Es sind noch zwei Wochen bis zu einer internen Audit-Frist, und Sie sind als Datenschutzbeauftragter (DSB) damit beschäftigt, Nachweise für die Überprüfung der DSGVO-Konformität (Datenschutz-Grundverordnung) eines Geschäftsbereichs zusammenzustellen. Das Unternehmen stellt einen Entwurf des Verzeichnisses von Verarbeitungstätigkeiten (gemäß Art. 30 DSGVO), einen Ordner mit Richtlinien sowie einen Ticket-Export zu Betroffenenanfragen zur Verfügung. Sie lassen diese Unterlagen durch ein internes Tool laufen und erhalten eine KI-gestützte Liste von Lücken (Gap-Liste), die auf fehlende Verarbeitungszwecke, unvollständige Empfängerkategorien und unklare Aufbewahrungsfristen hinweist. Dieses Ergebnis ist wertvoll, da es die mühsame Suche nach Dokumenten in einen strukturierten Validierungsprozess verwandelt, der sich zuweisen und nachverfolgen lässt.
Auszug aus der KI-Gap-Liste (erster Durchlauf, noch nicht validiert)
- Fehlende Rechtsgrundlage für mehrere Verarbeitungstätigkeiten im Art.-30-Verzeichnis
- Aufbewahrungsfristen nicht angegeben oder systemübergreifend inkonsistent
- Unvollständige Empfängerkategorien bei Angaben zu Dienstleistern
- Fehlender Verweis auf den Auftragsverarbeitungsvertrag (AVV) bei einem Auftragsverarbeiter
- Kein Verantwortlicher für zwei Verarbeitungstätigkeiten benannt
Berufliche Standards, denen Sie unterliegen
- Kompetenzpflicht: Sie müssen die KI-Ergebnisse hinreichend verstehen, um sie bewerten zu können, und tragen die Verantwortung für die endgültige Compliance-Einschätzung, die gegenüber dem Unternehmen oder Auditoren kommuniziert wird.
- Vertraulichkeitspflicht: Sie müssen personenbezogene Daten und vertrauliche Unternehmensdaten schützen; eine falsche Tool-Wahl oder Fehler im Umgang mit Daten können Risiken schaffen oder Meldepflichten auslösen.
- Aufsichtspflicht: Sie müssen delegierte Aufgaben überwachen – einschließlich des Einsatzes von Anbieter-Tools und der Arbeit von Mitarbeitern, die KI-Ergebnisse nutzen; Fehler fallen letztlich auf das Programm zurück, das sich auf diese Ergebnisse gestützt hat.
Die entscheidende praktische Frage in dieser Phase der Vorbereitung lautet nicht, ob KI eingesetzt werden soll. Vielmehr geht es darum, wo KI-Ergebnisse als Entscheidungshilfe oder Nachweisunterstützung dienen und wo es riskant wäre, sich ohne einen kontrollierten Validierungsschritt darauf zu verlassen. In diesem Kurs betrachten wir die KI-Gap-Liste als Instrument zur Priorisierung (Triage), das Ihre bestehenden Arbeitsabläufe beschleunigt; anschließend ergänzen wir sie um eine belastbare Validierungsebene, bevor sie als berichtspflichtige Feststellung weitergegeben wird. Sehen wir uns eine kurze KI-Gap-Liste an und ermitteln wir, welche Punkte validiert werden müssen, bevor die Liste weiterverwendet wird.
In einem funktionierenden Compliance-Workflow bewegen Sie sich zwischen Anforderungen, Kontrollen, Nachweisen und Ausnahmen. KI eignet sich besonders für Aufgaben, die große Datenmengen zur Klassifizierung erfordern, für erste Zuordnungen (Mappings) oder für Zusammenfassungen, die Ihnen bei der Entscheidung helfen, was als Nächstes geprüft werden muss. Dieses Grundmuster gilt einheitlich für verschiedene Regelwerke wie DSGVO (GDPR), UK-DSGVO, CCPA/CPRA (Datenschutzgesetze in Kalifornien), HIPAA (Gesundheitswesen) und FCPA (Korruptionsbekämpfung). Die KI erstellt einen Entwurf für die Zuordnung oder einen Risikohinweis; anschließend bestätigt der Compliance-Verantwortliche, ob es sich um eine tatsächliche Verpflichtung im jeweiligen Regelwerk handelt und ob die vorhandenen Nachweise diese erfüllen.
Jedes dieser Ergebnisse hat spezifische Grenzen hinsichtlich der Zuverlässigkeit. Eine KI-gestützte Zuordnung von Richtlinien zu Anforderungen kann beispielsweise aufzeigen, wo eine Richtlinie keine Regelung trifft, aber sie kann die Compliance nicht zertifizieren. Eine KI-gestützte Triage bei der Überwachung kann die Informationsflut (das „Rauschen“) reduzieren, aber nicht über die Wesentlichkeit entscheiden. Ein KI-gestützter Entwurf zur Kontrollbeschreibung kann die Dokumentation beschleunigen, aber nicht die Bestätigung durch den Prozesseigentümer ersetzen. Im nächsten Schritt vergleichen wir, wie sich diese Abwägungen bei einem kleinen Team im Vergleich zu einem unternehmensweiten Programm darstellen.