{"id":45299,"date":"2026-09-11T09:00:55","date_gmt":"2026-09-11T07:00:55","guid":{"rendered":"https:\/\/2b-advice.com\/?p=45299"},"modified":"2026-09-10T12:01:08","modified_gmt":"2026-09-10T10:01:08","slug":"dsfa-automatica-trigger-ki-caso-duso-governance-dellia","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2026\/09\/11\/automatische-dsfa-trigger-ki-use-case-ai-governance\/","title":{"rendered":"Quando un caso d'uso dell'IA dovrebbe attivare automaticamente una verifica DSFA?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\n

Automatische DSFA-Trigger bei KI-Use-Cases: Anforderungen an die Datenschutzpr\u00fcfung<\/h1>\n\n

Kurzantwort<\/h2>\n\n

Eine Pr\u00fcfung der DSFA-Erforderlichkeit sollte automatisch angesto\u00dfen werden, wenn ein KI-Use-Case personenbezogene Daten verarbeitet und zus\u00e4tzliche Risikofaktoren vorliegen. Dazu geh\u00f6ren insbesondere sensible Daten, Besch\u00e4ftigtendaten, Profiling, automatisierte Bewertungen, erheblicher Entscheidungseinfluss, systematische \u00dcberwachung, neue Technologien, gro\u00dfe Datenmengen oder besonders schutzbed\u00fcrftige Betroffenengruppen. Auch eine hohe Risikoklassifizierung im Governance-Prozess kann Anlass f\u00fcr eine vertiefte Pr\u00fcfung sein.<\/p>\n\n

Ein solcher Trigger ist jedoch von der Entscheidung \u00fcber die Durchf\u00fchrung einer vollst\u00e4ndigen Datenschutz-Folgenabsch\u00e4tzung zu unterscheiden. Er er\u00f6ffnet zun\u00e4chst den Datenschutzpr\u00fcfpfad. Ob eine DSFA erforderlich ist, ist anschlie\u00dfend anhand der konkreten Verarbeitung zu bewerten und zu dokumentieren.<\/p>\n\n

F\u00fcr Unternehmen besteht der organisatorische Nutzen darin, dass die Pr\u00fcfung an festgelegte Angaben zum KI-Use-Case ankn\u00fcpft und weniger davon abh\u00e4ngt, ob einzelne Beteiligte den Pr\u00fcfbedarf rechtzeitig erkennen.<\/p>\n\n

Datenschutzpr\u00fcfung bereits bei der Erfassung des KI-Use-Cases vorsehen<\/h2>\n\n

Wird der DSFA-Bedarf ausschlie\u00dflich im Rahmen manueller Abstimmungen ermittelt, h\u00e4ngt die rechtzeitige Einbindung des Datenschutzes wesentlich vom Informationsstand der beteiligten Personen ab. Der Fachbereich benennt m\u00f6glicherweise zun\u00e4chst nur das eingesetzte Tool, w\u00e4hrend personenbezogene Daten, Profiling oder Auswirkungen auf Besch\u00e4ftigte erst im weiteren Projektverlauf bekannt werden.<\/p>\n\n

Auch der Einfluss eines KI-Systems auf Entscheidungen kann erst bei einer sp\u00e4teren \u00dcberpr\u00fcfung erkennbar werden. Wird die Frage nach einer Datenschutz-Folgenabsch\u00e4tzung erst kurz vor der Inbetriebnahme gestellt, ist die Datenschutzpr\u00fcfung nicht ausreichend in den Projektablauf eingebunden.<\/p>\n\n

Unternehmen sollten deshalb bereits bei der Erfassung eines KI-Use-Cases Angaben vorsehen, aus denen sich ein Pr\u00fcfbedarf ableiten l\u00e4sst. Ma\u00dfgeblich sind insbesondere die Datenarten, der Verarbeitungszweck, die Betroffenengruppen, der Systemkontext, die Risikoklasse und der Einfluss auf Entscheidungen. Auch das eingesetzte Modell oder Tool ist zu ber\u00fccksichtigen.<\/p>\n\n

