbarkeit, Transparenz

Ursachen

• Mangelnde Verknüpfung zwischen KI outputs
• Eingabedaten und Betroffenendaten; technische oder organisatorische Lücken bei der Umsetzung automatisierter Betroffenenprozesse.

Auswirkungen

• Betroffene können fundamentale Datenschutzrechte nicht oder nur eingeschränkt ausüben; Risiken von Beschwerden und aufsichtsrechtlichen Maßnahmen steigen.

Praxisbeispiel

• Ein LLM speichert Nutzereingaben in Trainingsdaten
• die einer Person nicht mehr zugeordnet und daher nicht gelöscht werden können.

Stakeholder

• Datenschutzbeauftragte
• IT
• Kundenservice
• Betroffene Personen

Massnahmen

Noch nicht hinterlegt.

Praeventive Massnahmen

• Systeme so gestalten
• dass alle KI-Verarbeitungsschritte den ursprünglichen Personenbezug ermöglichen (z.B. durch ID-Mitführung oder Indexierung); automatisierte Prozesse zur Umsetzung von Betroffenenrechten in KI-Systemen technisch verankern.

Detektive Massnahmen

• Regelmäßige Funktionstests für KI-bezogene Auskunfts-
• Lösch- und Berichtigungsprozesse; Kontrolle der Nachvollziehbarkeit der jeweiligen Daten in den KI-Technologien.

Korrektive Massnahmen

• Technische Nachbesserung des Zuordnungsmechanismus; Datenbestand bereinigen; Info an Betroffene und Aufsicht bei nicht behebbaren Fällen.

Pruefziele

• Nachweis
• dass KI-Systeme eine effektive Umsetzung gesetzlicher Betroffenenrechte technisch und organisatorisch sicherstellen.

Auditfragen

• Welche Mechanismen unterstützen KI-bezogene Auskunfts-
• Lösch- und Berichtigungsrechte? Werden Funktions- und Erreichbarkeit regelmäßig getestet?

Normbezuege

• ISO/IEC 27701 SDM DSGVO Erwaegungsgrund 75

Normhinweise

• Richtet sich auf die explizite Wahrung von Betroffenenrechten nach ISO/IEC 27701
• SDM und DSGVO.

Nachweise

• Testprotokoll Betroffenenprozesse
• Prozessbeschreibung ID-Verknüpfung
• Auditbericht

Nachweistypen

• Testprotokoll
• Verfahrensanweisung
• Auditnachweis

Kontrollen

• Pflicht zu Funktionskontrollen der Betroffenenprozesse für KI-Systeme; Bindung der Datenflüsse an Identifizierer oder Indexe.

Verwandte Risiken

Noch keine Beziehungen hinterlegt.