Der Einsatz von KI-Systemen hat in vielen Unternehmen Einzug gehalten und auch die Nutzung in den einzelnen Abteilungen und Aufgabenbereichen wird vielfältiger. Aus den anfänglichen Gesprächspartnern im Chat wurden Projektmanager, Designer und PowerPoint-Gestalter.
Bereitstellung der Daten für die KI
Damit die Künstliche Intelligenz (KI) hier auch brauchbare Ergebnis liefern kann, wurde es notwendig, dass sich die Bereitstellung von Daten und Informationen weiterentwickeln musste. In den ersten Chats tippten die menschlichen Gesprächspartner noch die Informationen in die Eingabezeilen. Das konnte in Abhängigkeit von der eigentlichen Aufgabe zwar mühselig sein, aus datenschutzrechtlicher Sicht war es bis dahin jedoch noch einfach zu verstehen, welche Daten Eingang in die KI fanden. Im nächsten Schritt erfolgte die Bereitstellung von Informationen über das Einfügen von ganzen Dokumenten in den Chat. Mit der Eingabe stieg der Token-Verbrauch und ebenso der datenschutzrechtliche Aufwand zur Regulierung. Während es mit leeren Designfolien für die PowerPoint-Präsentation oder die Word-Vorlage im Corporate Design noch datenschutzrechtlich einfach ist, treten bei Projektplänen, Postsendungen oder Jahresberichten die datenschutzrechtlichen Grundsätze der Datenminimierung und Erforderlichkeit in den Vordergrund. Durch das gezielte Bereitstellen von Dokumenten oder deren vorheriger Schwärzung konnten hier noch händisch Maßnahmen ergriffen werden. Aber auch bis zu diesem Zeitpunkt war es noch nachvollziehbar, was den Weg in die KI fand.
Jedoch spätestens mit der Anbindung der KI-Anwendungen an unternehmenseigene Dateisysteme änderten sich die Dimensionen. Oft wird darüber gesprochen, dass Datensilos „aufgebrochen“ werden sollen und verfügbar gemacht werden müssen. Das betrifft wahlweise Berichtsammlungen, E-Mail-Ablagen, Richtlinien oder sonstige Fachliteratur. Diese sollen der KI nicht mehr händisch zur Verfügung gestellt werden. Vielmehr soll die KI bereits ein Ergebnis liefern, welches diese Informationen schon berücksichtigt, ohne dass der User explizit darauf hinweisen muss. Der User müsste nicht einmal mehr wissen, welche Informationen zur Beantwortung seiner Frage herangezogen wurden – vielmehr muss er es erfragen.
Indexierung und Vektorisierung
Während das technische Anbinden von Informationsquellen oder ein „zur Verfügung stellen“ von Datensammlungen noch nachvollziehbar sein mag, ist der im Hintergrund stattfindende Prozess der Indexierung nicht allen Anwendern bekannt.
Zur manuellen Beantwortung einer Fragestellung würde ein User seine Recherche auf die Bereiche beschränken, in der er Informationen hierzu erwarten würde. Etwaige sensible oder offensichtlich nicht zielführende Bereiche würden nicht konsultiert.
Um eine Antwort auf die Chat-Anfrage bereitzustellen, wird eine KI nicht derart gezielt auf die ihr zur Verfügung stehenden E-Mails oder Dokumentationen zugreifen, die sie bereitgestellt bekommen hat. Auch wird sie nicht entscheiden, ob es ausreichend wäre, in Richtlinien zu suchen, wenn sich die Frage auf diese Bereiche beschränken würde. Es wäre jedoch auch falsch anzunehmen, dass eine KI zu jeder Fragstellung alle ihr verfügbaren Mittel nutzt und sich über Stunden eine Antwort zusammenreimt. Vielmehr ist es der Zwischenschritt der Indexierung, welcher ihr dabei hilft, aufgrund einer strukturierten Arbeitsweise in zeitlich vertretbarem Aufwand eine passende Antwort liefern zu können.
In Abhängigkeit von der jeweiligen Anwendung und Anbindung werden die Dokumente und Dateien direkt oder durch den Einsatz weiterer Software in vollem Umfang verarbeitet. Sie werden indexiert. Hierdurch entsteht eine Art Inhaltsverzeichnis basierend auf den textlichen Inhalten. Als Zwischenschritt erfolgt vorher eine Vektorisierung, welche nicht ausschließlich Stichworte berücksichtigt, sondern bereits die Inhalte von Textabschnitten versteht und einordnet. Hierauf basierend erfolgt eine Zuordnung, welche bspw. Themen, Erstellungszeitpunkt, Ersteller und Weiteres berücksichtigt. Mit einer entsprechenden Gewichtung dieser Informationen wird eine Vektordatenbank erstellt, welche später mit der ebenfalls vektorisierten Anfrage gegenübergestellt wird. Bei übereinstimmenden Vektoren werden diese Textabschnitte und Dateien zur Beantwortung der Fragestellung herangezogen.
Man könnte sagen, die KI verschaffe sich eine Übersicht, über alle ihr zur Verfügung stehenden Informationen und eruiert die Themen anhand der Stichworte und deren Bedeutung in den Dokumenten.
Eine solche Aufbereitung der angebundenen Datenbanken wird unumgänglich sein, damit die KI zeitnahe Antworten liefern kann.
Vorherige datenschutzrechtliche Beurteilung und Dokumentation
Es handelt sich bei dieser Aufbereitung um einen Verarbeitungsschritt, welcher stattfindet, ohne dass eine einzelne Anfrage durch den User gestellt wurde. Aus datenschutzrechtlicher Sicht muss daher die Dimension des Vorgangs berücksichtigt werden. Die Grundsätze der Datenminimierung verlangen die Reduzierung der zu verarbeitenden Daten auf ein notwendiges Minimum. Ebenso sollten Daten nicht verarbeitet werden, welche für die Erfüllung des Zwecks nicht notwendig sind. Bei einer breiten Indexierung der vorhandenen Datenbestände kann kein Verantwortlicher mit Sicherheit sagen, dass die Durchsicht dieser Daten im vollen Umfang notwendig sein wird. Jedoch wird auch niemand in der Lage sein, die zur Verfügung zu stellenden Datensätze, sofern sie personenbezogenen Daten enthalten können, vorab vollständig zu überprüfen. Das Restrisiko einer nicht richtig zugeordneten Datei oder E-Mail wird sicherlich bleiben. Den Verantwortlichen wird daher empfohlen, die anzuschließenden Datenbanken vorab inhaltlich zu qualifizieren und schrittweise auf ihre KI-Geeignetheit zu überprüfen. Sofern möglich, sollten nicht notwendige Datenbestände von einer entsprechenden Verarbeitung ausgeschlossen werden, da bei Bedarf weiterhin händisch überprüfte Dokumente durch die User in den Chat eingegeben werden können. Die stufenweise Überprüfung und Bewertung der Datenbestände können somit unnötige Datenverarbeitungen verhindern.
Aus Gründen der Nachweispflicht sollten die getroffenen Überlegungen und Entscheidungsprozesse durch die Verantwortlichen dokumentiert und mit dem Datenschutzbeauftragten abgestimmt werden.
Keine Kommentare