DAX-DS-27701-030 Datenschutz Rechtewahrungsrisiko Produktiv-KI, LLM, Automatisierte Analyse Hoch medium

Unzureichende Umsetzung von Betroffenenrechten durch KI-Systeme

KI-Systeme verhindern oder erschweren die wirksame Wahrnehmung von Betroffenenrechten, z.B. auf Auskunft, Löschung, Berichtigung oder Widerspruch, weil Eingabedaten, Trainingsdaten oder Verarbeitungslogiken nicht eindeutig zuordenbar sind.

Kontext

Branche: Industrieübergreifend
Prozess: Betroffenenrechte
Schutzgut: Intervenierbarkeit, Transparenz

Ursachen

Mangelnde Verknüpfung zwischen KI outputs
Eingabedaten und Betroffenendaten; technische oder organisatorische Lücken bei der Umsetzung automatisierter Betroffenenprozesse.

Auswirkungen

Betroffene können fundamentale Datenschutzrechte nicht oder nur eingeschränkt ausüben; Risiken von Beschwerden und aufsichtsrechtlichen Maßnahmen steigen.

Praxisbeispiel

Ein LLM speichert Nutzereingaben in Trainingsdaten
die einer Person nicht mehr zugeordnet und daher nicht gelöscht werden können.

Stakeholder

Datenschutzbeauftragte
IT
Kundenservice
Betroffene Personen

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

Systeme so gestalten
dass alle KI-Verarbeitungsschritte den ursprünglichen Personenbezug ermöglichen (z.B. durch ID-Mitführung oder Indexierung); automatisierte Prozesse zur Umsetzung von Betroffenenrechten in KI-Systemen technisch verankern.

Detektive Maßnahmen

Regelmäßige Funktionstests für KI-bezogene Auskunfts-
Lösch- und Berichtigungsprozesse; Kontrolle der Nachvollziehbarkeit der jeweiligen Daten in den KI-Technologien.

Korrektive Maßnahmen

Technische Nachbesserung des Zuordnungsmechanismus; Datenbestand bereinigen; Info an Betroffene und Aufsicht bei nicht behebbaren Fällen.

Pruefziele

Nachweis
dass KI-Systeme eine effektive Umsetzung gesetzlicher Betroffenenrechte technisch und organisatorisch sicherstellen.

Auditfragen

Welche Mechanismen unterstützen KI-bezogene Auskunfts-
Lösch- und Berichtigungsrechte? Werden Funktions- und Erreichbarkeit regelmäßig getestet?

Normbezüge

ISO/IEC 27701 SDM DSGVO Erwägungsgrund 75

Normhinweise

Richtet sich auf die explizite Wahrung von Betroffenenrechten nach ISO/IEC 27701
SDM und DSGVO.

Nachweise

Testprotokoll Betroffenenprozesse
Prozessbeschreibung ID-Verknüpfung
Auditbericht

Nachweistypen

Testprotokoll
Verfahrensanweisung
Auditnachweis

Kontrollen

Pflicht zu Funktionskontrollen der Betroffenenprozesse für KI-Systeme; Bindung der Datenflüsse an Identifizierer oder Indexe.