1.2.2 KI-Training/Modellierung
Steht ein Datenbestand zur Verfügung, mit dem das KI-Modell trainiert werden darf (siehe dazu Kapitel 1.2.1), ist Folgendes zu prüfen:
Nr | Frage | Antwortoptionen | Erläuterung |
1 | Sind die Trainingsdaten personenbezogen? Art 4 Z 1 DSGVO | ja nein | Sind die Trainingsdaten keine personenbezogenen Daten, kann die Prüfung für die KI-Entwicklungsphase hinsichtlich der Trainingsdaten hier beendet werden. |
2 | Sind die Validierungs- und Testdaten personenbezogen? Art 4 Z 1 DSGVO | ja nein | Sind die Validierungs- und Testdaten keine personenbezogenen Daten, kann die Prüfung für die KI-Entwicklungsphase hinsichtlich der Validierungs- und Testdaten hier beendet werden. |
3 | Können die Rechte auf Auskunft und Datenportabilität ausgeübt werden? Art 15 und 20 DSGVO | ja Nein oder nicht vollständig, weil die Daten für die KI-Entwicklung pseudonymisiert werden und mit den Stammdaten der betroffenen Personen nicht verknüpft sind. | Gemäß Art 11 DSGVO ist der Verantwortliche nicht verpflichtet, betroffene Personen zu identifizieren, wenn die Identifizierung dieser Personen für die Zwecke der Verarbeitung nicht (mehr) erforderlich ist und dafür die Aufbewahrung, Einholung oder Verarbeitung zusätzlicher Informationen erforderlich wäre. Für die Re-Identifizierung eines pseudonymisierten Datensatzes kann die Aufbewahrung oder Verarbeitung personenbezogener Daten erforderlich sein. In solchen Fällen kann ggf die Auskunftserteilung bzw Datenübertragung entfallen, weil dafür die Rücknahme der Pseudonymisierung erforderlich wäre. Es sollte jedoch dokumentiert werden, die Daten welcher Personen und welche Datenkategorien in den pseudonymisierten Datenbestand eingeflossen sind. Anhand dieser Dokumentation kann die Auskunft über solche Daten, die für einen anderen Zweck noch verarbeitet werden, erteilt werden. |
4 | Können die Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerruf und Widerspruch ausgeübt werden? Art 7 Abs 2 sowie Art 16, 17, 18 und 21 DSGVO | ja nein | Kann eine Betroffenenanfrage mit jenen Daten der betroffenen Person verknüpft werden, die in die Entwicklung eingeflossen sind, ist der Betroffenenanfrage grundsätzlich zu entsprechen. |
5 | Werden mit dem KI-Modell bzw KI-System neue personenbezogene Daten generiert? | ja nein | Für neu generierte Daten trifft den Entwickler des KI-Modells die Informationspflicht gemäß Art 14 DSGVO. Diese Informationspflicht kann unter den Voraussetzungen des Art 14 Abs 5 DSGVO entfallen, insb wenn die Information der betroffenen Personen einen unverhältnismäßigen Aufwand erfordern würde. |
6 | Erzeugt das KI-Modell die Grundlage für automatisierte Entscheidungen? Art 22 DSGVO | ja nein | Achtung: Führen die Ergebnisse zu automatisierten Entscheidung iSd Art 22 DSGVO kann uU der Anbieter des KI-Systems bzw KI-Modells zur Auskunftserteilung verpflichtet sein. Die Auskunftspflicht umfasst ua eine präzise und verständliche Erläuterung der Funktionsweise des Mechanismus der automatisierten Entscheidungsfindung und des Ergebnisses zu dem diese Entscheidung geführt hat. Siehe Register 4, Kapitel 3. |
7 | Wurde eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt? Art 35 DSGVO | ja Nein, zB weil personenbezogene Daten weitestgehend anonymisiert, synthetisiert oder pseudonymisiert und umfassende Datensicherheitsmaßnahmen ergriffen wurden, sodass kein hohes Risiko für die betroffenen Personen besteht. |
|
8 | Wurde die Datenschutzbehörde konsultiert? Art 36 DSGVO | ja Nein, zB weil die Risiken der Verarbeitung durch angemessene Sicherheitsmaßnahmen und die DSFA ausgeglichen werden konnten. | Die so genannte vorherige Konsultation der Aufsichtsbehörde (in Österreich ist das in der Regel die Datenschutzbehörde) ist nur bei einem hohen Risiko der Datenverarbeitung erforderlich. |
