Kostenlose Vorlage
KI-Daten
Klassifizierungsleitfaden
Ein praktischer Leitfaden, der definiert, welche Daten mit KI-Tools verwendet werden dürfen und welche nicht. 4-stufiges Klassifizierungssystem mit Definitionen, Beispielen und expliziten Regeln zur KI-Nutzung für jede Stufe.
4 Stufen
klare Klassifizierungsstufen
55 %
der KI-Vorfälle betreffen Datenabfluss
DSGVO
an Artikel 5 und 25 ausgerichtet
Kostenlos
zur Nutzung und Anpassung
Warum KI-Tools explizite Regeln zur Datenklassifizierung benötigen
Beschäftigte können beim Umgang mit Daten in KI-Tools keine guten Entscheidungen treffen, wenn sie nicht wissen, welche Daten wo zulässig sind. Die meisten KI-bezogenen Datenvorfälle sind nicht das Ergebnis böswilligen Verhaltens, sondern entstehen, weil Beschäftigte nicht wissen, dass die Daten, die sie in ein KI-Tool einfügen, sensibel sind, oder weil sie nicht verstehen, welche KI-Tools für welche Datentypen freigegeben sind. Ein klarer Leitfaden zur Datenklassifizierung ist die Grundlage einer durchsetzbaren KI-Governance.
55%
der KI-bezogenen Datenvorfälle betreffen unbeabsichtigten Datenabfluss
Die meisten KI-Datenexpositionen sind nicht böswillig, Beschäftigte wissen schlicht nicht, dass sie sensible Daten an ein KI-Tool übermitteln, das sie extern verarbeitet oder speichert.
89%
der Beschäftigten können Daten nach bestehenden Richtlinien nicht korrekt klassifizieren
Richtlinien zur Datenklassifizierung, die zu abstrakt sind oder unklare Formulierungen verwenden, führen zu weit verbreiteter Fehlklassifizierung und uneinheitlichem Umgang mit Daten.
3.4x
höheres Risiko von DSGVO-Bußgeldern durch Lücken beim KI-Datenumgang
Organisationen, die Datenminimierung und eine Rechtsgrundlage für KI-Verarbeitungstätigkeiten nicht nachweisen können, sind im Rahmen der DSGVO-Durchsetzung einem deutlich höheren regulatorischen Risiko ausgesetzt.
72%
der Organisationen haben keine KI-spezifischen Regeln zum Datenumgang
Die meisten Richtlinien zur Datenklassifizierung stammen aus der Zeit vor der weiten Verbreitung von KI und enthalten keine Vorgaben speziell für die Nutzung von KI-Tools, was eine erhebliche Governance-Lücke schafft.
Der Leitfaden zur Datenklassifizierung
Klicken Sie auf jede Klassifizierungsstufe, um die Definition, Beispiele und Regeln zur KI-Nutzung auszuklappen. Passen Sie die Beispiele an die spezifischen Datentypen und Systeme Ihrer Organisation an.
ÖFFENTLICH
Informationen, die bewusst der Öffentlichkeit zugänglich gemacht werden oder deren Offenlegung keinen Schaden verursachen würde. Dies ist die einzige Klassifizierungsstufe, die ohne zusätzliche Kontrollen frei mit jedem KI-Tool verwendet werden darf.
Beispiele für Daten der Stufe 1, Öffentlich
Veröffentlichte Marketingmaterialien, Pressemitteilungen und Website-Inhalte
Öffentliche Produktdokumentation und Benutzerhandbücher
Veröffentlichte Finanzergebnisse und Jahresberichte
Öffentliche Stellenausschreibungen und Karriereseiten
Open-Source-Code-Repositorys und veröffentlichte Forschung
Branchenstatistiken und öffentlich verfügbare Marktdaten
Regeln für KI-Tools, Stufe 1
ERLAUBTJedes freigegebene oder nicht freigegebene KI-Tool ausschließlich zur Verarbeitung von Öffentlich-Daten
ERLAUBTHochladen öffentlicher Dokumente, Berichte und Web-Inhalte in KI-Tools
ERLAUBTKI zur Erstellung oder Bearbeitung von Inhalten nutzen, die ausschließlich auf Öffentlich-Informationen beruhen
Hinweis: Übermitteln Sie auch bei Öffentlich-Daten keine Informationen, die noch nicht öffentlich freigegeben sind (bevorstehende Ankündigungen, unter Embargo stehende Inhalte), klassifizieren Sie unter Embargo stehende Inhalte als Intern oder höher, bis das Embargo aufgehoben wird.
