Ein Leitfaden für den Mittelstand

Seit Monaten steht das Thema „KI“ und darauf basierende Anwendungen in vielen Lebensbereichen im Fokus. Politiker und Fachzeitschriften interessieren sich genauso für die Potenziale und Risiken wie Unternehmer und Anwender aus verschiedenen Industrien. Dem entgegen steht jedoch die weit verbreitete Sorge vor Datenschutzverstößen und IT-Sicherheitsrisiken. KI-Tools aller Art arbeiten mit externen Daten. Doch nicht immer haben KI-Unternehmen die Sicherheit der Daten in ihrer DNA. Umso verständlicher ist es, dass Mittelständler genau wissen wollen, was mit ihren Informationen geschieht. Wie gelingt also der Spagat zwischen KI-Potenzial und Datenschutz? Ein Überblick.

Dies ist ein Artikel aus unserer Print-Ausgabe 11/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Datenspeicherung-, Aufbewahrung und Verschlüsselung

Bei der Auswahl von KI-Anwendungen sollten Entscheider zunächst darauf achten, dass die Partnerunternehmen über eigene Server-Infrastrukturen verfügen und die Daten nicht an Drittanbieter wie etwa Cloud Hosting Services weitergeben. Da die beste Server-Infrastruktur jedoch hinfällig ist, wenn die Daten bei der Übertragung abgegriffen werden können, ist außerdem eine End-to-End-Verschlüsselung des Anbieters unumgänglich. Zertifizierungen, wie ISO27001 und SOC2, schaffen eine erste valide Übersicht und Bewertungsgrundlage zur generellen Datensicherheit. Wollen Mittelständler Details zur Verschlüsselung erfahren, sollten darüber hinaus spezielle Whitepapers zum Thema der Anbieter angefragt und analysiert werden. Zudem muss hinterfragt werden, was mit den Daten nach Erbringung der erfragten Leistung geschieht. Denn einige KI-Anbieter nutzen die eingespeisten Daten auch ohne klare Kennzeichnung weiterführend für das Training ihrer Tools. Bei der Auswahl des KI-Anbieters muss deshalb, sofern die Löschung der zur Verfügung gestellten Daten Priorität genießt, konkret nachgefragt werden, ob und wie die Daten weiterverarbeitet werden.

Datensicherheit in der Zusammenarbeit mit internationalen Partnern

Non-Disclosure-Agreements (NDA), zu Deutsch Geheimhaltungsvereinbarungen, sind immer dann sinnvoll, wenn mit sensiblen Daten gearbeitet wird – unabhängig vom Standort des KI-Unternehmens. Doch insbesondere in der Zusammenarbeit mit Anbietern aus Nicht-EU-Staaten kommt den NDA eine besondere Rolle zu. Denn dort greift die Datenschutz-Grundverordnung (DSGVO) nicht, findet nur auf Freiwilligkeit Berücksichtigung und es kann entsprechend kein hoher Standard an Datensicherheit gewährleistet werden.

Zum einen kann in den NDA festgehalten werden, ob und wie geteilte Daten gespeichert und genutzt werden. Zum anderen können weitläufige sicherheitsrelevante Themen abgefragt und beispielsweise eine dauerhafte Rechenschaftspflicht des Anbieters vertraglich zugesichert werden. NDA lohnen sich also immer dann, wenn die zur Verfügung gestellten Angaben zu KI-Produkten und Services keine vollumfängliche Bewertung erlauben oder überdies zusätzliche Sicherheitsnetze implementiert werden sollen.