Die türkische Datenschutzbehörde hat sowohl einen Leitfaden im Frage-Antwort-Format zu generativer KI als auch ein eigenes Dokument zur Nutzung am Arbeitsplatz veröffentlicht. Prüfungen stützen sich auf diese Texte.
01. Warum das zählt
Leitfäden sind keine bindende Rechtsvorschrift, zeigen aber die Erwartung der Behörde. Beginnt eine Prüfung, folgt die Bewertung diesem Rahmen; sie praktisch als bindend zu behandeln ist die richtige Haltung.
02. Nutzung durch Mitarbeitende
Am stärksten betont wird die Eingabe personenbezogener Daten in generative KI-Werkzeuge durch Mitarbeitende. Kundenlisten, Lebensläufe, Gesundheitsangaben oder Kontaktdaten in externe Werkzeuge einzufügen ist selbst eine Verarbeitung.
03. Interne Richtlinie
Die Erwartung ist klar: Welches Werkzeug genutzt werden darf, welche Daten eingegeben werden dürfen und wer verantwortlich ist, gehört schriftlich fest. Ohne Richtlinie bleibt die Verantwortung unmittelbar beim Verantwortlichen.
04. Information und Einwilligung
Für mit KI verarbeitete personenbezogene Daten ist die Datenschutzerklärung zu aktualisieren. Die meisten bestehenden Texte decken diese Tätigkeit nicht ab; ein einzelner Satz genügt selten, Zweck und Übermittlung gehören getrennt beschrieben.
05. Technische Maßnahmen
Maskierung, Zugriffsbeschränkung, Protokollierung und Aufbewahrungsfristen. Diese vier werden in Prüfungen konkret abgefragt. Sie ergriffen zu haben zählt ebenso wie sie dokumentiert zu haben.
06. Schnelle Prüfung
Können Sie heute drei Fragen beantworten: Welche Teams nutzen welches KI-Werkzeug, welche Daten gehen dorthin, und ist diese Nutzung in Ihrer Datenschutzerklärung erfasst. Fehlt eine Antwort, ist dort Ihr Ausgangspunkt.