So setzen Sie die Datenklassifizierung für KI um
Ein Leitfaden zur Datenklassifizierung verringert das Risiko nur, wenn die Beschäftigten ihn verstehen und technische Kontrollen ihn durchsetzen. Befolgen Sie diese Schritte, um die Klassifizierung wirksam umzusetzen.
1
Ordnen Sie Ihr bestehendes Klassifizierungsschema dem 4-Stufen-Rahmen zu
Die meisten Organisationen verfügen über eine, wenn auch informelle, Datenklassifizierung. Ordnen Sie Ihre aktuellen Kategorien den vier Stufen dieses Leitfadens zu. Wenn Sie keine bestehende Klassifizierung haben, nutzen Sie diesen Rahmen als Ausgangspunkt und holen Sie vor der Veröffentlichung die Freigabe von Recht/Compliance ein.
2
Ersetzen Sie generische Beispiele durch organisationsspezifische Datentypen
Generische Beispiele (wie „Finanzdaten“) sind für Beschäftigte schwerer anzuwenden als spezifische (wie „Salesforce-Kundendatensätze“ oder „Oracle-Finance-Quartalsprognosen“). Investieren Sie Zeit in das Erstellen von Datentyp-Beispielen aus Ihren tatsächlichen Systemen, die Befolgungsraten steigen mit spezifischen Beispielen deutlich.
3
Definieren Sie die Liste freigegebener KI-Tools für jede Klassifizierungsstufe
Veröffentlichen Sie für jede Klassifizierungsstufe die Liste der ausdrücklich freigegebenen KI-Tools. Überlassen Sie es den Beschäftigten nicht, „freigegebene Tools“ zu interpretieren, benennen Sie die Produkte, Versionen und etwaige stufenspezifische Anforderungen (z. B. „Microsoft Copilot für M365 E5, nur Intern-Daten, nicht Vertraulich“).
4
Führen Sie Schulungen anhand von Klassifizierungs-Entscheidungsszenarien durch
Schulungen zur Datenklassifizierung sind am wirksamsten anhand realistischer Szenarien. Legen Sie den Beschäftigten 8 bis 10 Beispiele für Datentypen vor, die ihnen in ihrer Rolle begegnen, und bitten Sie sie, jeden einzuordnen. Beziehen Sie Grenzfälle ein, eine Mischung aus E-Mails, Dokumenten, Datensätzen und mündlichen Informationen. Besprechen Sie die Begründung, nicht nur die Antwort.
5
Setzen Sie technische Kontrollen um, um die Klassifizierung auf der KI-Ebene durchzusetzen
Klassifizierung ohne Durchsetzung ist eine Richtlinie, keine Kontrolle. Setzen Sie DLP-Regeln ein, die sensible Datenmuster (PII, Kartennummern, Gesundheitskennungen) erkennen, die an KI-Dienste übermittelt werden, und nutzen Sie eine KI-Sicherheitsplattform, die die gesamte Nutzung von KI-Tools gegen Ihre Klassifizierungsrichtlinie überwacht, nicht nur am Netzwerkperimeter.
FAQ
Häufig gestellte Fragen
Welche Daten sollten niemals in ein KI-Tool eingegeben werden?
Mindestens die folgenden Datenkategorien sollten niemals in ein KI-Tool eingegeben werden, sofern das Tool nicht ausdrücklich für diesen Datentyp mit geeigneten Kontrollen freigegeben wurde: personenbezogene Daten (PII) über Kunden, Beschäftigte oder andere Einzelpersonen; Finanzkontodaten, Zahlungskartendaten oder Bankverbindungen; Gesundheits- oder Krankenakten; Zugangsdaten, Passwörter, API-Schlüssel oder Authentifizierungstoken; rechtlich geschützte Kommunikation (Anwalt-Mandant, Arzt-Patient); Geschäftsgeheimnisse, nicht veröffentlichte Produktpläne, M&A-Informationen; und Quellcode für Systeme, die sensible Daten verarbeiten. Die entscheidende Frage lautet: Welche Folgen hätte es, wenn diese Daten im Trainingsdatensatz des KI-Anbieters auftauchten und sich in Antworten an andere Nutzer widerspiegelten? Lautet die Antwort regulatorischer Verstoß, rechtliche Haftung oder wesentlicher Geschäftsschaden, sollten die Daten nicht in ein externes KI-Tool gelangen.
