Die niederländische Datenschutzaufsicht hat ein Selbstbewertungsinstrument zu generativen KI-Systemen bereitgestellt: ein Ablauf, der die Organisation prüfen lässt, ob angemessene Steuerungsmaßnahmen bestehen, nach welchen Kriterien ein DSGVO-konformes System ausgewählt wird, wie es in Betrieb genommen und wie seine Nutzung überwacht wird.
Warum ein solches Werkzeug jetzt gebraucht wird
Das praktische Problem dieser Monate ist nicht das Verbot: Generative KI kommt durch den Nebeneingang in die Organisation. Nicht mit einem Projekt, sondern mit einem Häkchen in einer Fachanwendung, die der Anbieter aktualisiert hat, oder mit einem Abonnement, das eine Abteilung ohne Rücksprache abgeschlossen hat. Wenn es der Datenschutzbeauftragte bemerkt, läuft die Verarbeitung seit Monaten.
Eine Selbstbewertung löst das nicht, macht es aber besprechbar: Sie gibt dem Datenschutzbeauftragten ein Dokument, das nicht wie ein persönlicher Einwand wirkt, und dem Verantwortlichen eine Reihe von Fragen, die schriftlich zu beantworten sind.
Die vier Entscheidungen, die aufgeschrieben gehören
Die Fragen kreisen um vier Momente: ob es überhaupt eine Steuerung gibt, bevor ein Werkzeug eingeführt wird; nach welchen Kriterien der Anbieter gewählt wird; unter welchen Bedingungen das System in Betrieb geht; und wer die Nutzung dauerhaft überwacht. Es sind dieselben vier Punkte, zu denen eine Prüfung Rechenschaft verlangt — und dieselben vier, zu denen üblicherweise keine Zeile geschrieben ist.
Klar gesagt: Das Werkzeug stammt von der niederländischen Aufsicht und bindet die anderen nicht. Es begründet keine Konformitätsvermutung und ersetzt die Folgenabschätzung nach Art. 35 nicht, wo sie geschuldet ist. Die Fragen aber sind nicht niederländisch: Es sind jene, die ein Datenschutzbeauftragter in Italien, Portugal oder Norwegen stellen würde.
Was man konkret damit macht
Sinnvoll ist der Einsatz als Bestandsaufnahme, nicht als Prüfung. Eine Runde E-Mails an die Mandanten mit drei Fragen — welche generativen KI-Werkzeuge laufen, wer sie genehmigt hat, welche Daten hineingehen — bringt fast immer eine Überraschung, und diese Überraschung ist der eigentliche Ausgangspunkt.
Und die Reihenfolge einhalten: Zuerst wird geklärt, ob die Verarbeitung rechtmäßig ist und eine Folgenabschätzung verlangt, danach wird der Anbieter gewählt. Der umgekehrte Weg — System gewählt, dann Bewertung zur Rechtfertigung geschrieben — verwandelt eine Pflicht am schnellsten in eine Fiktion.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