Ein darauf abgestimmter Prozess verbindet diese Angaben mit festgelegten Pr\u00fcfaufgaben. Die Einleitung der Datenschutzpr\u00fcfung wird damit zu einem Bestandteil der AI Governance.<\/p>\n\n

Datenschutzrechtlicher Pr\u00fcfma\u00dfstab nach Art. 35 DSGVO<\/h2>\n\n

Eine Datenschutz-Folgenabsch\u00e4tzung ist nach Art. 35 DSGVO durchzuf\u00fchren, wenn eine Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat. Zu ber\u00fccksichtigen sind die Art, der Umfang, die Umst\u00e4nde und die Zwecke der Verarbeitung. Die Vorschrift hebt dabei insbesondere die Verwendung neuer Technologien hervor. EUR-Lex<\/a><\/p>\n\n

Bei KI-Use-Cases l\u00e4sst sich dieser Pr\u00fcfbedarf regelm\u00e4\u00dfig nicht aus der Bezeichnung der Anwendung allein ableiten. Ein Anwendungsfall kann unterschiedliche Datenquellen, Modelle, Anbieter, Ergebnisse, Zust\u00e4ndigkeiten und Folgeprozesse miteinander verbinden. F\u00fcr die datenschutzrechtliche Einordnung ist daher der konkrete Einsatzkontext ma\u00dfgeblich.<\/p>\n\n

Ein Textassistent, der interne Formulierungen unterst\u00fctzt, ist anders zu bewerten als ein System, das hierf\u00fcr Kunden- oder Besch\u00e4ftigtendaten verarbeitet. Weitere Gesichtspunkte kommen hinzu, wenn die Anwendung Bewerbungen, Beschwerden, Risiken oder Personen priorisiert oder wenn ihre Ergebnisse in Entscheidungen \u00fcber nat\u00fcrliche Personen einflie\u00dfen.<\/p>\n\n

Die Pr\u00fcfung sollte deshalb an den Angaben ansetzen, die f\u00fcr diese Unterschiede relevant sind. Zu bestimmen ist, welche Informationen bereits bei der Erfassung des KI-Use-Cases einen Datenschutzpr\u00fcfpfad ausl\u00f6sen sollen und welche Angaben f\u00fcr die anschlie\u00dfende Bewertung ben\u00f6tigt werden.<\/p>\n\n

Abgrenzung zwischen Trigger, Screening und DSFA<\/h2>\n\n

Ein automatischer Trigger ist zun\u00e4chst ein organisatorischer Pr\u00fcfanlass. Er zeigt an, dass Angaben vorliegen, die eine n\u00e4here Bewertung des DSFA-Bedarfs rechtfertigen. Eine abschlie\u00dfende rechtliche Einordnung der Verarbeitung ist damit noch nicht verbunden.<\/p>\n\n

Im anschlie\u00dfenden DSFA-Screening wird gepr\u00fcft, ob eine vollst\u00e4ndige Datenschutz-Folgenabsch\u00e4tzung erforderlich ist. Wird dies bejaht, umfasst die DSFA insbesondere die Beschreibung der Verarbeitung, die Bewertung ihrer Notwendigkeit und Verh\u00e4ltnism\u00e4\u00dfigkeit sowie die Untersuchung der Risiken und der vorgesehenen Ma\u00dfnahmen.<\/p>\n\n

Auch der Europ\u00e4ische Datenschutzausschuss beschreibt die DPIA als einen Prozess f\u00fcr Verarbeitungen, die voraussichtlich ein hohes Risiko verursachen. Dieser Prozess dient dazu, die Verarbeitung personenbezogener Daten zu beschreiben, ihre Notwendigkeit und Angemessenheit zu bewerten sowie Risiken f\u00fcr die Rechte und Freiheiten der betroffenen Personen zu identifizieren und zu reduzieren. European Data Protection Board<\/a><\/p>\n\n