Wie wende ich die Datenklassifizierung in der Praxis auf KI-Tools an?
Eine praktische Umsetzung erfordert drei zusammenwirkende Ebenen. Erstens die Richtlinienebene: ein klares, dokumentiertes Klassifizierungsschema mit expliziten Regeln für KI-Tools für jede Stufe, in einer klaren Sprache verfasst, die Beschäftigte ohne Mehrdeutigkeit anwenden können. Zweitens die Schulungsebene: regelmäßige Schulungen der Beschäftigten anhand realistischer Beispiele für Daten, die ihnen tatsächlich begegnen, mit Entscheidungsszenarien, die ein Gespür für die Klassifizierung aufbauen. Drittens die technische Ebene: DLP-Regeln, die klassifizierungsrelevante Datenmuster (Kreditkartennummern, NHS-Nummern, Finanzkennzahlen des Unternehmens) erkennen, die an KI-Dienste übermittelt werden, und eine KI-Sicherheitsplattform, die die gesamte Nutzung von KI-Tools überwacht und Richtlinienverstöße meldet. Die technische Ebene macht die Klassifizierung durchsetzbar, ohne sie ist die Klassifizierung eine Richtlinie statt einer Kontrolle.
Benötige ich unterschiedliche Regeln zur Datenklassifizierung für unterschiedliche KI-Tools?
Ja, und genau hier machen die meisten Organisationen Fehler. Die angemessene Datenklassifizierungsstufe für ein bestimmtes KI-Tool hängt ab von: dem Vorliegen eines Auftragsverarbeitungsvertrags und einer Garantie ohne Training (entscheidend für jedes Tool, das mit Intern-Daten oder höher verwendet wird); dem Ort, an dem die Daten verarbeitet und gespeichert werden (nur EU für DSGVO-sensible Daten); den Sicherheitszertifizierungen des Tools (SOC 2 Type II, ISO 27001); und davon, ob das Tool ein Enterprise-Produkt oder ein Consumer-Produkt mit abweichenden Standardeinstellungen zum Datenumgang ist. Derselbe Datentyp kann je nach diesen Faktoren in einem KI-Tool erlaubt und in einem anderen verboten sein. Ihre Richtlinie zur akzeptablen Nutzung von KI sollte für jede Klassifizierungsstufe ausdrücklich die freigegebenen Tools benennen und diese Entscheidung nicht den Beschäftigten selbst überlassen.
Welche DSGVO-Auswirkungen hat die Nutzung personenbezogener Daten mit KI-Tools?
Die Nutzung personenbezogener Daten mit KI-Tools begründet mehrere Pflichten nach der DSGVO. Als Verantwortlicher sind Sie dafür verantwortlich, eine Rechtsgrundlage für die Verarbeitungstätigkeit sicherzustellen, was bei KI-gestützter Arbeit typischerweise berechtigte Interessen oder die Erfüllung eines Vertrags bedeutet, beides erfordert eine Erforderlichkeitsprüfung. Ist der KI-Anbieter ein Auftragsverarbeiter, benötigen Sie vor jeder Verarbeitung personenbezogener Daten einen DSGVO-konformen DPA nach Artikel 28. Machen die Bedingungen des Anbieters ihn zu einem Verantwortlichen (häufig bei Consumer-KI-Produkten), müssen Sie prüfen, ob die Übermittlung an diesen Verantwortlichen auf einer Rechtsgrundlage beruht. Der Grundsatz der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) verlangt, dass nur die unbedingt notwendigen personenbezogenen Daten verwendet werden, eine vollständige Kundendatenbank an ein KI-Tool für eine Aufgabe zu übermitteln, die mit anonymisierten Daten erledigt werden könnte, würde diesen Grundsatz wahrscheinlich verletzen. Schließlich kann jedes KI-System, das automatisierte Entscheidungen über Einzelpersonen trifft, die Rechte nach Artikel 22 auslösen und Prozesse zur menschlichen Überprüfung erfordern.
Loslegen
Setzen Sie die Datenklassifizierung über alle KI-Tools hinweg automatisch durch
Eine Klassifizierungsrichtlinie erfordert technische Durchsetzung, um wirksam zu sein. Aona erkennt, wenn Beschäftigte Vertraulich- oder Eingeschränkt-Daten an KI-Tools übermitteln, blockiert verbotene Interaktionen in Echtzeit und bietet die Transparenz, um zu erkennen, ob Ihre Regeln zur Datenklassifizierung in der Praxis tatsächlich funktionieren.