KVKK, Datenschutz und sichere KI-Nutzung

Gewinne:

• Möglichkeit zur Verwendung von Kandidaten- und Mitarbeiterdaten gemäß den KVKK-Grundsätzen (Zweckbindung, Datenminimierung)
• Möglichkeit zum Schutz personenbezogener Daten durch Maskierung/Anonymisierung und sichere Werkzeugauswahl
• Möglichkeit zur Unterstützung von Offenlegungs-, Einwilligungs- und Aufbewahrungsprozessen mit KI für die Datenverarbeitung im Personalwesen

Lebensläufe von Kandidaten, Leistungsbewertungen, Gehaltsinformationen, Referenzkommentare, medizinische Berichte, Disziplinarunterlagen ... Die Personalabteilung ist der Hüter der sensibelsten personenbezogenen Daten in einem Unternehmen. Der Einsatz von Tools der künstlichen Intelligenz (KI) mit diesen Daten bietet enorme Effizienz; aber es schafft auch eine ernsthafte rechtliche und ethische Verantwortung. Das einfache Einfügen aller Lebensläufe eines Kandidatenpools in ein willkürliches Tool könnte innerhalb von Minuten zu einer Datenpanne führen. In dieser Einheit lernen wir, wie wir den Einsatz von KI im Personalwesen gemäß KVKK (Gesetz zum Schutz personenbezogener Daten) konform, sicher und vertretbar gestalten können.

Ein paar Begriffe: Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Name, Ausweis, E-Mail, auch ein eindeutiger Lebenslauftext). Besonders hochwertige (sensible) Daten sind besonders geschützte Daten wie Gesundheit, Religion, Sexualleben, strafrechtliche Verurteilung, Gewerkschaftsmitgliedschaft. Der Datenverantwortliche ist die Institution (Ihr Unternehmen), die den Zweck der Datenverarbeitung festlegt. Anonymisierung bedeutet, dass Daten so gemacht werden, dass sie in keiner Weise einer Person zugeordnet werden können. Maskierung (Pseudonymisierung) ersetzt Identifikatoren durch Pseudonyme (Kandidat 1, Kandidat 2); Sie ist schwächer als die Anonymisierung, reicht aber für die meisten Analysen aus.

Grundprinzipien von KVKK und seinem Äquivalent im Personalwesen

Die allgemeinen Grundsätze von KVKK binden auch Ihren Einsatz von KI. Damit eine Transaktion legal ist, muss sie diesen Grundsätzen entsprechen:

Prinzip

Bedeutung im HR

Legalität und Ehrlichkeit

Ob eine Rechtsgrundlage für die Verarbeitung vorliegt (Vertrag, berechtigtes Interesse, ausdrückliche Einwilligung)

Zweckbeschränkung

Daten nur für den Zweck verwenden, für den sie erhoben wurden (keine Rekrutierungsdaten für Marketingzwecke verwenden)

Datenminimierung

So viele Daten, wie der Job erfordert; Geben Sie dem Modell nicht zu viel

Genauigkeit

Stellen Sie sicher, dass die Daten aktuell und korrekt sind

Speicherlimit

Unbegrenzte Lagerung; Vernichten Sie nicht mehr benötigte Daten

Sicherheit

Verarbeiten Sie Daten mit angemessenen technischen und administrativen Schutzmaßnahmen

Achtung: Das Einfügen aller Lebensläufe eines Kandidatenpools in ein generisches KI-Tool ohne Garantie für die Aufbewahrung von Unternehmensdaten stellt ein ernstes Risiko für KVKK dar. Diese Daten können beim Anbieter des Modells gespeichert und unter bestimmten Betriebsbedingungen sogar für Schulungen verwendet werden. Unternehmenseigene/genehmigte Tools, Datenverarbeitungsvereinbarungen (DPA) und Anonymisierung/Maskierung, wo immer möglich, sind bei der Arbeit mit personenbezogenen Daten unerlässlich.

