Die Integration von Künstlicher Intelligenz ist mittlerweile ein weit verbreitetes Phänomen. Künstliche Intelligenz im Büroalltag kann Arbeitsprozesse vereinfachen und beschleunigen und auch als Wissensquelle dienen. Als Verantwortlicher ist es allerdings gleichzeitig wichtig, die datenschutzrechtlichen Vorgaben umzusetzen. Gehen wir also in diesem Beitrag auf mögliche technischen und organisatorischen Maßnahmen ein, deren Implementation wir empfehlen.

Pflicht des Verantwortlichen

Die DSGVO macht an verschiedenen Stellen Vorgaben dazu, dass ein Verantwortlicher technische und organisatorische Maßnahmen implementieren muss, um den Schutz der Rechte und Freiheiten der von der jeweiligen Verarbeitung betroffenen Personen zu gewährleisten. Dabei handelt es sich um Artt. 5, 24, 25 und 32 DSGVO.

Eine Auswahl möglicher Maßnahmen

Ein Ziel eines Verantwortlichen aus datenschutzrechtlicher Sicht ist also, den Datenschutz zu gewährleisten und auch einen Datenschutzvorfall zu vermeiden. Dies führt aber auch zu einem zweiten Ziel, was dem ersten dienlich sein kann: So wenig personenbezogene Daten wie möglich zu verarbeiten. Schauen wir uns also eine Auswahl an möglichen Maßnahmen an.

On-Premise-Betrieb der Künstlichen Intelligenz

Der Betrieb der Künstlichen Intelligenz auf eigenen, internen Servern bringt mehrere Vorteile mit sich. Zum einen bedeutet dies, dass der Verantwortliche die Kontrolle über die Daten hat, da er keinen Dienstleister – in diesem Fall: Auftragsverarbeiter – für den Betrieb in Anspruch nimmt.

Trennung von Test- und Produktivdaten

Hierbei handelt es sich um eine empfehlenswerte Maßnahme, um eine ggf. unrechtmäßige Verarbeitung personenbezogener Daten zu vermeiden. Diese unrechtmäßige Verarbeitung ergibt sich u. U., wenn keine Rechtsgrundlage für die Nutzung von Produktivdaten für Tests vorliegt. Des Weiteren besteht auch die Gefahr, dass etwaige Aufbewahrungsfristen verletzt werden, wenn ein Verantwortlicher nicht die notwendigen Regelungen implementiert, um genau dies zu vermeiden.

Anonymisierung und/oder Pseudonymisierung von Daten

Zu betrachten ist auch, inwiefern der eigentliche Zweck dennoch mit anonymisierten und/oder pseudonymisierten Daten erreichbar ist.

Ausschluss personenbezogener Daten

Möglicherweise ist eine Anweisung sinnvoll, dass die Prompts keine personenbezogenen Daten enthalten dürfen.

Ständige Kontrolle der Künstlichen Intelligenz

Falls die Künstliche Intelligenz in einem Unternehmen, einer Einrichtung etc. in einer Weise zum Einsatz kommt, dass sie in der Lage ist, selbst Änderungen vorzunehmen, sind hierfür zusätzliche Regelungen notwendig. Hilfreich kann dabei sein, technisch einzustellen, dass die Künstliche Intelligenz bspw. gar nicht selbst Änderungen vornehmen kann. Eine Alternative ist, dass der jeweilige Nutzer vor jeder Änderung durch die Künstliche Intelligenz diese prüfen und bestätigen muss.

Technische Einstellung zur Prüfung der Einhaltung der Anweisungen

Um Art. 5 Abs. 2 DSGVO zu erfüllen, sind die getroffenen Maßnahmen schriftlich zu dokumentieren. Dies umfasst u. a. eine Richtlinie zur Nutzung Künstlicher Intelligenz für die Beschäftigten. Möglicherweise ist es umsetzbar, diese Richtlinie in die Künstliche Intelligenz zu integrieren – oder eine separate für diese zu erstellen – sodass die Künstliche Intelligenz selbst prüfen und ggf. auch auf die Einhaltung der Richtlinie hinweisen kann.

Hilfestellungen der Datenschutzaufsichtsbehörden

Der Bayerische Landesbeauftragte für den Datenschutz hat eine Reihe von Artikeln zur Verfügung gestellt, die Verantwortlichen bei der Umsetzung im Zuge des Einsatzes Künstlicher Intelligenz im Büroalltag helfen (Quelle). – Übrigens: Auch wenn diese für den öffentlichen Bereich erstellt worden sind, so sind sie mit Sicherheit auch für Privatunternehmen wertvoll. –

Auch von der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gibt es, wenn auch hier für Behörden, ein Dokument (Quelle).

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (kurz: DSK) hat ebenfalls eine Orienterungshilfe zum Betrieb Künstlicher Intelligenz bereitgestellt (Quelle).

Fazit

Die Integration Künstlicher Intelligenz im Büroalltag bietet viele Vorteile, aber es ist auch wichtig, die technischen und organisatorischen Maßnahmen zu ergreifen, um die Datenschutzanforderungen zu erfüllen.

Gern unterstützen wir Sie bei der Umsetzung der Vorgaben der DSGVO für eine datenschutzkonforme Nutzung der Künstlichen Intelligenz im Büroalltag. Kontaktieren Sie uns gern hierfür.