DSGVO-KI-Konformität
DSGVO-KI-Compliance für Europäische Unternehmen
KI-Tools, die personenbezogene Daten ohne rechtliche Grundlage verarbeiten, DPIAs oder Datenverarbeitungsvereinbarungen setzen Ihre Organisation einem Risiko der Durchsetzung der DSGVO aus. Aona entdeckt die Nutzung von KI auf abgedeckten Endpunkten, wendet konfigurierte Datenschutzrichtlinien auf unterstützte Interaktionen an und liefert Beweise für Ihre Datenschutzprüfung.
- Unterstützter Datenschutz
- Policy-led
- Input zu deiner DPIA-Überprüfung
- Inventory
- Belege für die Überprüfung des Datenschutzes
- Usage
- Rekordaufbewahrung
- Configurable
Was die DSGVO für KI-Tools verlangt
Die DSGVO gilt für alle Verarbeitungen personenbezogener Daten der EU, auch wenn Mitarbeiter KI-Tools verwenden, die Ihr Datenschutzbeauftragter nie bewertet hat.
Rechtmäßige Grundlage für die BearbeitungArticle 6Eine rechtliche Grundlage für die KI-Datenverarbeitung schaffen
Artikel 6 der DSGVO verlangt für jede Instanz der Verarbeitung personenbezogener Daten eine rechtmäßige Grundlage. Wenn Mitarbeiter KI-Tools mit personenbezogenen Daten verwenden, muss die Organisation die anwendbare rechtliche Grundlage angeben, sei es Einwilligung, berechtigtes Interesse oder vertragliche Notwendigkeit. Die meisten KI-Tools für Verbraucher bieten nicht den vertraglichen oder technischen Rahmen, der für eine gültige rechtliche Grundlage erforderlich ist.
Datenschutz-Impact-BewertungenArticle 35DPIAs für KI-Tools zur Verarbeitung personenbezogener Daten
Artikel 35 verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn die Verarbeitung voraussichtlich ein hohes Risiko für Personen zur Folge hat. Neue Technologien, der Umfang, Profiling, die Sensibilität der Daten und weitere Faktoren fließen in diese Bewertung ein; der Einsatz von KI allein löst die Pflicht nicht automatisch aus. Eine DSFA muss die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung beurteilen, Risiken für betroffene Personen bewerten und Maßnahmen zu deren Eindämmung benennen.
Automatisierte EntscheidungsfindungArticle 22Rechte im Zusammenhang mit KI-gesteuerten Entscheidungen
Artikel 22 gewährt Einzelpersonen das Recht, sich nicht ausschließlich auf automatisierter Verarbeitung basierenden Entscheidungen unterworfen zu lassen, die rechtliche oder ähnlich bedeutende Auswirkungen haben. Organisationen, die KI für Einstellungen, Kreditbewertung oder Kundensegmentierung nutzen, müssen eine menschliche Aufsicht gewährleisten, die Logik erklären und Einzelpersonen ermöglichen, automatisierte Entscheidungen anzufechten.
DatenminimierungArticle 5Begrenzen Sie persönliche Daten in KI-Prompts
Artikel 5(1)(c) verlangt, dass personenbezogene Daten angemessen, relevant und auf das Notwendige beschränkt sind. Wenn Mitarbeiter Kundendaten, E-Mails oder Support-Tickets in KI-Tools einfügen, teilen sie oft deutlich mehr personenbezogene Daten als für die Aufgabe erforderlich. Die Prinzipien der Datenminimierung müssen technisch durchgesetzt werden, nicht nur durch Richtlinien.
Grenzüberschreitende TransfersKapitel VÜbertragungsregeln für KI-Dienste außerhalb der EU
Kapitel V der DSGVO beschränkt die Übertragung personenbezogener Daten auf Länder außerhalb der EU/EWR, die keinen ausreichenden Schutz bieten. Viele KI-Tools, darunter ChatGPT, Claudeund Gemini, werden von US-amerikanischen Unternehmen betrieben. Organisationen müssen sicherstellen, dass angemessene Schutzmaßnahmen wie Standardvertragsklauseln (SCCs) oder Angemessenheitsentscheidungen getroffen sind, bevor personenbezogene Daten von diesen Diensten verarbeitet werden.
Das Schatten-KI-Problem unter der DSGVO
Mitarbeiter übernehmen KI-Tools schneller, als Datenschutzteams sie bewerten können. Diese Tools verarbeiten häufig personenbezogene EU-Daten ohne die von der DSGVO geforderten Schutzmaßnahmen.
US-basierte KI-Tools mit EU-Daten
Mitarbeiter nutzen routinemäßig ChatGPT, Geminiund andere US-basierte KI-Tools, um Kunden-E-Mails, Support-Tickets und interne Dokumente mit EU-personenbezogenen Daten zu bearbeiten, oft ohne Standardvertragsklauseln oder eine Datenverarbeitungsvereinbarung.
