Warum Datenschutz bei KI-Anwendungen mit der Architektur beginnt

Datenschutz klingt schnell nach Paragrafen, Richtlinien und Freigabeprozessen. Nach Dokumenten, die irgendwo abgelegt werden. Nach Prüfungen, die am Ende eines Projekts stattfinden.

In der Praxis beginnt Datenschutz jedoch häufig deutlich früher. Nicht erst im fertigen System. Nicht erst beim Go-live. Sondern bereits während der Planung einer technischen Lösung.

Wir möchten euch aufzeigen, wie wir Datenschutz im Projekt aktiv einbinden.

Der Moment, in dem es praktisch wird

Im Rahmen eines Projekts entwickelte PROTOS eine cloudbasierte, KI-gestützte Anwendung zur automatischen Anpassung bestehender Lebensläufe an Projektanfragen.

Ziel der Anwendung ist es, eingehende Projektanfragen automatisiert zu analysieren und daraus einen passenden CV-Vorschlag zu erzeugen. Der erstellte Vorschlag wird anschließend durch einen Mitarbeitenden fachlich geprüft und freigegeben. Die Anwendung dient dabei ausschließlich als Unterstützung des Bearbeitungsprozesses – die finale Entscheidung verbleibt jederzeit beim Menschen.

Technisch handelt es sich um eine moderne Cloud-Anwendung mit webbasiertem Frontend, Authentifizierung, Dokumenten-Upload, automatisierter Textextraktion, KI-gestützter Verarbeitung sowie strukturierter Speicherung der Ergebnisse innerhalb einer von PROTOS kontrollierten Cloud-Infrastruktur.

Auf den ersten Blick ein überschaubarer Anwendungsfall. Kein produktiver Kundendienst, kein groß angelegtes Transformationsprogramm – zunächst lediglich eine interne Lösung zur Unterstützung eines konkreten Arbeitsprozesses.

Und genau darin liegt eine typische Erkenntnis aus der Praxis.

Während der technischen Konzeption lag der Fokus zunächst auf der eigentlichen KI-Komponente. Schließlich verarbeitet das Sprachmodell die Inhalte der Lebensläufe und Projektanfragen. Intuitiv scheint genau dort auch der datenschutzrechtlich relevante Teil der Anwendung zu liegen.

Bei der gemeinsamen Betrachtung der Gesamtarchitektur zeigte sich jedoch ein anderes Bild.

Personenbezogene Daten werden bereits verarbeitet, bevor überhaupt ein Prompt an das KI-Modell übergeben wird.

Bereits die Authentifizierung der Benutzer, das Hochladen von Dokumenten, deren Speicherung sowie die automatisierte Textextraktion verarbeiten personenbezogene Informationen. Die eigentliche KI-Komponente ist lediglich ein Verarbeitungsschritt innerhalb einer deutlich umfangreicheren Architektur.

Aus einem technischen KI-Test wurde damit die Betrachtung eines vollständigen Datenflusses – und damit eine Datenschutzfrage.

Datenschutz beginnt nicht mit der KI

In diesem Fall war es gängige Praxis bei PROTOS, den Datenschutzbeauftragten frühzeitig einzubinden. Nicht, um das Projekt auszubremsen, sondern um gemeinsam zu bewerten, welche datenschutzrechtlichen Anforderungen sich aus der geplanten Architektur ergeben.

Zunächst wurde analysiert, welche personenbezogenen Daten entlang des gesamten Datenflusses verarbeitet werden. Anschließend wurde betrachtet, zu welchem Zweck diese Verarbeitung erfolgt, welche Rechtsgrundlagen einschlägig sind und welche organisatorischen sowie technischen Maßnahmen erforderlich werden.

Da der Anwendungsfall Berührungspunkte mit dem HR-Umfeld besitzt, wurden gemeinsam mit den verantwortlichen Fachbereichen außerdem bestehende vertragliche Regelungen überprüft. Gerade im Beschäftigungskontext muss sorgfältig bewertet werden, ob die bestehende Rechtsgrundlage den vorgesehenen Verarbeitungszweck abdeckt oder Anpassungen erforderlich sind.

Das Projekt konnte anschließend weitergeführt werden – allerdings nicht auf Basis von Annahmen, sondern auf Grundlage einer dokumentierten Bewertung der identifizierten Risiken und Maßnahmen.

Datenschutz betrifft die gesamte Architektur

Die technische Architektur macht deutlich, dass personenbezogene Daten an mehreren Stellen innerhalb der Anwendung verarbeitet werden.

Bereits das zentrale Authentifizierungssystem verarbeitet Benutzerdaten. Hochgeladene Dokumente werden in einem gesicherten Speicher abgelegt, automatisiert ausgelesen und anschließend durch die KI verarbeitet. Ergebnisse werden strukturiert in einer Datenbank gespeichert. Ergänzend sorgen Sicherheits-, Monitoring- und Verschlüsselungsdienste dafür, dass die Anwendung zuverlässig und nachvollziehbar betrieben werden kann.

Die eigentliche KI-Komponente bildet dabei nur einen einzelnen Baustein innerhalb des gesamten Datenflusses.
Genau deshalb beschränkt sich die Datenschutzbetrachtung nicht auf das Sprachmodell selbst, sondern umfasst sämtliche Komponenten der Cloud-Architektur.