Antragsformular zur Freigabe
von KI-Tools

Jedes KI-Tool, das zu Arbeitszwecken genutzt werden soll, sollte ein gewisses Maß an Freigabe durchlaufen. Mindestens jedes Tool, das Unternehmensdaten verarbeitet, auch nicht sensible interne Daten, sollte von der IT-Sicherheit freigegeben werden. Tools, die personenbezogene Daten, Kundendaten, Finanzdaten oder regulierte Informationen verarbeiten, erfordern eine vollständige Prüfung auf Ausschussebene. Tools, die ausschließlich mit öffentlich verfügbaren, nicht unternehmensbezogenen Daten genutzt werden, können über einen leichteren delegierten Freigabeprozess gehandhabt werden.

Ein Auftragsverarbeitungsvertrag (DPA) ist eine vertragliche Vereinbarung zwischen Ihrer Organisation (als Verantwortlicher) und einem KI-Anbieter (als Auftragsverarbeiter), die regelt, wie der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Nach DSGVO Artikel 28 ist ein DPA rechtlich erforderlich, sobald ein Dritter personenbezogene Daten für Sie verarbeitet. Bei KI-Tools sollte der DPA insbesondere regeln, ob der Anbieter Ihre Eingabedaten zum Training seiner Modelle verwendet, wie lange er Ihre Daten aufbewahrt, was mit Ihren Daten geschieht, wenn Sie den Vertrag kündigen, und ob Ihre Daten zu anderen Zwecken als der Erbringung der vertraglichen Leistung verwendet werden.

Standardanträge zur Freigabe von KI-Tools sollten innerhalb von 10 Arbeitstagen nach einer vollständigen Einreichung bearbeitet werden. Anträge, die eine CISO-Freigabe erfordern, dauern in der Regel 15 Arbeitstage. Komplexe Anträge, die eine vollständige Anbieter-Due-Diligence, eine rechtliche Prüfung oder eine DPA-Verhandlung erfordern, können 30 Arbeitstage oder länger dauern. Klare Fristen gegenüber Antragstellern und ein Mechanismus zur Antragsverfolgung reduzieren die Einführung von Shadow AI: Mitarbeitende greifen zu nicht freigegebenen Tools, wenn sie nicht wissen, wann oder ob ihr Antrag bearbeitet wird.

Die Nutzung nicht freigegebener KI-Tools zu Arbeitszwecken (Shadow AI) ist ein Richtlinienverstoß, der über Ihren disziplinarischen Prozess behandelt werden sollte. Die Schwere hängt davon ab, welche Daten eingegeben wurden: Waren nur nicht sensible interne Daten betroffen, ist in der Regel eine förmliche Verwarnung und eine erneute Schulung angemessen; wurden personenbezogene, vertrauliche oder beschränkte Daten eingegeben, sollte der Vorfall als mögliche Datenpanne behandelt und nach Ihrem Verfahren zur Reaktion auf Datenpannen untersucht werden, was eine regulatorische Meldung nach DSGVO Artikel 33 erfordern kann.