ChatGPT Speicherung von Gesprächsdaten
Standardmäßig speichert ChatGPT Konversationsdaten für das Modelltraining. Wenn Arbeitnehmer personenbezogene Daten von EU-Bürgern in ChatGPTeingeben, können diese Daten gespeichert, für Zwecke jenseits der ursprünglichen Absicht verarbeitet und außerhalb der EU gespeichert werden - alles ohne rechtmäßige Grundlage.
KI-Tools ohne DPAs
Viele KI-Tools, die von Mitarbeitern genutzt werden, verfügen nicht über ordnungsgemäße Datenverarbeitungsvereinbarungen (DPAs), wie es Artikel 28 vorschreibt. Ohne DPA hat die Organisation keine vertragliche Kontrolle darüber, wie der KI-Anbieter personenbezogene Daten verarbeitet, keine Prüfungsrechte und keine Garantien für die Löschung oder Verwaltung von Subprozessoren.
Aona in der Praxis
Von der Anforderung zur konkreten Kontrolle
Machen Sie Datenschutzentscheidungen in den KI-Tools wirksam, die Ihre Beschäftigten nutzen.
Art. 5 Abs. 1 lit. c → DatenminimierungPersonenbezogene Daten in Prompts und Dateien reduzieren
- Die Anforderung
- Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
- Was Aona beiträgt
- Konfigurieren Sie Richtlinien für sensible Daten, um erkannte Informationen in unterstützten KI-Eingaben zu blockieren oder zu schwärzen.
- Zu prüfende Nachweise
- Prüfen Sie anhand der Richtlinieneinstellungen und der protokollierten Ereignisse, wie die gewählte Datenschutzregel angewendet wird.
- Verantwortung Ihrer Organisation
- Entscheiden Sie, welche Daten erforderlich sind, und testen Sie die resultierende Eingabe. Teilweise geschwärzte oder pseudonymisierte Daten können weiterhin personenbezogene Daten sein.
Artikel 32 → angemessene SicherheitsmaßnahmenEine festgelegte Sicherheitsrichtlinie auf die KI-Nutzung anwenden
- Die Anforderung
- Wählen Sie technische und organisatorische Sicherheitsmaßnahmen, die den Risiken der Verarbeitung angemessen sind.
- Was Aona beiträgt
- Schränken Sie unterstützte KI-Tools nach Team oder Rolle ein und wenden Sie konfigurierte Datenkontrollen auf unterstützte Interaktionen an.
- Zu prüfende Nachweise
- Prüfen Sie die bereitgestellte Abdeckung, Richtlinieneinstellungen und Ereignisstichproben zusammen mit den Ergebnissen Ihrer eigenen Sicherheitstests.
- Verantwortung Ihrer Organisation
- Bewerten Sie das Gesamtrisiko, steuern Sie Zugriffe und prüfen Sie regelmäßig die Wirksamkeit. Legen Sie den Umgang mit Vorfällen auf Wegen fest, die außerhalb der Abdeckung von Aona liegen.
Artikel 30 → Verzeichnis von VerarbeitungstätigkeitenDokumentationspflichtige KI-Nutzung erkennen
- Die Anforderung
- Soweit Artikel 30 gilt, führen Sie ein Verzeichnis mit Verarbeitungszwecken, Datenkategorien, Empfängern und weiteren erforderlichen Angaben.
- Was Aona beiträgt
- Ermitteln Sie anhand der beobachteten KI-Tools und ihrer Nutzung auf abgedeckten Endgeräten, welche Aktivitäten eine Datenschutzprüfung erfordern.
- Zu prüfende Nachweise
- Ergänzen Sie relevante Erkenntnisse zu Tools und deren Nutzung in Ihrem Verzeichnis von Verarbeitungstätigkeiten, einschließlich zuständiger Person und Prüfentscheidung.
- Verantwortung Ihrer Organisation
- Ergänzen Sie den Zweck, die Rechtsgrundlage, die Empfänger und die Analyse der Datenübermittlungen. Ein beobachtetes Tool-Inventar ist nur eine Informationsquelle für dieses Verzeichnis.
Aona bietet Kontrollen und Nachweise zur KI-Nutzung von Beschäftigten auf unterstützten Nutzungswegen, auf denen Aona installiert ist. Ihr Datenschutzteam beurteilt weiterhin die Rechtmäßigkeit der Verarbeitung, Anbieterbedingungen, Datenübermittlungen und erforderliche Folgenabschätzungen.
FAQ
Häufig gestellte Fragen
Gilt die DSGVO für KI-Tools, die von Mitarbeitenden genutzt werden?
Benötige ich eine Datenschutz-Folgenabschätzung (DPIA) für KI-Tools?
Dürfen Mitarbeitende ChatGPT unter der DSGVO nutzen?
Wie gilt Artikel 22 der DSGVO für KI?
Sichere KI in Ihren europäischen Operationen
Entdecken Sie die Nutzung von KI auf abgedeckten Endgeräten, konfigurieren Sie unterstützte Datenschutzkontrollen und sammeln Sie Nutzungsnachweise für Ihre DSGVO-Überprüfung.