Die Automatisierung unterst\u00fctzt damit die Einleitung und Zuordnung der Pr\u00fcfung. Die fachliche Bewertung bleibt erforderlich. Der Prozess sollte so ausgestaltet sein, dass relevante Angaben zuverl\u00e4ssig zur zust\u00e4ndigen Stelle gelangen und die Entscheidung \u00fcber den weiteren Pr\u00fcfbedarf dokumentiert wird.<\/p>\n\n

Strukturierte Angaben f\u00fcr automatische DSFA-Trigger<\/h2>\n\n

Ein AI-Governance- und PIA-Prozess sollte die f\u00fcr eine Datenschutzpr\u00fcfung erforderlichen Informationen in strukturierten Feldern erfassen. Freitext kann diese Angaben erg\u00e4nzen, sollte jedoch nicht die einzige Grundlage f\u00fcr die Erkennung von Risikofaktoren sein.<\/p>\n\n

Die folgenden Bereiche kommen als organisatorische Ausl\u00f6ser f\u00fcr einen Datenschutzpr\u00fcfpfad oder ein vertieftes DSFA-Screening in Betracht.<\/p>\n\n

1. Verarbeitung personenbezogener Daten<\/h3>\n\n

Zun\u00e4chst ist zu erfassen, ob der KI-Use-Case personenbezogene Daten verarbeitet. Dabei ist die Betrachtung nicht auf die unmittelbare Eingabe durch Nutzer zu beschr\u00e4nken.<\/p>\n\n

Zu ber\u00fccksichtigen sind personenbezogene Daten aus angebundenen Systemen, personenbezogene Informationen in den erzeugten Ergebnissen sowie \u00dcbermittlungen an externe Anbieter. Ebenso sollte abgefragt werden, ob Daten f\u00fcr Training, Fine-Tuning oder die Verbesserung eines Systems verwendet und ob sie gespeichert, protokolliert oder analysiert werden.<\/p>\n\n

Wird eine Verarbeitung personenbezogener Daten angegeben, sollte zun\u00e4chst eine Datenschutzpr\u00fcfung vorgesehen werden. Daraus folgt noch keine DSFA-Pflicht. Die Information bildet jedoch die Grundlage daf\u00fcr, zus\u00e4tzliche Risikofaktoren einzuordnen und den erforderlichen Pr\u00fcfungsumfang zu bestimmen.<\/p>\n\n

2. Besondere Kategorien personenbezogener Daten<\/h3>\n\n

Ein vertiefter Pr\u00fcfbedarf kann sich ergeben, wenn besondere Kategorien personenbezogener Daten betroffen sind. Dazu geh\u00f6ren beispielsweise Gesundheitsdaten, Angaben zu politischen Meinungen oder religi\u00f6sen \u00dcberzeugungen sowie biometrische Daten zur eindeutigen Identifizierung einer nat\u00fcrlichen Person. EUR-Lex<\/a><\/p>\n\n

Bei KI-Use-Cases sind solche Daten nicht zwingend als gesonderte Eingabefelder erkennbar. Sie k\u00f6nnen in Dokumenten, Freitexten, Tickets, Beschwerden, medizinischen Unterlagen, HR-Dokumenten oder Kommunikationsverl\u00e4ufen enthalten sein und aus diesen Informationen hervorgehen.<\/p>\n\n

Die Erfassung sollte deshalb auch die Inhalte der verwendeten Quellen ber\u00fccksichtigen. Werden besondere Kategorien personenbezogener Daten festgestellt, sollte dies eine Pr\u00fcfung der DSFA-Erforderlichkeit ausl\u00f6sen. Eine Fortsetzung des Freigabeprozesses ohne Ber\u00fccksichtigung dieses Umstands w\u00fcrde dem erkannten Pr\u00fcfbedarf nicht Rechnung tragen.<\/p>\n\n

