Warum sind bei der Nutzung von KI häufig personenbezogene Daten betroffen?
Personenbezogene Daten kommen nicht nur in den Inhalten vor, die Beschäftigte in ein KI-System eingeben. Der Begriff der personenbezogenen Daten ist relativ weit zu verstehen. Klar ist, dass Daten wie Name, Adressen, Telefonnummer, Fotos, usw. Personen identifizieren können und damit personenbezogene Daten darstellen. Darüber hinaus können aber auch technische Daten (bspw. IP-Adressen) personenbezogene Daten sein. Aber auch Daten, die für sich allein keine Person identifizierbar machen, können im Kontext mit anderen Angaben und Daten zu personenbezogenen Daten „werden“.
Welche personenbezogenen Daten fallen meist bei der Nutzung von KI an?
Neben personenbezogenen Daten, die in Prompts eingegeben werden können oder in Dateien beinhaltet sind, die in das KI-System hochgeladen werden können, können auch weitere Daten personenbezogen sein – auch dann, wenn gar nicht vorgesehen ist, das Beschäftigte personenbezogene Daten anhand der KI verarbeiten.
So sind auch Login- und Accountdaten meist personenbezogen, etwa dann, wenn man mit einer personalisierten E-Mail-Adresse angemeldet ist. Ebenso können Meta-Daten verarbeitet werden (bspw. die IP-Adresse, Zeitstempel, Geräteinformationen), die Rückschlüsse auf eine Person zulassen. Weiter können auch Prompts und der Nutzungsverlauf Rückschlüsse auf einzelne Personen zulassen, etwa aufgrund der Art der Prompts und die Themen, die immer wieder durch den Nutzer mithilfe der KI bearbeitet werden, auch wenn ein einzelner Prompt keinerlei personenbezogene Daten beinhaltet. Auch vermeintlich anonym geschilderte Sachverhalte können unter Umständen Rückschlüsse auf beteiligte Personen beinhalten.
Hieran merkt man, dass meistens mehr personenbezogene Daten durch die KI verarbeitet werden, als ursprünglich gedacht. Insbesondere sind nicht nur die Beschäftigten selbst betroffene Personen der Datenverarbeitung, aber auch ggfs. Geschäftspartner, Kunden, Dienstleister oder sonstige Ansprechpartner.
Was heißt das jetzt für den Einsatz von KI im Unternehmen?
Der Datenschutz ist umfangreich zu beachten, auch dann, wenn etwa durch eine Arbeitsanweisung oder eine Richtlinie organisatorisch ausgeschlossen ist, dass personenbezogene Daten anhand eines KI-Systems verarbeitet werden.
Dazu gehören etwa die datenschutzrechtlichen Dokumentationen, Risikoabschätzungen, Bereitstellung von Informationen (bspw. im Rahmen von Datenschutzerklärungen), und das Abschließen von Auftragsverarbeitungsverträgen mit den Anbietern der KI-Systeme. Es muss sichergestellt werden, dass die Datenverarbeitungen rechtmäßig stattfinden, also Grundsätze wie Datenminimierung, Transparenz, Zweckbindung und das Vorliegen einer Rechtgrundlage eingehalten werden können.
Ein positives Fazit:
Der Maßnahmen, die dem Datenschutz und damit dem Schutz von personenbezogenen Daten dienen, können auch andere Datenarten schützen: So sind neben personenbezogenen Daten auch Daten wie Geschäftsgeheimnisse, vertraulichen Daten von Kunden oder Geschäftspartnern, urheberrechtlich oder patentrechtlich geschützte Daten ebenfalls Daten, die sicher und kontrolliert verarbeitet werden müssen. Dazu kommt die enge Zusammenarbeit zwischen dem Datenschutz und der IT-Sicherheit.