Daten & Datenschutz · DAT-03
Vertrauliches in öffentliche KI eingegeben
Vertrauliche Unterlagen, Kundendaten oder interne Informationen wurden in einen KI-Dienst eingegeben, den das Unternehmen dafür nicht freigegeben hat. Je nach Dienst und Vertragsart können Eingaben gespeichert, vom Personal des Anbieters eingesehen oder zum Training verwendet werden.
Erste 15 Minuten
Sofortmaßnahmen.
- Vertrag zum Zusammenfassen in einen Chatbot kopiert
- Kundenliste von einer KI auswerten lassen
- Quellcode mit Zugangsdaten zur Fehlersuche eingefügt
- Protokoll mit Personaldaten übersetzen lassen
- 01
Keine weiteren Inhalte in den Dienst eingeben und die Sitzung beenden.
- 02
Den Verlauf nicht löschen, bevor er dokumentiert ist. Screenshots der Eingaben und Antworten anfertigen.
- 03
Notieren, welcher Dienst mit welchem Konto genutzt wurde, etwa privat, kostenlos oder über eine Firmenlizenz.
- 04
Festhalten, welche Daten eingegeben wurden und ob personenbezogene Daten oder Zugangsdaten darunter waren.
- 05
Sofort melden. Ob daraus eine Meldepflicht entsteht, bewerten andere.
Melden
Wen informieren, und wie.
Wen
Datenschutz-Ansprechperson und IT-Verantwortliche gemeinsam. Bei Geschäftsgeheimnissen oder Kundendaten zusätzlich die Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Die eingegebenen Inhalte nicht erneut in Mails oder Chats kopieren, nur beschreiben.
Was bereithalten
- Welcher KI-Dienst mit welchem Konto genutzt wurde
- Welche Inhalte eingegeben wurden
- Ob personenbezogene Daten oder Zugangsdaten enthalten waren
- Wann die Eingabe erfolgte
- Ob Ergebnisse weitergegeben oder gespeichert wurden
Häufige Fehler
Nicht tun.
-
Den Verlauf sofort löschen und den Vorfall für sich behalten.
-
Davon ausgehen, dass gelöschte Eingaben auch beim Anbieter gelöscht sind.
-
Mit demselben Dienst weiterarbeiten, bis die Frage geklärt ist.
-
Eingegebene Zugangsdaten weiter verwenden.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Eingegebene Zugangsdaten und Schlüssel werden sofort gewechselt.
-
Die IT prüft die Bedingungen des Dienstes zu Speicherung und Training und beantragt, wo möglich, die Löschung beim Anbieter.
-
Waren personenbezogene Daten betroffen, bewertet die Datenschutz-Ansprechperson den Fall nach Art. 33 DSGVO.
-
Die Geschäftsführung legt fest, welche KI-Dienste für welche Daten freigegeben sind, und macht die Regel bekannt.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Eingabe ist eine Weitergabe an Dritte
Wer Inhalte in einen öffentlichen KI-Dienst eingibt, übermittelt sie an ein anderes Unternehmen. Was dort damit geschieht, regeln die Nutzungsbedingungen des Dienstes, und die unterscheiden sich stark. Bei privaten und kostenlosen Konten behalten sich Anbieter häufig vor, Eingaben zu speichern und zur Verbesserung ihrer Modelle zu verwenden. Firmenlizenzen schließen das oft vertraglich aus.
Deshalb ist die Frage nach Konto und Vertragsart in der Meldung so wichtig. Dieselbe Eingabe kann über eine freigegebene Firmenlizenz unkritisch sein und über ein privates Konto ein meldepflichtiger Vorfall.
Den Verlauf zu löschen erreicht den Anbieter nicht
Die meisten Dienste bieten an, Chatverläufe zu löschen. Das entfernt den Verlauf aus der eigenen Ansicht. Ob und wann die Daten auch beim Anbieter gelöscht werden, hängt von dessen Aufbewahrungsregeln ab.
Wer den Verlauf vor der Meldung löscht, verliert dagegen den einzigen Beleg dafür, was genau eingegeben wurde. Deshalb kommt zuerst die Dokumentation und danach die Entscheidung über Löschung und Löschantrag.
Klare Freigaben verhindern den nächsten Fall
Die meisten dieser Vorfälle entstehen aus guter Absicht. Jemand will schneller fertig werden und greift zu dem Werkzeug, das er privat kennt. Ein pauschales Verbot ändert daran wenig, solange kein freigegebenes Werkzeug zur Verfügung steht.
Wirksam ist eine kurze, bekannte Regel: welche Dienste für welche Daten zugelassen sind und wo man das nachlesen kann. Diese Regel zu setzen ist Aufgabe der Geschäftsführung.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.