KI-Daten
Klassifizierungsleitfaden

Mindestens die folgenden Datenkategorien sollten niemals in ein KI-Tool eingegeben werden, sofern das Tool nicht ausdrücklich für diesen Datentyp mit geeigneten Kontrollen freigegeben wurde: personenbezogene Daten (PII) über Kunden, Beschäftigte oder andere Einzelpersonen; Finanzkontodaten, Zahlungskartendaten oder Bankverbindungen; Gesundheits- oder Krankenakten; Zugangsdaten, Passwörter, API-Schlüssel oder Authentifizierungstoken; rechtlich geschützte Kommunikation (Anwalt-Mandant, Arzt-Patient); Geschäftsgeheimnisse, nicht veröffentlichte Produktpläne, M&A-Informationen; und Quellcode für Systeme, die sensible Daten verarbeiten. Die entscheidende Frage lautet: Welche Folgen hätte es, wenn diese Daten im Trainingsdatensatz des KI-Anbieters auftauchten und sich in Antworten an andere Nutzer widerspiegelten? Lautet die Antwort regulatorischer Verstoß, rechtliche Haftung oder wesentlicher Geschäftsschaden, sollten die Daten nicht in ein externes KI-Tool gelangen.

Eine praktische Umsetzung erfordert drei zusammenwirkende Ebenen. Erstens die Richtlinienebene: ein klares, dokumentiertes Klassifizierungsschema mit expliziten Regeln für KI-Tools für jede Stufe, in einer klaren Sprache verfasst, die Beschäftigte ohne Mehrdeutigkeit anwenden können. Zweitens die Schulungsebene: regelmäßige Schulungen der Beschäftigten anhand realistischer Beispiele für Daten, die ihnen tatsächlich begegnen, mit Entscheidungsszenarien, die ein Gespür für die Klassifizierung aufbauen. Drittens die technische Ebene: DLP-Regeln, die klassifizierungsrelevante Datenmuster (Kreditkartennummern, NHS-Nummern, Finanzkennzahlen des Unternehmens) erkennen, die an KI-Dienste übermittelt werden, und eine KI-Sicherheitsplattform, die die gesamte Nutzung von KI-Tools überwacht und Richtlinienverstöße meldet. Die technische Ebene macht die Klassifizierung durchsetzbar, ohne sie ist die Klassifizierung eine Richtlinie statt einer Kontrolle.

Ja, und genau hier machen die meisten Organisationen Fehler. Die angemessene Datenklassifizierungsstufe für ein bestimmtes KI-Tool hängt ab von: dem Vorliegen eines Auftragsverarbeitungsvertrags und einer Garantie ohne Training (entscheidend für jedes Tool, das mit Intern-Daten oder höher verwendet wird); dem Ort, an dem die Daten verarbeitet und gespeichert werden (nur EU für DSGVO-sensible Daten); den Sicherheitszertifizierungen des Tools (SOC 2 Type II, ISO 27001); und davon, ob das Tool ein Enterprise-Produkt oder ein Consumer-Produkt mit abweichenden Standardeinstellungen zum Datenumgang ist. Derselbe Datentyp kann je nach diesen Faktoren in einem KI-Tool erlaubt und in einem anderen verboten sein. Ihre Richtlinie zur akzeptablen Nutzung von KI sollte für jede Klassifizierungsstufe ausdrücklich die freigegebenen Tools benennen und diese Entscheidung nicht den Beschäftigten selbst überlassen.

Die Nutzung personenbezogener Daten mit KI-Tools begründet mehrere Pflichten nach der DSGVO. Als Verantwortlicher sind Sie dafür verantwortlich, eine Rechtsgrundlage für die Verarbeitungstätigkeit sicherzustellen, was bei KI-gestützter Arbeit typischerweise berechtigte Interessen oder die Erfüllung eines Vertrags bedeutet, beides erfordert eine Erforderlichkeitsprüfung. Ist der KI-Anbieter ein Auftragsverarbeiter, benötigen Sie vor jeder Verarbeitung personenbezogener Daten einen DSGVO-konformen DPA nach Artikel 28. Machen die Bedingungen des Anbieters ihn zu einem Verantwortlichen (häufig bei Consumer-KI-Produkten), müssen Sie prüfen, ob die Übermittlung an diesen Verantwortlichen auf einer Rechtsgrundlage beruht. Der Grundsatz der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) verlangt, dass nur die unbedingt notwendigen personenbezogenen Daten verwendet werden, eine vollständige Kundendatenbank an ein KI-Tool für eine Aufgabe zu übermitteln, die mit anonymisierten Daten erledigt werden könnte, würde diesen Grundsatz wahrscheinlich verletzen. Schließlich kann jedes KI-System, das automatisierte Entscheidungen über Einzelpersonen trifft, die Rechte nach Artikel 22 auslösen und Prozesse zur menschlichen Überprüfung erfordern.