Gewinne:
- Bewerten, ob eine KI-Nutzung eine DPIA erfordert
- Anwendung des siebenstufigen DPIA-Prozesses auf ein KI-Projekt
- Priorisieren Sie Risiken mit einer Wahrscheinlichkeits-Auswirkungs-Matrix und entwerfen Sie risikomindernde Maßnahmen
Einige Anwendungen von KI bergen ernsthafte Risiken für den Einzelnen: groß angelegte Überwachung, Verarbeitung sensibler Daten, automatisierte Entscheidungen. Bei solchen Projekten erwarten sowohl die KVKK/DSGVO als auch das EU-KI-Gesetz eine strukturierte Risikobewertung vor Beginn der Arbeiten. Der Name dieser Bewertung ist Datenschutz-Folgenabschätzung (DPIA). In dieser Einheit lernen wir, wie man erkennt, ob eine Nutzung eine DPIA erfordert, wie man den siebenstufigen DPIA-Prozess auf ein KI-Projekt anwendet und wie man Risiken mit einer Wahrscheinlichkeits-Auswirkungs-Matrix priorisiert.
Was ist eine DSFA und wann wird sie benötigt?
Bei der Datenschutz-Folgenabschätzung (DSFA) handelt es sich um eine strukturierte Analyse, die vorab die Risiken einer Verarbeitungstätigkeit für die Rechte und Freiheiten natürlicher Personen bewertet und mildernde Maßnahmen festlegt. Der entscheidende Punkt: Die DPIA wird in der Entwurfsphase durchgeführt, bevor mit der Verarbeitung begonnen wird – und nicht erst, nachdem das Problem aufgetreten ist.
DPIA ist normalerweise erforderlich, wenn:
- Einsatz neuer Technologie (oft ist auch KI dabei).
- Umfangreiche Verarbeitung personenbezogener Daten.
- Systematische Überwachung oder Profilierung.
- Besondere Datenverarbeitung.
- Automatisierte Entscheidungen, die erhebliche Auswirkungen auf die Menschen haben.
Tipp: Wenn Sie sich nicht sicher sind, führen Sie eine „Überprüfung“ durch: Wenn zwei oder mehr der fünf oben genannten Punkte vorliegen, führen Sie standardmäßig eine DPIA durch. Die Kosten für die Durchführung einer DPIA sind gering; Die Kosten, dies nicht zu tun, sind bei einem Verstoß sehr hoch.
Siebenstufiger DPIA-Prozess
Sie wenden DPIA in diesen sieben Schritten auf ein KI-Projekt an:
Schritt
Was machst du?
1. Beschreibung
Beschreiben Sie die Verarbeitung: welche Daten, Zweck, Umfang, Ablauf
2. Notwendigkeit und Verhältnismäßigkeit
Ist KI wirklich notwendig? Gibt es eine weniger aufdringliche Möglichkeit?
3. Meinung der Stakeholder
Holen Sie die Meinung relevanter Personen/Vertreter ein
4. Risikoidentifizierung
Listen Sie mögliche Schäden für Einzelpersonen auf
5. Risikobewertung
Bewerten Sie jedes Risiko nach Wahrscheinlichkeit und Auswirkung
6. Schadensbegrenzungsmaßnahmen
Entwerfen Sie Vorsichtsmaßnahmen für jedes Risiko und identifizieren Sie das Restrisiko
7. Genehmigung und Überprüfung
Dokumentieren Sie das Ergebnis, reichen Sie es zur Genehmigung ein und aktualisieren Sie es regelmäßig
Risikopriorisierung: Wahrscheinlichkeits-Auswirkungsmatrix
Sie bewerten jedes Risiko in zwei Dimensionen: der Wahrscheinlichkeit, dass es eintritt, und den Auswirkungen, wenn es eintritt. Die Kombination beider gibt Vorrang.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Geringe Auswirkung
mittlere Wirkung
hohe Wirkung
hohe Wahrscheinlichkeit
mittel
hoch
kritisch
mittlere Wahrscheinlichkeit
niedrig
mittel
hoch
geringe Wahrscheinlichkeit
niedrig
niedrig
mittel
Kritische und hohe Risiken sind Risiken, bei denen das Projekt nicht ohne Vorkehrungen fortgesetzt werden sollte. Das Ziel besteht nicht darin, jedes Risiko auszuschließen; besteht darin, jedes Risiko auf ein akzeptables Maß zu reduzieren und das verbleibende (Rest-)Risiko bewusst in Kauf zu nehmen.
drei Mini-Koffer
Fall 1 – Unterlassene DSFA. Eine Einzelhandelskette implementiert ein System, das das Kundenverhalten im Geschäft mit KI und ohne DPIA verfolgt. Monate später enthüllt eine Beschwerde, dass das System bestimmte Rückschlüsse gezogen hat (Gesundheit, Schwangerschaftsvorhersage). Auf die Frage „Warum haben Sie keine DSFA durchgeführt?“ gibt es im Audit keine Antwort. Eine DSFA von Anfang an hätte dieses Risiko bereits in der Entwurfsphase erkannt und das Projekt sicher gemacht.