Schritte zur sicheren Verwendung

1. Wählen Sie das Werkzeug aus. Wählen Sie Tools, die firmenintern sind, über eine Datenverarbeitungsvereinbarung verfügen und die Option „Nutzung meiner Daten im Bildungsbereich“ bieten.
2. Daten minimieren. Stellen Sie die für die Analyse erforderlichen Mindestdaten bereit. Entfernen Sie den Überschuss.
3. Maskieren/anonymisieren. Ersetzen Sie Name, ID, Kontakt, vollständiges Geburtsdatum durch Spitznamenwert oder -bereich.
4. Begrenzen Sie den Zweck. Verarbeiten Sie Daten nur für den Zweck, für den sie erhoben wurden.
5. Behalten Sie die Spur. Erfassen Sie, welche Daten zu welchem ​​Zweck und mit welchem ​​Tool verarbeitet wurden.
6. Setzen Sie menschliche Zustimmung. Lassen Sie eine Person die Entscheidung treffen, die sie betrifft.

Maskieren Sie personenbezogene Daten, bevor Sie den folgenden Lebenslauf bewerten: – Geben Sie „Kandidat“ anstelle des Namens ein, geben Sie Kontaktinformationen ein [ANONYMISIERT] – Verwenden Sie eine Altersspanne (z. B. 30–35) anstelle des Geburtsdatums – Verallgemeinern Sie, ob der Schul-/Firmenname zu Diskriminierung führen könnte. Erstellen Sie dann eine strukturierte Zusammenfassung, die ausschließlich auf berufsbezogenen Kriterien basiert.

Anonymisierungs- und Maskierungspraxis

Die meisten HR-Analysen können ohne Identifizierung der Person durchgeführt werden. Die Analyselogik ändert sich nicht, personenbezogene Daten werden nicht weitergegeben:

Schwach (riskant): Einfügen von Daten mit echtem Namen, ID, Einheit und vollem Gehalt. Stark (sicher): Kodieren Sie Personen als „Person 1/2/3“, verwenden Sie eine Altersspanne anstelle des Geburtsdatums, eine Spanne (z. B. 40–50.000) anstelle des vollen Gehalts. Verwenden Sie Region statt Ort, Monat/Jahr statt genaues Datum.

KI hilft auch bei der Erstellung von KVKK-Dokumenten, etwa dem Klarstellungstext und der Aufbewahrungsfrist – allerdings wiederum nur beim Entwurf:

Ihre Rolle: ein Datenschutzassistent. Aufgabe: Schreiben Sie einen ENTWURF eines Kandidateninformationstextes für den Rekrutierungsprozess. Inhalt: Welche Daten werden zu welchem ​​Zweck verarbeitet, auf welcher Rechtsgrundlage, wie lange werden sie gespeichert, welche Rechte hat der Kandidat? Regel: Markieren Sie die rechtlichen Aussagen mit dem Tag [VERIFY TO KVKK EXPERT]. Bestimmter Zeitraum/Artikel NICHT FAKE. Dies ist ein Entwurf, nicht der endgültige Text.

Drei Mini-Hüllen

Fall 1 – Verstoß knapp abgewendet. Ein Personalvermittler wollte gerade 60 Lebensläufe auf einmal in sein persönliches Fahrzeugkonto einfügen. Der Teamleiter intervenierte; Der Prozess wurde auf ein unternehmenseigenes, DPA-fähiges Tool verlagert und Lebensläufe wurden maskiert und verarbeitet. Dadurch wurde sowohl die Effizienz gewahrt als auch das Risiko eines möglichen Verstoßes und einer Geldstrafe eliminiert.

Fall 2 – Verletzung der Zweckgrenze. Ein Unternehmen nutzte anschließend die für die Personalbeschaffung gesammelten Kandidaten-E-Mails in einer Marketingkampagne. Dies stellte einen Verstoß gegen den Grundsatz der Zweckbindung dar und war Gegenstand einer Beschwerde. Nach dem Vorfall führte die Personalabteilung eine Regel ein, die den Zweck jedes Datensatzes kennzeichnet und Missbrauch verhindert.

Fall 3 – Speicherlimit. Eine Organisation bewahrte die Lebensläufe von Kandidaten auf, die über Jahre hinweg nicht eingestellt wurden. Abgeglichene Daten, Zweck und Aufbewahrungsfrist mit einem KI-gestützten Inventar; Abgelaufene Daten wurden in den Vernichtungsplan aufgenommen. Dadurch wurde sowohl die gesetzliche Lagergrenze eingehalten als auch unnötiges Risiko reduziert.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

Schwache Aufforderung: Werten Sie die Informationen dieser Kandidaten aus. [richtiger Name, türkischer Personalausweis, Gehalt, vollständiger Lebenslauf]

Ergebnis: Sensible personenbezogene Daten werden unsicher verarbeitet; Risiko einer KVKK-Verletzung und Datenlecks.

