Erst die Datenflüsse verstehen
Malen Sie den Weg der Daten auf. Beispiel Chatbot: Ein Besucher tippt Namen und Telefonnummer ein. Wo landet das? Beim KI-Anbieter, bei uns, in Ihrem Postfach? Und was passiert mit dem Gesprächsverlauf? Sobald Daten einer Person zuzuordnen sind, müssen Sie genauer hinschauen.
Dienstleister prüfen
Verarbeitet ein externer Anbieter die Daten, brauchen Sie meist einen Vertrag mit ihm, etwa einen Auftragsverarbeitungsvertrag. Fragen Sie außerdem: Wo stehen die Server? Welche Subunternehmer sind beteiligt? Werden die Eingaben zum Training des Modells verwendet? Steht das nicht klar in den Unterlagen, fragen Sie schriftlich nach.
Datensparsamkeit
Geben Sie der KI nur, was sie für die Aufgabe braucht. Um eine Kundenanfrage einer Kategorie zuzuordnen, muss sie weder Geburtsdatum noch Kontonummer kennen. Wo es geht, werden Daten vorher anonymisiert oder pseudonymisiert.
Transparenz und Kennzeichnung
Wer mit einer KI schreibt oder telefoniert, soll das wissen. Zum Beispiel mit einem Hinweis wie „Ich bin ein KI-Assistent“ gleich zu Beginn. Wie die Daten verarbeitet werden, gehört außerdem in die Datenschutzhinweise.
Menschliche Kontrolle
Betrifft ein Ergebnis einen Menschen direkt, etwa eine Absage an einen Bewerber, schaut vorher jemand drüber. Halten Sie schriftlich fest, wer bei Ihnen wofür zuständig ist.
Wann Sie Rechtsberatung einbeziehen sollten
Spätestens hier sollten Sie fachkundigen Rat holen: bei besonderen Kategorien von Daten wie Gesundheitsdaten (also jede Arztpraxis und Physiotherapie), bei beruflicher Schweigepflicht und wenn Daten in Drittländer außerhalb von EU und EWR gehen.