Fall 2 – Projekt von DPIA gerettet. DPIA wird zur Rekrutierungsunterstützung durch KI in einer Bank durchgeführt. Während der Risikoidentifikationsphase erweist sich das Risiko einer geschlechtsspezifischen Verzerrung aufgrund historischer Daten als „hoch“. Als Abhilfemaßnahme entfernt das Team Geschlechtsinformationen aus dem Modell, führt die Ergebnisse regelmäßigen Bias-Tests zu und verlangt eine menschliche Validierung. Jetzt sinkt das Risiko auf „moderat“ und das Projekt wird akzeptabel. DPIA macht das Projekt sicher, anstatt es zu zerstören.
Fall 3 – Verhältnismäßigkeitsprüfung. Ein Unternehmen möchte Mitarbeiter-E-Mails zur „Loyalitätsanalyse“ mit KI scannen. Im Hinblick auf die Notwendigkeit/Verhältnismäßigkeit der Datenschutz-Folgenabschätzung wird festgestellt, dass dies im Vergleich zum Zweck zu einschneidend ist; Es gibt weniger aufdringliche Alternativen. Das Projekt ist in seiner jetzigen Form nicht genehmigt. Bei der Verhältnismäßigkeitsprüfung wird zwischen „wir können“ und „wir müssen“ unterschieden.
Achtung: Bei der DPIA handelt es sich nicht um ein Formular, das einmal ausgefüllt und dann beiseite gelegt wird. Bei Verarbeitungsänderungen (neue Daten, neuer Zweck, neues Tool) muss die DSFA aktualisiert werden. Eine tote DSFA ist irreführender als gar keine DSFA, weil sie falsches Vertrauen vermittelt.
Wer führt die DPIA und die Risikoregisterbeziehung mit DPIA durch?
Eine einzelne Person kann die DSFA nicht an ihrem Schreibtisch ausfüllen; Eine korrekte DPIA ist eine Teamleistung. Typischerweise führt der Datenschutzbeauftragte den Prozess durch (Doer), der Compliance-Manager trägt die letztendliche Verantwortung (Accountable), die zuständige Geschäftseinheit beschreibt die Verarbeitung, bewertet IT-/sicherheitstechnische Maßnahmen und bestätigt die Rechtsgrundlage. Das Einholen der Meinung relevanter Personen (dritter Schritt) sollte nicht vernachlässigt werden; Dies ist jedoch der Schritt, der in der Praxis am häufigsten übersprungen wird.
Die Ergebnisse der DSFA stehen nicht im luftleeren Raum: Identifizierte Risiken werden im Risikoregister der Organisation erfasst. Das Risikoregister ist ein Live-Diagramm, das alle offenen Risiken, ihre Prioritäten, Abhilfemaßnahmen, Schuldigen und die Daten der letzten Überprüfung erfasst. Auf diese Weise sprechen die Risiken eines KI-Projekts die gleiche Sprache wie das gesamte Risikomanagement der Organisation und werden regelmäßig überwacht.
Bereich Risikoregister
Beispiel
Risikodefinition
Geschlechtsspezifische Voreingenommenheit in der Rekrutierungs-KI
Priorität
hoch
Schadensbegrenzungsmaßnahme
Extraktion von Ersatzvariablen + Bias-Test
Verantwortlich
Datenschutzbeauftragter
Rezension
alle 3 Monate
Tipp: Behandeln Sie DPIA mit einer „Risk Log and Track“-Mentalität und nicht mit einem „Done and Forget“-Ansatz. Wurde eine Risikominderung umgesetzt, ist das Restrisiko auf einem akzeptablen Niveau – ohne Aufzeichnungen darüber wird die DSFA zu einem Fensterdokument.
