Kurz erklärt
Ob personenbezogene Daten in einem KI-Dienst verarbeitet werden dürfen, hängt vom konkreten Einsatz ab. Pseudonymisierung kann Datenrisiken reduzieren, ersetzt aber weder die Prüfung der Rechtsgrundlage noch die Bewertung von Empfänger, Verträgen und Schutzmaßnahmen.
Zuerst die Aufgabe eingrenzen
„Wir wollen KI nutzen“ ist als Prüfauftrag zu ungenau. „Wir wollen aus Supportverläufen wiederkehrende technische Fehler ableiten“ beschreibt dagegen ein überprüfbares Ziel. Daraus lässt sich ableiten, welche Angaben nötig sind und welche nicht.
Beginne mit einem einzelnen Ablauf und einem begrenzten Dokumenttyp. Dokumentiere auch, was die KI ausdrücklich nicht tun soll. Eine thematische Zusammenfassung hat andere Folgen als eine automatisierte Bewertung einzelner Beschäftigter.
Den tatsächlichen Dienst bewerten
Ein Markenname sagt wenig darüber aus, welcher Dienst konkret eingesetzt wird. Produktvariante, Vertrag, Einstellungen, angebundene Werkzeuge und tatsächlicher Datenfluss gehören zusammen betrachtet. Frage nach Speicherung, Löschung, Zugriffen und möglicher Weiterverwendung der Eingaben.
Die Datenschutzkonferenz behandelt Auswahl, Implementierung und Nutzung von KI-Anwendungen in ihrer Orientierungshilfe. Datenschutzrechtliche Rollen, erforderliche Vereinbarungen und gegebenenfalls internationale Übermittlungen sind vor dem Einsatz zu klären. Die Verantwortung für diese Bewertung lässt sich nicht durch einen Warnhinweis am Upload ersetzen.
Die Arbeitsfassung bewusst reduzieren
Für eine Musteranalyse können konsistente Kennungen genügen. Für andere Aufgaben lassen sich einzelne Absätze weglassen oder genaue Angaben verallgemeinern. Nutze den fachlichen Zweck als Maßstab und vergleiche das Ergebnis mit einer vorab definierten Erwartung.
Beispiel: Eine Zusammenfassung einer Störung braucht die zeitliche Abfolge. Ob dafür genaue Uhrzeiten erforderlich sind oder relative Zeitabstände reichen, hängt von der Frage ab. Diese Entscheidung sollte bewusst getroffen werden, bevor eine externe Auswertung beginnt.
Verantwortung im Alltag verankern
Benenne eine Person für die Freigabe der Arbeitsfassung und eine für die fachliche Prüfung des Ergebnisses. Lege fest, wohin Beschäftigte Unsicherheiten melden und wie versehentlich hochgeladene Inhalte behandelt werden. Ein kurzer, tatsächlich nutzbarer Ablauf ist hilfreicher als eine Richtlinie ohne Zuständigkeiten.
Für die Einführung empfehlen wir einen abgegrenzten Test mit bekannten Soll-Ergebnissen. Psoydo kann dabei als vorgelagerte Schutzschicht betrachtet werden. Welche Daten, Betriebsbedingungen und vertraglichen Voraussetzungen für einen konkreten Pilot gelten, wird vor der Durchführung persönlich abgestimmt.
Praxischeck
- Einen konkreten Zweck und Dokumenttyp festlegen.
- Den eingesetzten Dienst einschließlich Einstellungen bewerten.
- Vertragliche und datenschutzrechtliche Voraussetzungen klären.
- Freigabe und Ergebnisprüfung eindeutig zuordnen.
Quellen & Einordnung
Fachliche Orientierung; die Bewertung des konkreten Einsatzes bleibt erforderlich.
Psoydo im Detail: Sicherheit und Kontrollprinzipien ↗