So behandeln wir Ihre Daten in KI-Projekten.
Was wir vor dem ersten Datenaustausch klären
Bevor Sie uns Unterlagen schicken, unterschreiben wir eine Vertraulichkeitsvereinbarung (NDA). Danach klären wir gemeinsam, welche Daten der Test wirklich braucht und welche bewusst draußen bleiben. Das legen wir am ersten Tag des Discovery-Sprints fest.
- Dokumente und Felder: Welche Unterlagen braucht der Ablauf, zum Beispiel Anfragen, Stücklisten oder Lieferscheine?
- Personenbezug: Welche personenbezogenen Daten stecken darin, und lassen sie sich für den Test weglassen oder durch Beispieldaten ersetzen?
- Freigabe: Wer in Ihrem Haus gibt die Verwendung frei?
Das BSI empfiehlt in seiner Veröffentlichung zu generativen KI-Modellen eine individuelle Risikoanalyse vor der Integration und einen sparsamen Umgang mit sensiblen Daten. Diese Fragen sind unser Einstieg in diese Analyse.
Ihre Eingaben trainieren keine Modelle der Anbieter. Wir setzen nur Anbieter und Einstellungen ein, bei denen Ihre Eingaben nicht für das Training ihrer Modelle verwendet werden. Welche Einstellungen das sind, halten wir in der Dokumentation des Datenwegs fest.
Wo Ihre Daten verarbeitet werden
Wir planen die Verarbeitung in EU-Rechenzentren und schließen einen Auftragsverarbeitungsvertrag (AVV). Betreibt ein externer Anbieter die KI, besteht laut Orientierungshilfe der Datenschutzkonferenz häufig ein Auftragsverarbeitungsverhältnis, für das eine Vereinbarung nach Art. 28 Abs. 3 DSGVO nötig ist.
Den konkreten Datenweg mit Anbietern, Region, Speicherorten und Löschregeln dokumentieren wir für Ihr Vorhaben, bevor echte Daten fließen. Was protokolliert wird und wann es gelöscht wird, legen wir je Projekt fest.
Welches KI-Modell wir einsetzen
Wir sind modellagnostisch und suchen für jeden Anwendungsfall das passende Modell. Je nach Aufgabe arbeiten wir mit Claude von Anthropic oder mit Modellen von OpenAI und Mistral. New Life Digital ist Anthropic Registered Partner. An einen Anbieter gebunden sind wir dadurch nicht.
| Kriterium | Was wir im Sprint prüfen |
|---|---|
| Qualität | Wie zuverlässig das Modell Ihre echten Vorgänge löst, gemessen an vorher festgelegten Abnahmefällen |
| Kosten | Was ein Vorgang im laufenden Betrieb kostet, einschließlich Modell- und Cloud-Kosten |
| Datenweg | Region, Vertrag, Einstellungen zum Training und was protokolliert wird |
| Wechsel | Wie aufwendig ein späterer Wechsel auf ein anderes Modell wäre |
Was die KI darf und was ein Mensch entscheidet
Eingehende E-Mails und Dokumente können versteckte Anweisungen enthalten. Das BSI beschreibt dieses Risiko als Indirect Prompt Injection. OWASP nennt als Ursache zu weitreichender KI-Aktionen zu viele Funktionen, Rechte und zu viel Autonomie. Als Gegenmittel empfiehlt OWASP minimale Rechte und eine menschliche Freigabe bei Aktionen mit großer Wirkung.
- Minimale Rechte: Die KI bekommt nur die Zugriffe, die der Ablauf braucht, zum Beispiel Lesezugriff statt Schreibzugriff.
- Freigabe vor Außenwirkung: Was Ihr Haus verlässt, etwa ein Angebot oder eine Kundenantwort, gibt ein Mensch frei.
- Unsicheres sichtbar machen: Unklare Ergebnisse werden markiert und an Ihr Team gegeben.
Die Freigabe bleibt bei Ihnen
Wir legen den Datenweg offen und dokumentieren die Schutzmaßnahmen. Die rechtliche Bewertung und Freigabe treffen Ihre Datenschutzverantwortlichen oder Ihre Rechtsberatung. Eine Rechtsberatung leisten wir nicht. Die organisatorischen Prüfschritte beschreibt unser Leitfaden zu ChatGPT und Claude im Unternehmen, für Wissensdatenbanken der Ratgeber RAG-Chatbot und DSGVO.
Fragen zu Datenweg und Datenschutz
Welche KI-Modelle nutzen Sie?
Wir wählen das Modell je Aufgabe. Je nach Anforderung arbeiten wir mit Claude von Anthropic oder mit Modellen von OpenAI und Mistral. Den Ausschlag geben die Testergebnisse an Ihren Vorgängen, die Kosten im Betrieb und der Datenweg.
Werden unsere Daten zum Training von KI-Modellen genutzt?
Nein. Wir setzen nur Anbieter und Einstellungen ein, bei denen Ihre Eingaben nicht für das Training ihrer Modelle verwendet werden. Welche Einstellungen das sind, steht in der Dokumentation des Datenwegs.
Unterschreiben Sie eine Vertraulichkeitsvereinbarung?
Ja, vor dem ersten Datenaustausch. Danach legen wir fest, welche Daten der Test braucht und welche draußen bleiben.
Wo werden unsere Daten verarbeitet?
Wir planen die Verarbeitung in EU-Rechenzentren mit Auftragsverarbeitungsvertrag. Den konkreten Datenweg mit Anbietern und Region legen wir offen, bevor echte Daten fließen.
Ersetzt das die Prüfung durch unseren Datenschutzbeauftragten?
Nein. Wir dokumentieren Datenweg und Schutzmaßnahmen, damit Ihr Datenschutz sie prüfen kann. Die Freigabe treffen Ihre Datenschutzverantwortlichen oder Ihre Rechtsberatung.
Worauf wir uns stützen
Verwandte Themen
Erst der Datenweg, dann der Test.
Im kostenfreien Erstgespräch klären wir in 30 Minuten, welche Daten Ihr Ablauf braucht und welcher Datenweg passt. Lieber direkt sprechen: 0621 39990207.