Kopierbare Vorlagen
VORLAGE 1 – DPIA-Vorabprüfung: „Ist für diesen KI-Einsatz eine DPIA erforderlich? [Beschreiben Sie die Verwendung]. Bewerten Sie anhand von fünf Auslösern: neue Technologie, groß angelegte Verarbeitung, systematische Überwachung, sensible Daten, erhebliche automatisierte Entscheidungsfindung. Wie viele Auslöser gibt es? Empfehlen Sie die DPIA mit Begründung?“
VORLAGE 2 – Brainstorming zur Risikoidentifizierung: „Listen Sie die möglichen Schäden für Menschen in diesem KI-Projekt auf [beschreiben Sie das Projekt]: Datenleck, Diskriminierung, Fehleinschätzung, Verletzung der Privatsphäre, mangelnde Transparenz, Zweckabweichung. Schreiben Sie für jeden Schaden ein Ein-Satz-Szenario. Nur erkennen, aber nicht dagegen vorgehen.“
VORLAGE 3 – Wahrscheinlichkeits-Auswirkungsbewertung: „Bewerten Sie die folgenden Risiken [Risiken auflisten] als Wahrscheinlichkeit (niedrig/mittel/hoch) und Auswirkung (niedrig/mittel/hoch); Priorität (niedrig/mittel/hoch/kritisch) erscheint in jeder Zeile. Liste kritisch und hoch oben. Darstellung im Tabellenformat.“
VORLAGE 4 – Risikominderungsentwurf: „Schlagen Sie für das folgende Risiko [Risiko aufschreiben] mindestens 3 Risikominderungsmaßnahmen vor (technisch, prozessual, organisatorisch). Schätzen Sie den Grad des „Restrisikos“ nach jeder Maßnahme. Wenn das Risiko nach der Maßnahme immer noch hoch ist, geben Sie an, dass das Projekt neu gestaltet werden sollte.“
Schwache Eingabeaufforderung / Starke Eingabeaufforderung
SCHWACH: „Ist dieses KI-Projekt riskant?“ -> Das Modell gibt eine vage „Vielleicht“-Antwort; klassifiziert Risiken nicht, priorisiert Risiken nicht, erstellt keine Maßnahmen.STRONG: „Führen Sie eine Mini-DSFA für das folgende KI-Projekt durch: (1) beschreiben Sie die Verarbeitung, (2) bewerten Sie die Notwendigkeit einer DPIA mit 5 Auslösern, (3) listen Sie 6 mögliche Schäden für Personen auf, (4) bewerten Sie jeden nach Wahrscheinlichkeitsauswirkung, (5) empfehlen Sie eine Abschwächung für kritische/hohe Risiken. Treffen Sie eine endgültige rechtliche Entscheidungsfindung; erstellen Sie einen Entwurf, der zur rechtlichen Genehmigung geht.“ -> Das Modell erstellt einen Entwurf von a strukturierte, umsetzbare DSFA.
Häufige Fehler
- Führen Sie die DPIA durch, nachdem die Transaktion gestartet wurde (oder sogar nachdem das Problem aufgetreten ist).
- Der Verzicht auf eine risikoreiche Verarbeitung, die eine DPIA erfordert, sei „keine große Sache“.
- Risiken werden nicht aufgelistet und nach Wahrscheinlichkeit und Auswirkung priorisiert.
- DPIA als „vollständig“ betrachten, ohne Maßnahmen für jedes Risiko zu erstellen.
- Den Schritt „Notwendigkeit/Verhältnismäßigkeit“ überspringen und sagen: „Wir können es schaffen, also lasst es uns tun.“
- Die DSFA einmalig ausfüllen und nicht aktualisieren, wenn sich der Prozess ändert.
- Genehmigung des Projekts ohne eindeutige Dokumentation des Restrisikos.
Zusammenfassend
- DPIA ist eine strukturierte Analyse, die die Auswirkungen einer Hochrisikoverarbeitung auf Einzelpersonen bewertet, bevor sie eingeleitet wird.
- DPIA ist erforderlich, wenn neue Technologien, umfangreiche Verarbeitung, systematische Überwachung, sensible Daten oder erhebliche automatisierte Entscheidungen vorliegen.
- Der Prozess besteht aus sieben Schritten: Identifizierung, Notwendigkeit/Verhältnismäßigkeit, Meinung der Stakeholder, Risikoidentifizierung, Bewertung, Maßnahme, Genehmigung/Überprüfung.
- Risiken werden anhand einer Wahrscheinlichkeits-Auswirkungs-Matrix priorisiert; Kritische/hohe Risiken werden nicht ohne Vorkehrungen akzeptiert.
- DPIA tötet das Projekt nicht, es macht es sicher; Es handelt sich um ein lebendiges Dokument, das bei Änderungen in der Verarbeitung aktualisiert werden muss.
Anwendungsaufgabe
Wählen Sie einen Einsatz von KI, den Ihr Unternehmen möglicherweise nutzt und der ein hohes Risiko birgt (z. B. Rekrutierungsunterstützung, Verhaltensverfolgung oder Kreditbewertung). Überlegen Sie zunächst, ob eine DSFA bei fünf Auslösern erforderlich ist. Führen Sie dann eine Mini-DSFIA für diesen Zweck durch: Beschreiben Sie die Verarbeitung, listen Sie mindestens sechs mögliche Schäden für Einzelpersonen auf, bewerten Sie jeden Schaden in der Wahrscheinlichkeits-Auswirkungs-Matrix und weisen Sie Priorität zu. Entwerfen Sie drei Minderungsmaßnahmen für zwei kritische und hohe Risiken und schätzen Sie das Restrisikoniveau nach der Maßnahme ab. Beachten Sie abschließend, wann diese DSFA aktualisiert werden muss.
Checkliste
- [ ] Ich habe die DPIA-Anforderung anhand von fünf Auslösern bewertet.
- [ ] Ich habe die Verarbeitung definiert (Daten, Zweck, Umfang, Ablauf).
- [ ] Ich habe Notwendigkeit und Verhältnismäßigkeit in Frage gestellt.
- [ ] Ich habe die möglichen Schäden für Einzelpersonen aufgelistet.
- [ ] Ich habe die Risiken in der Wahrscheinlichkeits-Auswirkungs-Matrix priorisiert.
- [ ] Ich habe Abhilfemaßnahmen für kritische/hohe Risiken entworfen.
- [ ] Ich habe nun das Risiko dokumentiert und die Prüfbedingungen festgelegt.