Künstliche Intelligenz und Softwareentwicklung

Datenschutzgrundverordnung ist einzuhalten

Auch in der Softwareentwicklung leistet die Künstliche Intelligenz einen immer wichtigeren Beitrag. Damit die Grundsätze der Datenschutzgrundverordnung eingehalten werden, sind einige Prüfungen hilfreich. Dabei stehen die Speicherbegrenzung, der Grundsatz der Transparenz und der Zweckbindungsgrundsatz im Zentrum. Diese Überprüfung aus der Perspektive des Datenschutzes sollte in einem unabhängigen, eindeutigen und einem genau dokumentierten Prozess erfolgen, der Informationen und Anhaltspunkte sammelt und bewertet.

Nachverfolgbarkeit der Entwicklung

Weil der Verantwortliche nach Art. 5 Abs. 2 DSGVO zur Rechenschaft verpflichtet ist, muss auch im Zusammenhang mit der KI-gestützten Softwareentwicklung die Nachverfolgbarkeit sichergestellt werden. Man soll nachvollziehen können, welche der eingesetzten Komponenten, die auf dem Einsatz künstlicher Intelligenz basieren, verwendet wurden. Das kann beispielsweise geschehen, indem eine Dokumentation der Versionen gepflegt wird, in der die Komponentenentwicklung erfasst wird, bei welcher die KI genutzt wurde. Sie sollte alle Parameter berücksichtigen, die eingesetzt wurden, um die KI-Komponenten zu trainieren, und alle Informationen, die nötig sind, um Änderungen und die Entwicklung der Komponenten nachverfolgen zu können.

Grundsatz der Transparenz einhalten

Der Grundsatz der Transparenz und die Verpflichtung, den Betroffenen Informationen über die Datenverarbeitung geben zu können, verlangt danach, dass nicht nur die Quellen der Daten, sondern auch die Logik, die hinter der auf KI-Grundlage entwickelten Komponente steht, jederzeit offengelegt werden können. Diese Informationen müssen aber nicht nur zugänglich sein, sondern auch erklärbar und somit verständlich. Dazu kann es beispielsweise erforderlich sein, dass eine Dokumentation der Datenquellen erfolgt. Zudem sollte gewährleistet sein, dass die Merkmale der für das Training der Komponenten eingesetzten Daten sowohl identifiziert als auch dokumentiert werden. Auch eine angemessene Begründung ihrer Verwendung ist erforderlich. Insbesondere die Logik, nach der die Komponente die Daten verarbeitet, sollte nachverfolgbar sein, ebenso die Eingabe- und Ausgabedaten.

Verhalten bei Fehlern

Kommt es zu einer fehlerhaften Performance der Komponente, die auf KI-Basis arbeitet, und könnte daraus ein Schaden für betroffene Personen entstehen, muss man auf Mechanismen zurückgreifen können, mit denen dieser Schaden auf ein Minimum begrenzt werden kann. Zusätzlich müssen Wege eingerichtet werden, über die Interessengruppen kommunizieren können. Wichtig ist auch, dass stets der jeweils aktuelle Stand der Entwicklung in alle Überlegungen einbezogen wird.

Zweckbindungsgrundsatz berücksichtigen

Sämtliche Zwecke einer KI-Komponente, zu denen die Datenverarbeitung erfolgt, müssen ausdrücklich definiert und dokumentiert werden. Dabei kommt es auf Klarheit und Rechtmäßigkeit an. Das kann durch eine qualitative und quantitative Dokumentation gewährleistet werden, die exakt beschreibt, zu welchem Zweck die Daten verarbeitet werden. Dabei sollten die Aktivitäten, Abläufe sowie die Prozesse beschrieben werden, die in diesem Kontext innerhalb der Organisation ablaufen, und der Bereich ihrer Anwendung bestimmt werden. Darüber hinaus sind die möglichen Nutzerinnen und Nutzer der KI-Komponenten zu kategorisieren. Nicht zu vernachlässigen ist zudem die Beachtung des Verhältnismäßigkeitsgrundsatzes. Wird eine Komponente, die KI-basiert ist, innerhalb eines Verarbeitungsverfahrens überprüft und wird dann eine Datenschutzfolgenabschätzung nötig, ist zu bewerten, ob die Nutzung dieser Komponente nötig und verhältnismäßig ist. Dabei wären insbesondere folgende Punkte zu klären:

• Werden im Verhältnis zu anderen Möglichkeiten Freiheiten und Rechte betroffener Personen berücksichtigt?
• Warum werden bei einer spezifischen Aufgabenstellung gerade KI-Komponenten zur Problemlösung eingesetzt und keine Alternativen?

Datenspeicherung begrenzen

Auch im Kontext der Softwareentwicklung gilt, dass die Vorgaben zur Begrenzung der Speicherzeit zu beachten sind: Die von einer KI-Komponente verwendeten Daten dürfen nur so lange gespeichert werden, wie es für die geplanten Zwecke notwendig ist.

Außerdem muss der rechtliche Hintergrund der Speicherung beleuchtet werden: Es ist festzustellen, ob und warum personenbezogene Daten gespeichert werden. Das wirkt sich auf den kompletten Lebenszyklus der KI-Komponente aus. Es müssen Verfahren implementiert werden, nach denen die Umsetzung der Fristen der Speicherung überprüft werden.

Dieses Thema möchten Sie vertiefen?

Dann kommen Sie bitte auf uns zu und tauschen sich mit unserem Expertenteam aus. Sie können einen individuellen Termin unter Telefon 09122 6937302 vereinbaren. Schreiben Sie uns auch gern eine Nachricht. Wir freuen uns auf einen wertvollen Austausch mit Ihnen!

Ihr Team von Datenschutz Prinz