3. Besch\u00e4ftigtendaten und HR-Kontext<\/h3>\n\n

KI-Anwendungen im Besch\u00e4ftigungskontext bed\u00fcrfen einer sorgf\u00e4ltigen Einordnung. Dies gilt etwa f\u00fcr die Zusammenfassung interner Kommunikation, die Analyse von Leistungshinweisen, die Ermittlung von Schulungsbedarf, die Priorisierung von Tickets oder die Bewertung von Compliance-Hinweisen. Auch die Sortierung von Bewerbungen geh\u00f6rt zu den relevanten Anwendungsf\u00e4llen.<\/p>\n\n

Zu ber\u00fccksichtigen sind insbesondere Abh\u00e4ngigkeitsverh\u00e4ltnisse, Transparenz, Zweckbindung, m\u00f6gliche \u00dcberwachungswirkungen und Auswirkungen auf berufliche Chancen. Je nach Einsatzkontext k\u00f6nnen zudem Fragen der Mitbestimmung relevant werden.<\/p>\n\n

Bei der Erfassung sollte daher angegeben werden, ob Besch\u00e4ftigte oder Bewerber betroffen sind, ob HR-Daten verwendet werden und ob Leistungs-, Verhaltens- oder Kommunikationsdaten in die Verarbeitung einflie\u00dfen. Ebenso ist zu erfassen, ob Ergebnisse f\u00fcr Personalentscheidungen oder deren Vorbereitung genutzt werden und ob Personen bewertet, kategorisiert oder priorisiert werden k\u00f6nnen.<\/p>\n\n

Entsprechende Angaben sollten eine fr\u00fchzeitige Datenschutzpr\u00fcfung ausl\u00f6sen. Die rechtliche Bewertung des konkreten Einsatzes wird dadurch nicht vorweggenommen.<\/p>\n\n

4. Profiling und Bewertung nat\u00fcrlicher Personen<\/h3>\n\n

Die systematische Bewertung von Personen ist ein wesentlicher Gesichtspunkt bei der Pr\u00fcfung des DSFA-Bedarfs. Art. 35 Abs. 3 Buchst. a DSGVO nennt die systematische und umfassende Bewertung pers\u00f6nlicher Aspekte, die auf automatisierter Verarbeitung einschlie\u00dflich Profiling beruht und als Grundlage f\u00fcr Entscheidungen mit rechtlicher oder \u00e4hnlich erheblicher Wirkung dient. EUR-Lex<\/a><\/p>\n\n

KI-Systeme k\u00f6nnen Personen klassifizieren, Risiken bewerten, Leads priorisieren, Kundenanfragen sortieren, Bewerbungen vorbewerten oder Auff\u00e4lligkeiten erkennen. Ob daraus eine DSFA-Pflicht folgt, h\u00e4ngt von der konkreten Verarbeitung und ihren Auswirkungen ab.<\/p>\n\n

F\u00fcr die Triggerlogik sollte deshalb erfasst werden, ob Ergebnisse des Systems die Behandlung einer Person beeinflussen. Bereitet ein KI-Output eine personenbezogene Entscheidung vor oder flie\u00dft er als Bewertung, Priorisierung oder Handlungsempfehlung in diese ein, sollte eine vertiefte Pr\u00fcfung vorgesehen werden.<\/p>\n\n

5. Automatisierte Entscheidungen und erheblicher Entscheidungseinfluss<\/h3>\n\n

Die Erfassung sollte sich nicht auf die Frage beschr\u00e4nken, ob ein System vollst\u00e4ndig automatisierte Entscheidungen trifft. Auch eine Empfehlung kann f\u00fcr die betroffene Person erheblich werden, wenn sie von den entscheidenden Personen regelm\u00e4\u00dfig \u00fcbernommen wird oder die Reihenfolge, Priorit\u00e4t oder Risikoeinsch\u00e4tzung vorgibt.<\/p>\n\n

