KI-Datenschutz und Governance

Wie Unternehmen Schatten-KI und Compliance-Risiken beherrschen

Künstliche Intelligenz wird in Unternehmen zunehmend eingesetzt. Sie unterstützt bei der Erstellung von Texten, der Analyse großer Datenmengen, der Automatisierung von Geschäftsprozessen und im Kundenservice. Gleichzeitig entstehen neue Anforderungen an Datenschutz, IT-Sicherheit und den Schutz von Geschäftsgeheimnissen.

Eine wirksame KI-Governance schafft hierfür klare Zuständigkeiten, verbindliche Regeln und nachvollziehbare Prüfprozesse. Besonders relevant sind derzeit drei Themen: die unbefugte Nutzung von Consumer-KI-Tools, die Einhaltung der Anforderungen für Hochrisiko-KI-Systeme und die rechtssichere Verwendung personenbezogener Daten für das Training eigener KI-Modelle.

BLOG-TIPP: KI-VO SCHULUNGSPFLICHT – DATENSCHUTZ UMSETZEN

Schatten-KI: Wenn sensible Unternehmensdaten in externe Tools gelangen

Als Schatten-KI wird die Nutzung von KI-Anwendungen bezeichnet, die nicht durch die zuständigen Stellen im Unternehmen geprüft oder freigegeben wurden. Dazu gehören beispielsweise frei zugängliche Chatbots und Consumer-KI-Tools, bei denen häufig nicht ausreichend kontrolliert werden kann, wie eingegebene Daten verarbeitet, gespeichert oder weiterverwendet werden.

In der Praxis können Mitarbeitende versehentlich vertrauliche Informationen in solche Systeme eingeben. Dazu zählen etwa interne Geschäftsunterlagen, personenbezogene Daten, Vertragsinhalte, Quellcode, Zugangsdaten oder noch nicht veröffentlichte Unternehmensstrategien. Werden diese Informationen an externe Anbieter übermittelt, bleibt vielfach unklar, wo die Verarbeitung stattfindet, wie lange die Daten gespeichert werden und ob sie möglicherweise zum Training eines KI-Modells verwendet werden.

Datenschutzverletzungen mit Schatten-KI

Dadurch können Datenschutzverletzungen, Verstöße gegen vertragliche Verpflichtungen und der Abfluss von Geschäftsgeheimnissen entstehen. Auch aus Sicht der IT-Sicherheit besteht ein Risiko, wenn nicht bekannt ist, welche Anwendungen innerhalb der Organisation genutzt werden und welche Daten an sie übermittelt werden.

BLOG-TIPP: AI ACT: KI IM UNTERNEHMEN NUTZEN – WAS BEDEUTET DAS FÜR DEN DATENSCHUTZ?

Verbindliche Regeln und sichere Alternativen schaffen

Eine bloße Untersagung der Nutzung reicht in der Regel nicht aus. Unternehmen sollten stattdessen ein verständliches und praxistaugliches Regelwerk entwickeln. Darin sollte festgelegt werden, welche KI-Anwendungen genutzt werden dürfen, welche Daten nicht in externe Systeme eingegeben werden dürfen und unter welchen Voraussetzungen neue Tools freigegeben werden können.

Ergänzend sollten technische Maßnahmen eingesetzt werden, um die unkontrollierte Übertragung sensibler Informationen zu reduzieren. Dazu können beispielsweise sichere Unternehmenslösungen, Netzwerkfilter oder Data-Loss-Prevention-Maßnahmen gehören. Ebenso wichtig ist die Sensibilisierung der Mitarbeitenden. Nur wenn die bestehenden Risiken bekannt sind und geeignete Alternativen zur Verfügung stehen, kann eine sichere Nutzung im Arbeitsalltag erreicht werden.

Die Nutzung freigegebener Systeme und die dazugehörigen Prüfungen sollten nachvollziehbar dokumentiert werden. Auf diese Weise wird sichtbar, welche Anwendungen im Unternehmen eingesetzt werden, welche Daten verarbeitet werden und wer für die jeweilige Nutzung verantwortlich ist.

BLOG-TIPP: VERZEICHNIS VON VERARBEITUNGSTÄTIGKEITEN (VVT) AKTUELL HALTEN, UM DEN DATENSCHUTZ UMZUSETZEN

Eigene KI-Systeme frühzeitig bewerten

Bei der Entwicklung oder Anpassung eigener KI-Modelle sollte zunächst geklärt werden, welche Rolle das Unternehmen einnimmt. Je nach Ausgestaltung kann es als Anbieter, Betreiber oder in bestimmten Fällen als beides einzustufen sein. Anschließend muss geprüft werden, ob das eingesetzte System unter eine Hochrisiko-Kategorie fällt.

Von zentraler Bedeutung sind dabei eine strukturierte Risikoanalyse und eine belastbare Dokumentation. Es sollte nachvollziehbar sein, welche Risiken für betroffene Personen, die Organisation und die Informationssicherheit bestehen und mit welchen Maßnahmen diesen Risiken begegnet wird. Zusätzlich kann eine Datenschutz-Folgenabschätzung erforderlich sein.

Für komplexe oder besonders risikobehaftete Systeme werden Konformitätsbewertungen und umfassende Nachweise erforderlich. Datenschutz und IT-Sicherheit sollten dabei nicht getrennt voneinander betrachtet werden. Ein KI-System kann die Anforderungen des EU AI Act nur dann dauerhaft erfüllen, wenn auch die Vorgaben der Datenschutz-Grundverordnung und die bestehenden Sicherheitsanforderungen berücksichtigt werden.

