Kundendaten und KI: Was Sie rechtmäßig in ein Modell aufnehmen können und wie Sie es beweisen

Mit Zweck beginnen

Kundendaten werden aus einem Grund gesammelt: eine Bestellung erfüllen, Unterstützung anbieten oder eine Rechnung erstellen. Im Allgemeinen erlaubt das Gesetz die Nutzung dieser Daten für diesen Zweck und für damit verbundene Zwecke. Die Verwendung von Support-Tickets, um Ihrem Support-Team schneller zu helfen, ist in der Regel mit dem Zweck vereinbar. Die Nutzung derselben Tickets zur Schulung eines Modells, das Sie an andere Unternehmen verkaufen möchten, ist es normalerweise nicht.

Daher sollten alle Beteiligten vor dem Hochladen eine einzeilige Aussage schreiben: Wir nutzen diese Daten, um X zu tun, zum Nutzen von Y. Wenn Sie dies nicht schreiben oder die Formulierung unglücklich erscheint, stoppen Sie hier. Diese Satz wird zum Anker für alles weitere.

Den rechtlichen Grund kennen

Jede Verarbeitung personenbezogener Daten benötigt eine rechtliche Grundlage. Für KI-Projekte sind die realistischen Optionen in der Regel Vertrag (die Verarbeitung ist zur Erfüllung einer Kundenanforderung erforderlich), berechtigtes Interesse (Sie haben einen echten geschäftlichen Bedarf, der nicht die Rechte des Kunden überwiegt) oder Einwilligung.

Berechtigtes Interesse ist die häufigste Grundlage und oft ohne die notwendige Arbeit beansprucht. Es erfordert eine schriftliche Abwägung: Was Sie gewinnen, was der Kunde riskiert und warum er diese Nutzung vernünftigerweise erwarten würde. Dieses Dokument kann in einem Nachmittag geschrieben werden und ist das erste, was ein Prüfer verlangen wird.

Einige Daten gehören nicht hinein

Gesundheitsinformationen, biometrische Daten, religiöse oder politische Überzeugungen, sexuelle Orientierung, Gewerkschaftsmitgliedschaft: diese sind besondere Kategorien, und die Anforderungen an ihre Verarbeitung sind viel höher. Die gleiche Vorsicht gilt für Kinderdaten und finanzielle Identifikatoren wie Kartennummern.

Die einfache Regel lautet: Es sei denn, das gesamte Projekt dient der Verarbeitung dieser Art von Daten und Sie haben eine Beratung dazu in Anspruch genommen, filtern Sie sie vor ihrem Eintreffen bei einem Modell heraus. Redaktionswerkzeuge existieren dafür. Testen Sie sie an echten Daten, denn ein Filter, der 95 % der Kartennummern erfasst, lässt immer noch die anderen 5 % durch.

Wo die Daten hingehen, ist genauso wichtig wie was sie sind

Das Senden von Kundendaten an einen KI-Anbieter macht diesen zu Ihrem Verarbeiter. Sie benötigen eine Vereinbarung über die Datenverarbeitung mit ihnen und sollten drei Klauseln genau lesen:

• Training: Verwendet der Anbieter Ihre Eingaben, um seine eigenen Modelle zu verbessern? In Geschäftskategorien ist dies normalerweise nicht der Fall. Lassen Sie es sich schriftlich bestätigen.
• Aufbewahrung: Wie lange behalten sie Ihre Aufforderungen und Ausgaben auf, und können Sie diese Frist verkürzen?
• Standort: Wo wird die Datenverarbeitung durchgeführt? Transfers außerhalb der EU benötigen ein rechtliches Mechanismus, wie eine Entscheidung über die Angemessenheit oder Standardvertragsklauseln.

Das Ausführen von Modellen auf Ihrer eigenen Infrastruktur beseitigt die meisten dieser Fragen. Es beseitigt nicht den Bedarf an Dokumentation dessen, was Sie getan haben.

Das Herausrufen ist einfacher zu verteidigen als das Training

Es gibt zwei grundlegende Möglichkeiten, einem Modell Ihre Daten zur Verfügung zu stellen. Sie können es trainieren oder feinabstimmen, sodass die Daten Teil des Modells werden. Oder Sie halten die Daten in Ihren eigenen Systemen und lassen das Modell die benötigten Informationen zum Zeitpunkt der Antwort abrufen, was normalerweise als Herausrufen bezeichnet wird.

Für Kundendaten ist das Herausrufen fast immer die sicherere Wahl. Wenn ein Kunde Sie auffordert, seine Daten zu löschen, löschen Sie den Datensatz und er ist aus jeder zukünftigen Antwort verschwunden. Das Herausrufen von Daten aus einem trainierten Modell ist in der Praxis nahezu unmöglich. Dies macht das Recht auf Vergessenwerden sehr schwierig durchzusetzen, und die Aufsichtsbehörden wissen dies.

Wie Sie beweisen können, dass Sie es richtig gemacht haben

Compliance, die nicht nachweisbar ist, zählt wenig. Halten Sie diese Aufzeichnungen und halten Sie sie aktuell:

1. Eine Aufzeichnung der Verarbeitung mit dem KI-System, den Daten, denen es verwendet, dem Zweck und der rechtlichen Grundlage.
2. Eine Bewertung der Auswirkungen des Datenschutzes. Neue Technologie in Kombination mit großen Mengen personenbezogener Daten löst fast immer eine solche Bewertung aus. Sie ist das überzeugendste Dokument, das Sie einem Prüfer vorlegen können.
3. Vertragliche Vereinbarungen mit jedem Anbieter, der mit den Daten arbeitet.
4. Protokolle zeigen, welche Daten das System betreten haben, wann und unter welcher Befugnis, sowie Beweise dafür, dass Ihre Redaktion funktioniert hat.
5. Ein verantwortlicher Eigentümer, der alle oben genannten Überprüfungen durchführt, wenn das System geändert wird.

Die EU-KI-Richtlinie fügt eigene Dokumentationspflichten hinzu, insbesondere für Systeme, die in risikoreichen Bereichen wie Einstellung oder Kredit verwendet werden. Wenn Ihre Aufzeichnungen bereits diese fünf Punkte abdecken, sind Sie auf einem guten Weg.

Die Arbeit frühzeitig erledigen

Unternehmen geraten in Schwierigkeiten, wenn das Pilotprojekt zuerst startet und die Dokumentation später rekonstruiert wird. Machen Sie es anders herum. Schreiben Sie den Zweck, wählen Sie die Grundlage, filtern Sie die Daten, unterschreiben Sie die Verträge, aktivieren Sie die Protokolle und bauen Sie dann. Es fügt höchstens ein paar Wochen hinzu und bedeutet, dass die Antwort auf "Können Sie beweisen, dass Sie es getan haben?" eine Ordner ist, nicht eine Panikaktion.

Diese Grundlagenarbeit ist ein großer Teil dessen, was wir bei Hercules A tun. Egal, ob Sie mit uns zusammenarbeiten oder nicht, erledigen Sie es, bevor die ersten Daten eingegeben werden.