Leistungsstarke Eingabeaufforderung: [maskierte Daten (Kandidat 1/2, Altersspanne, Gehaltsband) + objektive Grenze + „Nur berufsbezogene Kriterien“ + unternehmenseigenes/genehmigtes Tool + menschliche Zustimmungsbewertung]

Das Ergebnis: die gleiche Analyseleistung, ohne persönliche Daten preiszugeben; ein vertretbarer und rechtlicher Prozess.

Tipp: Bevor Sie Daten an AI weitergeben, testen Sie Folgendes: „Würde die Privatsphäre einer Person beeinträchtigt, wenn dieser Screenshot durchgesickert wäre?“ Wenn die Antwort „Ja“ lautet, maskieren Sie diese Daten entweder oder geben Sie sie überhaupt nicht an. Entscheiden Sie sich im Zweifelsfall für eine Minimierung der Daten.

Häufige Fehler

• Weitergabe persönlicher Rohdaten an ein ungesichertes Tool. Im Training eingesetzte Fahrzeuge ohne DPA sind riskant.
• Maskierung überspringen. Name/TC/vollständiges Datum ist in den meisten Analysen nicht erforderlich; entfernen Sie es.
• Missbrauch. Verwenden Sie Rekrutierungsdaten nicht für andere Zwecke, beispielsweise für Marketingzwecke.
• Unbegrenzte Lagerung. Platzieren Sie Daten, deren Zweck nicht mehr in einem Vernichtungsplan liegt.
• Sensible Daten werden unterschätzt. Gesundheits-/Bußgeld-/Religionsdaten sind besonders geschützt; Vermeiden Sie es, sich mit KI zu beschäftigen.
• Hinterlasse keine Spuren. Wenn Sie nicht aufzeichnen, was Sie mit welchen Daten tun, können Sie nicht geprüft werden.

Zusammenfassend

• Personenbezogene Daten im Personalwesen (Lebenslauf, Leistung, Gehalt, Gesundheit) fallen in den Geltungsbereich von KVKK; Auch der Einsatz von KI unterliegt diesen Grundsätzen.
• Wählen Sie unternehmenseigene/zugelassene Tools mit DPA und verwenden Sie Ihre Daten nicht für Schulungen. Fügen Sie keine Rohdaten in generische Tools ein.
• Zweckbindung und Datenminimierung: Verarbeiten Sie nur die Daten, die für den Zweck erforderlich sind, für den sie erhoben wurden.
• Maskierung und Anonymisierung machen die meisten Analysen sicher; Verwenden Sie Alias ​​und Bereich anstelle von Name/TC/vollständigem Datum.
• AI erstellt Entwürfe für Offenlegungs-, Einwilligungs- und Aufbewahrungsdokumente; Lassen Sie die rechtlichen Details von einem KVKK-Experten überprüfen und überlassen Sie die Entscheidung, die die Person betrifft, der Person.

Anwendungsaufgabe

Nehmen Sie Ihren Lebenslauf oder Ihre Mitarbeiterakte mit (oder eine fiktive). Listen Sie zunächst die darin enthaltenen personenbezogenen Datenfelder auf und fragen Sie: „Ist dies für die Analyse erforderlich?“ für jeden. Beantworten Sie die Frage. Erstellen Sie eine sichere Version, indem Sie das Unnötige entfernen und das Notwendige maskieren (Kandidat, Altersgruppe, Gehaltsspanne). Lassen Sie die KI eine auftragsbezogene Zusammenfassung nur mit diesen maskierten Daten erstellen. Lassen Sie außerdem einen kurzen Kandidatenprospekt erstellen und kennzeichnen Sie die rechtlichen Aussagen als „zu überprüfen“.

Checkliste

• [ ] Ist das verwendete Tool firmenintern/genehmigt und DPA-zertifiziert?
• [ ] Sind die Daten minimiert (nur Pflichtfelder)?
• [ ] Werden Identifikatoren wie Name/ID/vollständiges Datum maskiert?
• [ ] Sind Daten besonderer Qualität (Gesundheit, Kriminalität, Religion) von dem Prozess ausgeschlossen?
• [ ] Werden die Daten nur für den Zweck verwendet, für den sie erhoben wurden?
• [ ] Sind die Aufbewahrungsdauer und der Vernichtungsplan festgelegt?
• [ ] Betrifft die endgültige Entscheidung die Person in einer Person?