Herkunft und Verwendung der Daten nachvollziehbar dokumentieren

Vor der Nutzung personenbezogener Daten für Trainingszwecke sollte eine umfassende Datenprüfung durchgeführt werden. Zunächst muss ermittelt werden, welche Daten verwendet werden sollen und aus welchen Quellen sie stammen. Ebenso ist zu klären, zu welchem ursprünglichen Zweck die Daten erhoben wurden und ob die betroffenen Personen über eine mögliche Weiterverarbeitung informiert wurden.

Anschließend sollte geprüft werden, ob ein Personenbezug für das Training tatsächlich erforderlich ist. Anonymisierte oder aggregierte Daten können datenschutzrechtliche Risiken reduzieren. Bei pseudonymisierten Daten bleibt der Personenbezug jedoch bestehen, wenn eine Zuordnung weiterhin möglich ist. Deshalb müssen auch in diesem Fall die Anforderungen der Datenschutz-Grundverordnung beachtet werden.

Von besonderer Bedeutung ist außerdem die Wahl und Dokumentation der Rechtsgrundlage. Je nach Verarbeitungssituation können beispielsweise eine Einwilligung, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse in Betracht kommen. Wird sich auf ein berechtigtes Interesse berufen, muss eine nachvollziehbare Interessenabwägung durchgeführt werden. Dabei ist auch zu berücksichtigen, welche Auswirkungen die Verarbeitung auf die betroffenen Personen haben kann.

Darüber hinaus muss geregelt werden, wie die Rechte betroffener Personen gewährleistet werden. Dazu gehören insbesondere Informations-, Auskunfts-, Berichtigungs- und gegebenenfalls Löschrechte. Bereits bei der Entwicklung eines Modells sollte außerdem berücksichtigt werden, wie verhindert werden kann, dass personenbezogene Informationen unkontrolliert aus den Ausgaben des Systems rekonstruiert oder offengelegt werden.

BLOG-TIPP: LÖSCHKONZEPTE – WICHTIGE GRUNDLAGE IM DATENSCHUTZ FÜR UNTERNEHMEN

KI-Governance als dauerhafter Unternehmensprozess

KI-Governance sollte nicht als einmalige Prüfung verstanden werden. Erforderlich ist ein fortlaufender Prozess, in dem rechtliche, technische und organisatorische Anforderungen miteinander verbunden werden.

Dazu gehört zunächst ein Überblick über alle im Unternehmen eingesetzten KI-Anwendungen. Für jedes System sollten der jeweilige Zweck, die verarbeiteten Daten, die verantwortlichen Stellen und die bestehenden Risiken dokumentiert werden. Auf dieser Grundlage können Freigabe- und Prüfprozesse entwickelt werden, die sich am tatsächlichen Risiko des jeweiligen Einsatzes orientieren.

Darüber hinaus sollten klare Vorgaben für Trainingsdaten, Eingaben und Ausgaben erstellt werden. Sicherheits- und Zugriffskonzepte müssen festlegen, welche Personen auf KI-Systeme und die darin verarbeiteten Informationen zugreifen dürfen. Ergänzend sind Schulungen zur sicheren und verantwortungsvollen Nutzung erforderlich.

Auch der Umgang mit Sicherheitsvorfällen, Datenschutzverletzungen und Beschwerden sollte frühzeitig geregelt werden. Die getroffenen Maßnahmen müssen regelmäßig überprüft und bei technischen, organisatorischen oder rechtlichen Veränderungen angepasst werden.

Eine funktionierende KI-Governance setzt die Zusammenarbeit verschiedener Unternehmensbereiche voraus. Geschäftsführung, IT, Informationssicherheit, Datenschutz, Personalabteilung und Fachbereiche sollten gemeinsam daran arbeiten, Risiken zu bewerten und praktikable Lösungen zu entwickeln. Nur so können Schatten-KI, Datenschutzverstöße und unklare Verantwortlichkeiten wirksam reduziert werden.

Die Grundlagen für einen sicheren KI-Einsatz schaffen

Der Einsatz künstlicher Intelligenz bietet Unternehmen und Organisationen erhebliche Chancen. Ohne klare Regeln können jedoch sensible Daten abfließen, Datenschutzpflichten verletzt und erhebliche Sicherheits- oder Haftungsrisiken verursacht werden.

Unternehmen sollten deshalb frühzeitig ein verbindliches KI-Regelwerk etablieren, nicht freigegebene Anwendungen kontrollieren und die Nutzung sicherer Alternativen ermöglichen. Hochrisiko-Systeme sollten rechtzeitig klassifiziert, dokumentiert und einer umfassenden Risikoanalyse unterzogen werden. Ebenso muss die Herkunft personenbezogener Trainingsdaten nachvollziehbar sein und ihre Verwendung auf einer tragfähigen rechtlichen Grundlage beruhen.

So wird KI-Governance zu einem festen Bestandteil von Datenschutz und Informationssicherheit. Unternehmen können dadurch nicht nur regulatorische Anforderungen besser erfüllen, sondern auch die Voraussetzungen für einen vertrauenswürdigen und langfristig sicheren Einsatz künstlicher Intelligenz schaffen.

Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.

Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.