Zu pr\u00fcfen ist daher, ob das System Entscheidungen \u00fcber Personen vorbereitet, Bewertungen oder Priorisierungen erstellt und ob seine Ergebnisse in einem Entscheidungsprozess verwendet werden. Dabei ist auch zu ber\u00fccksichtigen, ob Personen schlechter gestellt werden k\u00f6nnen und ob rechtliche, wirtschaftliche, berufliche oder vergleichbar erhebliche Folgen in Betracht kommen.<\/p>\n\n

Werden solche Auswirkungen angegeben, sollte der Prozess ein vertieftes DSFA-Screening vorsehen. Die blo\u00dfe Beteiligung eines Menschen am Entscheidungsablauf beantwortet die Frage nach dem Datenschutzrisiko noch nicht.<\/p>\n\n

6. Umfang und Systematik der Verarbeitung<\/h3>\n\n

Ein begrenzter Test mit wenigen nicht sensiblen Beispieldaten unterscheidet sich von einem unternehmensweit eingesetzten KI-Prozess, der dauerhaft gro\u00dfe Datenmengen verarbeitet. F\u00fcr die Pr\u00fcfung sind deshalb Umfang, Dauer und Systematik des Einsatzes zu erfassen.<\/p>\n\n

Hierzu geh\u00f6ren die Anzahl betroffener Personen und Datens\u00e4tze, der experimentelle oder dauerhafte Charakter der Nutzung sowie ein m\u00f6glicher konzernweiter Einsatz. Ebenso ist zu ber\u00fccksichtigen, ob Daten aus mehreren Systemen kombiniert werden und ob die Verarbeitung gelegentlich, regelm\u00e4\u00dfig oder kontinuierlich erfolgt.<\/p>\n\n

Diese Angaben sollten in die Triggerlogik einflie\u00dfen, damit eine Ausweitung des Einsatzes bei der Datenschutzpr\u00fcfung ber\u00fccksichtigt werden kann.<\/p>\n\n

7. Systematische \u00dcberwachung<\/h3>\n\n

Ein weiterer Pr\u00fcfbereich betrifft die systematische \u00dcberwachung. Bei KI-Anwendungen kann diese insbesondere durch die Analyse von Nutzerverhalten, Kommunikation, Bewegungen, Aktivit\u00e4ten, Zugriffsmustern, Produktivit\u00e4t oder Sicherheitsereignissen relevant werden.<\/p>\n\n

Die Erfassung sollte deshalb nach den konkreten Verarbeitungsvorg\u00e4ngen fragen. Von Bedeutung ist, ob Verhaltensdaten analysiert, Aktivit\u00e4ten kontinuierlich erfasst, Auff\u00e4lligkeiten automatisch erkannt oder Personen und Gruppen beobachtet, bewertet oder kategorisiert werden.<\/p>\n\n

Auch die Nutzung von Daten aus Protokollen, Kommunikationssystemen oder Zugriffssystemen sollte ber\u00fccksichtigt werden. Auf diese Weise l\u00e4sst sich ein Pr\u00fcfbedarf erkennen, ohne darauf angewiesen zu sein, dass der Fachbereich den Einsatz selbst als \u00dcberwachung bezeichnet.<\/p>\n\n

8. Besonders schutzbed\u00fcrftige Betroffenengruppen<\/h3>\n\n

Neben den Datenarten ist zu ber\u00fccksichtigen, welche Personen von der Verarbeitung betroffen sind. Ein erh\u00f6htes Schutzbed\u00fcrfnis kann sich insbesondere aus Abh\u00e4ngigkeitsverh\u00e4ltnissen oder besonderen pers\u00f6nlichen Situationen ergeben.<\/p>\n\n

Als relevante Betroffenengruppen kommen beispielsweise Kinder, Patienten, Besch\u00e4ftigte, Bewerber oder Kunden in finanzieller Notlage in Betracht. Ma\u00dfgeblich bleibt der jeweilige Verarbeitungskontext.<\/p>\n\n

