Die „Orientierungshilfe zu empfohlenen technischen und organisatorischen Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen“ der Datenschutzkonferenz (DSK) richtet sich primär an Hersteller und Entwickler von KI-Systemen und soll dabei unterstützen, diese datenschutzkonform zu entwickeln und zu betreiben.
Die bietet eine umfassende Anleitung zur datenschutzkonformen Gestaltung von KI-Systemen und setzt auf der DSGVO sowie dem Standard-Datenschutzmodell (SDM) auf.
Die Orientierungshilfe orientiert sich an den klassischen vier Lebenszyklusphasen von KI-Systemen:
- Design (z. B. Datenauswahl, Architekturplanung)
- Entwicklung (z. B. Datenaufbereitung, Training, Validierung)
- Einführung (z. B. Softwareverteilung, Konfiguration)
- Betrieb & Monitoring (z. B. Rückkopplung, Updates, Qualitätssicherung)
Im Hinblick auf datenschutzrechtliche Grundlage sieht die Orientierungshilfe Vorgaben bzw. Empfehlungen zu den zentralen DSGVO-Grundsätzen wie Rechtsmäßigkeit, Transparenz, Datenminimierung und Zweckbindung vor. Daneben finden sich umfangreichere Empfehlungen in Bezug auf die Realisierung von Pflichten der Verantwortlichen (z. B. Datenschutz-Folgenabschätzung nach Art. 35 DSGVO) und Betroffenenrechten (z. B. Auskunft, Löschung, Widerspruch).
Mit Blick auf das von der DSK zugrunde gelegte Standard-Datenschutzmodell verfolgt die Orientierungshilfe eine Ausrichtung an den Gewährleistungszielen des SDM, welche die Anforderungen in den betroffenen Phasen strukturieren. Dies betrifft im Wesentlichen:
- Datenminimierung
- Verfügbarkeit
- Vertraulichkeit
- Integrität
- Intervenierbarkeit
- Transparenz
- Nichtverkettung
Als für die Praxis besonders relevant dürften sich die Empfehlungen und Vorgaben für technisch-organisatorische Maßnahmen (TOM) erweisen, welche wiederum auf die jeweiligen Lebenszyklusphasen ausgerichtet sind. Auch wenn die Empfehlungen naturgemäß eher allgemein gehalten sind, gibt die Orientierungshilfe gleichwohl für die Praxis hilfreiche Ansatzpunkte an die Hand:
- Designphase: Dokumentation der Datenquellen, Prüfung auf rechtmäßige Datenerhebung, Einsatz von anonymisierten oder synthetischen Daten.
- Entwicklung: Validierungsmethoden, Schutz vor Data Poisoning, Machine Unlearning.
- Einführung: Datenschutzfreundliche Voreinstellungen („Privacy by Default“), differenzierte Verteilung je nach Modelltyp.
- Betrieb: Monitoring, Rückkopplung, regelmäßige Tests, Umgang mit Updates und neuen Datenquellen.
