Überblick
Der Europäische Datenschutzausschuss (EDPB) koordiniert die Anwendung der DSGVO innerhalb der EU und gibt Leitlinien für Datenschutzaufsichtsbehörden heraus. Im Bereich Künstliche Intelligenz gewinnen strukturierte Prüfungen zunehmend an Bedeutung.
Unternehmen sollten sich daher nicht erst bei einer Anfrage der Aufsichtsbehörde mit Audit-Fragen befassen. Eine interne KI-Audit-Checkliste hilft dabei, regulatorische Schwachstellen frühzeitig zu erkennen.
Dieser Beitrag bietet eine systematische Selbstprüfung entlang zentraler Prüfbereiche:
- Rechtsgrundlage
- Zweckbindung & Datenminimierung
- Transparenz
- Betroffenenrechte
- Sicherheit
- Rechenschaftspflicht
Rechtsgrundlage
Prüffragen:
- Ist für jede KI-bezogene Verarbeitung eine konkrete Rechtsgrundlage definiert?
- Ist die Rechtsgrundlage dokumentiert?
- Liegt bei sensiblen Daten eine Ausnahme nach Art. 9 DSGVO vor?
- Ist eine Interessenabwägung bei Art. 6 Abs. 1 lit. f durchgeführt und dokumentiert?
Typischer Audit-Fokus
Unklare oder pauschale Rechtsgrundlagen sind einer der häufigsten Beanstandungspunkte.
Zweckbindung & Datenminimierung
Prüffragen:
- Ist der Trainings- und Verwendungszweck klar dokumentiert?
- Wurden nur erforderliche Daten erhoben?
- Wurde eine Zweckänderung geprüft und dokumentiert?
- Sind Löschfristen definiert?
KI-spezifische Prüfung:
- Werden Daten für Modellverbesserung weiterverwendet?
- Ist dieser Zweck transparent kommuniziert?
Transparenz & Informationspflichten
Prüffragen:
- Enthält die Datenschutzerklärung KI-spezifische Hinweise?
- Wird bei automatisierten Entscheidungen die Logik verständlich erklärt?
- Werden Drittlandtransfers offengelegt?
- Sind Speicherdauer und Empfänger klar benannt?
Verständlichkeit
Aufsichtsbehörden prüfen nicht nur Vollständigkeit, sondern auch Verständlichkeit.
Automatisierte Entscheidungen (Art. 22 DSGVO)
Prüffragen:
- Liegt eine automatisierte Einzelentscheidung vor?
- Hat die Entscheidung rechtliche oder erhebliche Auswirkungen?
- Besteht eine Möglichkeit menschlicher Überprüfung?
- Wurde eine DSFA durchgeführt?
Typische Anwendungsfelder:
- Kreditscoring
- Recruiting-KI
- Leistungsbewertung
Datenschutz-Folgenabschätzung (DSFA)
Prüffragen:
- Wurde eine DSFA-Screening-Prüfung durchgeführt?
- Wurde bei hohem Risiko eine DSFA erstellt?
- Wurde die Risikoanalyse dokumentiert?
- Wurden Schutzmaßnahmen implementiert?
Sicherheit & technische Maßnahmen
Prüffragen:
- Sind Zugriffsbeschränkungen implementiert?
- Werden Trainingsdaten verschlüsselt gespeichert?
- Sind API-Zugriffe abgesichert?
- Gibt es Logging- und Monitoring-Prozesse?
- Sind Sub-Processor vertraglich abgesichert?
Cloud-Risiken
Ungeprüfte Sub-Processor-Ketten sind ein häufiger Prüfpunkt bei KI-Diensten.
Drittlandtransfers
Prüffragen:
- Werden Daten außerhalb der EU verarbeitet?
- Besteht eine DPF-Zertifizierung?
- Wurden SCC abgeschlossen?
- Wurde ein Transfer Impact Assessment durchgeführt?
