Eine Datenschutz-Folgenabschätzung durchführen

Manche KI-Nutzungen bearbeiten Personendaten auf eine Weise, welche die betroffenen Personen stark treffen kann: Gesundheitsdaten, Daten von Mitarbeitenden für eine Beurteilung, Bearbeitung in grossem Umfang. In diesen Fällen verlangen das revidierte DSG in Artikel 22 und die DSGVO in Artikel 35 vor Beginn eine Datenschutz-Folgenabschätzung.

• Die Beschreibung der Bearbeitung: Zweck, Daten, betroffene Personen, Aufbewahrungsdauer.
• Die Bewertung der Risiken für die Persönlichkeit und die Grundrechte der betroffenen Personen.
• Die vorgesehenen Massnahmen, um diese Risiken zu verringern.
• Das Fazit: Ist das Restrisiko vertretbar?

Für die Beschreibung liefert Ihnen das Compliance-Dossier von Learnya viele Elemente: Standort der Daten und Modelle in der Schweiz, keine Verwendung der Inhalte zum Trainieren, Auftragsverarbeitungsvertrag, Selbstbedienungs-Export. Die Risiken und die Massnahmen hingegen hängen von Ihrer Nutzung ab.

Bleibt das Risiko trotz der Massnahmen hoch, sieht das revidierte DSG in Artikel 23 vor, vor Beginn den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu konsultieren. Die DSGVO sieht ebenso die Konsultation der Aufsichtsbehörde vor. In den meisten Fällen genügen bessere Massnahmen, um diesen Schritt zu vermeiden.