KI-Sicherheits-Checkliste - DSGVO & Security Compliance

DSGVO & Datenschutz

0 / 0

Rechtsgrundlage gem. Art. 6 DSGVO geprüft Legitimes Interesse, Einwilligung oder Vertragserfüllung dokumentiert

Auftragsverarbeitungsvertrag (AVV) abgeschlossen Mit KI-Anbieter gem. Art. 28 DSGVO, inkl. technische und organisatorische Maßnahmen

Drittlandtransfer geprüft (falls zutreffend) Standardvertragsklauseln, Angemessenheitsbeschluss oder andere Garantien vorhanden

Datenschutz-Folgenabschätzung (DSFA) durchgeführt Bei hohem Risiko für Betroffene gem. Art. 35 DSGVO erforderlich

Informationspflichten erfüllt Betroffene über KI-Einsatz, Datenverarbeitung und Betroffenenrechte informiert

Löschkonzept definiert Aufbewahrungsfristen und Löschprozesse für Trainings- und Nutzungsdaten festgelegt

Verzeichnis von Verarbeitungstätigkeiten aktualisiert KI-Verarbeitung im internen VVT gem. Art. 30 DSGVO dokumentiert

IT-Security

0 / 0

Datenübertragung verschlüsselt (TLS 1.3+) API-Kommunikation mit KI-System erfolgt über sichere Verbindung

Authentifizierung und Zugriffssteuerung implementiert API-Keys, OAuth, Role-Based Access Control (RBAC) konfiguriert

Prompt-Injection-Schutz implementiert Input-Validierung, Content-Filtering und Sandboxing aktiv

Logging und Monitoring aktiv Alle KI-Anfragen werden protokolliert, Anomalien erkannt

Datensparsamkeit umgesetzt Nur notwendige Daten an KI-System übermittelt, PII gefiltert

Backup und Disaster Recovery geplant Ausfall-Szenarien durchdacht, Fallback-Lösungen definiert

Security-Tests durchgeführt Penetration-Testing, Vulnerability-Scans, Red-Teaming

Vertragsgestaltung

0 / 0

SLA (Service Level Agreement) definiert Verfügbarkeit, Antwortzeiten, Support-Level vertraglich fixiert

Datennutzung für Training ausgeschlossen Vertraglich festgehalten: Kundendaten dürfen nicht für Modelltraining verwendet werden

Haftung und Schadensersatz geregelt Haftungsobergrenzen, Ausschlüsse und Versicherungen geklärt

Kündigungsfristen und Exit-Strategie Datenherausgabe, Löschnachweis, Vendor-Lock-In vermieden

Audit-Rechte vereinbart Recht auf Überprüfung der Sicherheitsmaßnahmen beim Anbieter

Preismodell und Kostentransparenz Token-Kosten, Skalierung, versteckte Gebühren ausgeschlossen

Governance & Organisation

0 / 0

KI-Verantwortlichkeiten definiert Klare Rollen: wer entscheidet, wer überwacht, wer eskaliert

Nutzungsrichtlinien erstellt Intern: was darf in KI-Systeme eingegeben werden, was nicht

Schulungen durchgeführt Mitarbeiter kennen Risiken, Compliance-Anforderungen und Eskalationswege

Incident-Response-Plan vorhanden Vorgehen bei Datenlecks, Fehlausgaben oder Sicherheitsvorfällen dokumentiert

Regelmäßige Reviews geplant Quartalsweise Überprüfung von Compliance, Risiken und Verträgen

Dokumentation zentral verfügbar AVV, DSFA, Nutzungsrichtlinien, Schulungsnachweise an einem Ort

EU AI Act (ab 2026)

0 / 0

Risikoklasse des KI-Systems bestimmt Minimal, begrenzt, hoch oder inakzeptabel gem. EU AI Act Anhang III

Transparenzpflichten erfüllt (bei Hochrisiko-KI) Nutzer über KI-Einsatz informiert, Funktionsweise erklärt

Menschliche Aufsicht gewährleistet Human-in-the-Loop oder Human-on-the-Loop bei kritischen Entscheidungen

Technische Dokumentation vorhanden Modellarchitektur, Trainingsdaten, Testverfahren dokumentiert

Bias-Testing durchgeführt Diskriminierungsrisiken identifiziert und dokumentiert

Konformitätserklärung vorbereitet (Hochrisiko-KI) CE-Kennzeichnung und Konformitätsbewertung geplant

Checkliste exportieren

Speichern Sie Ihren Fortschritt oder teilen Sie die Checkliste mit Kollegen.

Rechtlicher Hinweis: Diese Checkliste dient als Orientierungshilfe und ersetzt keine individuelle juristische Beratung. Datenschutz- und Compliance-Anforderungen variieren je nach Anwendungsfall, Branche und Rechtsordnung. Bei Unsicherheiten sollten Fachanwälte für IT-Recht und Datenschutzbeauftragte konsultiert werden.