Betroffenenrechte
Prüffragen:
- Können Auskunftsanfragen effizient beantwortet werden?
- Ist eine Löschung technisch möglich?
- Können Daten aus Trainingsdatensätzen entfernt werden?
- Gibt es Prozesse zur Widerspruchsbearbeitung?
KI-spezifische Herausforderung:
- Entfernbarkeit einzelner Datenspuren aus Modellen
Rechenschaftspflicht & Dokumentation
Prüffragen:
- Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell?
- Sind KI-Systeme explizit aufgeführt?
- Sind Schulungen dokumentiert?
- Ist ein Verantwortlicher benannt?
Schnittstelle zum EU AI Act
Auch wenn diese Checkliste primär DSGVO-bezogen ist, sollten folgende Fragen ergänzt werden:
- Wurde eine AI-Act-Risikoklassifizierung durchgeführt?
- Besteht eine Hochrisiko-Einstufung?
- Ist technische Dokumentation vorhanden?
- Wurde eine Grundrechte-Folgenabschätzung geprüft?
Kompakte Selbst-Audit-Tabelle
| Prüfbereich | Status (Ja/Nein) | Maßnahmen erforderlich? |
|---|---|---|
| Rechtsgrundlage dokumentiert | ||
| DSFA durchgeführt | ||
| Transparenz vollständig | ||
| Drittlandtransfers geprüft | ||
| Sicherheitsmaßnahmen implementiert | ||
| Betroffenenrechte umsetzbar |
Typische Audit-Risiken bei KI-Systemen
| Risiko | Ursache |
|---|---|
| Fehlende Transparenz | Unklare Logikerklärung |
| Unzulässige Zweckänderung | Trainingsdaten-Nachnutzung |
| Ungeprüfte Drittlandtransfers | API-Nutzung |
| Fehlende DSFA | Hochrisiko-Scoring |
| Unklare Verantwortlichkeiten | Fehlende Governance-Struktur |
Governance-Empfehlung
Eine interne KI-Audit-Checkliste sollte:
- mindestens jährlich durchgeführt werden
- bei Systemänderungen aktualisiert werden
- interdisziplinär abgestimmt werden
Frühzeitige Selbstprüfung reduziert das Risiko formeller Beanstandungen erheblich.
Hilfe bei der Umsetzung?
Arbeiten Sie mit Creativate AI Studio zusammen, um KI-Systeme zu entwerfen, zu validieren und zu implementieren — technisch fundiert, regelkonform und produktionsbereit.
Rechtliche Klarheit gefragt?
Für spezifische Rechtsfragen zum AI Act und zur DSGVO steht Ihnen spezialisierte Rechtsberatung mit Fokus auf KI-Regulierung, Datenschutz und Compliance-Strukturen zur Verfuegung.
Unabhaengige Rechtsberatung. Keine automatisierte Rechtsauskunft. Die Plattform ai-playbook.eu bietet keine Rechtsberatung.
Nächste Schritte
- Führen Sie eine interne KI-Selbstprüfung durch.
- Dokumentieren Sie erkannte Lücken.
- Priorisieren Sie risikobehaftete Bereiche.
- Implementieren Sie fehlende Schutzmaßnahmen.
- Bereiten Sie sich strukturiert auf mögliche Behördenanfragen vor.
Hilfe bei der Umsetzung?
Arbeiten Sie mit Creativate AI Studio zusammen, um KI-Systeme zu entwerfen, zu validieren und zu implementieren — technisch fundiert, regelkonform und produktionsbereit.
Rechtliche Klarheit gefragt?
Für spezifische Rechtsfragen zum AI Act und zur DSGVO steht Ihnen spezialisierte Rechtsberatung mit Fokus auf KI-Regulierung, Datenschutz und Compliance-Strukturen zur Verfuegung.
Unabhaengige Rechtsberatung. Keine automatisierte Rechtsauskunft. Die Plattform ai-playbook.eu bietet keine Rechtsberatung.