Die Kombination aus personenbezogenen Daten und einer besonders schutzbed\u00fcrftigen Betroffenengruppe sollte daher als Ausl\u00f6ser f\u00fcr eine Datenschutzpr\u00fcfung vorgesehen werden. F\u00fcr die anschlie\u00dfende Bewertung ist zu erl\u00e4utern, welche Auswirkungen die Verarbeitung auf diese Personen haben kann.<\/p>\n\n

9. Neue Technologien und ungekl\u00e4rter Systemkontext<\/h3>\n\n

Die Verwendung neuer Technologien ist nach Art. 35 DSGVO im Rahmen der Risikobewertung zu ber\u00fccksichtigen. Daraus folgt jedoch nicht, dass jeder KI-Einsatz bereits wegen der eingesetzten Technologie ein hohes Risiko aufweist. EUR-Lex<\/a><\/p>\n\n

F\u00fcr einen Pr\u00fcfanlass k\u00f6nnen insbesondere ein neues Tool, ein neuer Anbieter, ein anderes Modell, zus\u00e4tzliche Integrationen oder neue Datenquellen relevant sein. Gleiches gilt f\u00fcr ver\u00e4nderte Ausgaben und neue Formen automatisierter Bewertung.<\/p>\n\n

Auch fehlende Erfahrungswerte, unklare Modellgrenzen sowie offene Fragen zur Speicherung oder Weiterverwendung von Eingaben sollten erfasst werden. Sind Systemkontext oder Datenfl\u00fcsse nicht hinreichend gekl\u00e4rt, sollte der weitere Prozess eine entsprechende Pr\u00fcfung vorsehen, bevor auf dieser Grundlage eine Freigabe erteilt wird.<\/p>\n\n

Verkn\u00fcpfung von KI-Use-Case, RoPA und DSFA<\/h2>\n\n

AI Governance, das Verzeichnis der Verarbeitungst\u00e4tigkeiten und die Datenschutz-Folgenabsch\u00e4tzung erf\u00fcllen unterschiedliche Aufgaben. AI Governance beschreibt und steuert den KI-Einsatz. Das RoPA dokumentiert die Verarbeitungst\u00e4tigkeiten. Im PIA- beziehungsweise DSFA-Verfahren werden die Datenschutzrisiken bewertet.<\/p>\n\n

F\u00fcr die praktische Umsetzung sollten diese Informationen miteinander verbunden sein. Verarbeitet ein KI-Use-Case personenbezogene Daten, sollte er der entsprechenden Verarbeitungst\u00e4tigkeit im RoPA zugeordnet werden. Die dort dokumentierten Angaben k\u00f6nnen f\u00fcr das DSFA-Screening und eine gegebenenfalls erforderliche Folgenabsch\u00e4tzung genutzt werden.<\/p>\n\n

Die Ergebnisse der Bewertung sind anschlie\u00dfend in den weiteren Governance-Prozess zu \u00fcbernehmen. Ma\u00dfnahmen und Bedingungen aus der DSFA sollten bei der Freigabe des KI-Use-Cases, bei sp\u00e4teren \u00dcberpr\u00fcfungen und im Monitoring ber\u00fccksichtigt werden.<\/p>\n\n

Fehlt diese Verbindung, k\u00f6nnen unterschiedliche Dokumentationsst\u00e4nde entstehen. Eine KI-Anwendung kann bereits freigegeben sein, obwohl der DSFA-Bedarf noch nicht gepr\u00fcft wurde. Ebenso k\u00f6nnen Ma\u00dfnahmen in der DSFA dokumentiert sein, ohne im AI-Governance-Review sichtbar zu werden oder einer zust\u00e4ndigen Stelle zur \u00dcberwachung zugewiesen zu sein.<\/p>\n\n

Die Verbindung der Datens\u00e4tze und Pr\u00fcfprozesse soll sicherstellen, dass die Bewertung der Verarbeitung auch im weiteren Betrieb ber\u00fccksichtigt wird.<\/p>\n\n

