Datenschutz-Folgenabschätzung (DSFA)
Die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO ist eine vorab dokumentierte Risikoprüfung für Verarbeitungen mit hohem Risiko für Betroffene.
Artikel 35 DSGVO verpflichtet den Verantwortlichen, vor Beginn einer Verarbeitung eine Datenschutz-Folgenabschätzung durchzuführen, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Der Einsatz neuer Technologien ist im Gesetz ausdrücklich als Anlass genannt. Ein KI-System, das personenbezogene Daten verarbeitet, fällt häufig darunter, insbesondere wenn es Beschäftigtendaten bewertet oder Entscheidungen vorbereitet.
Die Aufsichtsbehörden veröffentlichen nach Artikel 35 Absatz 4 Listen von Verarbeitungen, für die eine Folgenabschätzung verpflichtend ist. In Deutschland hat die Datenschutzkonferenz eine solche Liste beschlossen; sie nennt unter anderem den Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten.
Inhaltlich verlangt Artikel 35 Absatz 7 mindestens eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Betroffenen und die geplanten Abhilfemaßnahmen. Bleibt nach diesen Maßnahmen ein hohes Risiko, ist nach Artikel 36 die Aufsichtsbehörde zu konsultieren. Der Datenschutzbeauftragte ist einzubeziehen.
Was das für Ihr Unternehmen bedeutet
Für die Einführung eines KI-Chats über interne Dokumente ist eine Folgenabschätzung nicht in jedem Fall verpflichtend, aber fast immer sinnvoll, weil sie die Fragen strukturiert, die ohnehin zu klären sind: Welche Daten fließen ein, wer hat Zugriff, wo werden sie verarbeitet, wie werden Fehler erkannt. Ein Anbieter, der Verarbeitungsort, Unterauftragsverarbeiter und technische Maßnahmen offenlegt, verkürzt diese Arbeit erheblich.