Ausgestaltung eines automatisierten DSFA-Pr\u00fcfworkflows<\/h2>\n\n

Ein Trigger sollte mit einer konkreten Aufgabe, einer Zust\u00e4ndigkeit und einem dokumentierten weiteren Ablauf verbunden sein. Eine Warnmeldung allein gew\u00e4hrleistet noch nicht, dass die erforderliche Pr\u00fcfung erfolgt.<\/p>\n\n

1. Erfassung des KI-Use-Cases<\/h3>\n\n

Der Fachbereich beschreibt Zweck, Tool, Datenquellen, Betroffenengruppen, Ergebnisse, Entscheidungseinfluss und geplante Nutzung. Diese Angaben bilden die Grundlage f\u00fcr die nachfolgenden Pr\u00fcfungen.<\/p>\n\n

2. Pr\u00fcfung der Triggerbedingungen<\/h3>\n\n

Das System gleicht die strukturierten Angaben mit den festgelegten Triggerregeln ab. In Betracht kommen beispielsweise personenbezogene Daten in Verbindung mit Profiling, Besch\u00e4ftigtendaten, sensiblen Daten, erheblichem Entscheidungseinfluss, systematischer \u00dcberwachung, einer hohen Risikoklasse oder besonders schutzbed\u00fcrftigen Betroffenengruppen.<\/p>\n\n

3. Durchf\u00fchrung des DSFA-Screenings<\/h3>\n\n

Die zust\u00e4ndige Stelle erh\u00e4lt eine Aufgabe zur Pr\u00fcfung der DSFA-Erforderlichkeit. Der Datenschutzbeauftragte wird entsprechend seiner Rolle in den Pr\u00fcfprozess einbezogen.<\/p>\n\n

4. Dokumentation der Entscheidung<\/h3>\n\n

Das Ergebnis sollte mit einer Begr\u00fcndung dokumentiert werden. Erkennbar sein sollten die zugrunde gelegten Informationen, verbleibende Unsicherheiten und gegebenenfalls erforderliche Ma\u00dfnahmen. Dies gilt auch dann, wenn keine vollst\u00e4ndige DSFA durchgef\u00fchrt werden soll.<\/p>\n\n

5. Durchf\u00fchrung der DSFA<\/h3>\n\n

Ist eine DSFA erforderlich, wird der entsprechende Workflow gestartet. Dieser umfasst die Beschreibung der Verarbeitung, die Bewertung von Notwendigkeit und Verh\u00e4ltnism\u00e4\u00dfigkeit, die Untersuchung der Risiken sowie die Festlegung von Ma\u00dfnahmen. Restrisiken, Freigaben und gegebenenfalls erforderliche Eskalationen sind im Prozess zu ber\u00fccksichtigen.<\/p>\n\n

6. \u00dcbernahme der Ergebnisse<\/h3>\n\n

Ma\u00dfnahmen, Bedingungen und Anforderungen aus der DSFA werden mit dem KI-Use-Case und der betroffenen Verarbeitung verkn\u00fcpft. Sie sollten in die Freigabeanforderungen und die weitere \u00dcberwachung einflie\u00dfen.<\/p>\n\n

7. Erneute Pr\u00fcfung bei \u00c4nderungen<\/h3>\n\n

\u00c4ndern sich Datenquelle, Zweck, Modell, Anbieter, Risikoklasse oder Einsatzkontext, sollte die Triggerlogik erneut angewendet werden. Dabei ist zu pr\u00fcfen, ob die bisherige Bewertung weiterhin tr\u00e4gt oder eine Neubewertung erforderlich ist.<\/p>\n\n

Dokumentation und Nachweise<\/h2>\n\n

Damit ein automatisierter Pr\u00fcfprozess im Audit nachvollzogen werden kann, sollten die Ausl\u00f6sung, die Bewertung und die anschlie\u00dfende Umsetzung dokumentiert sein. Die Nachweise lassen sich in drei Bereiche gliedern:<\/p>\n\n