Die Prüfkriterien
| Kriterium | Leitfrage |
|---|---|
| Variante | Welche Version wird genutzt: Verbraucher, Business oder Enterprise? |
| Vertrag | Gibt es einen Vertrag zur Auftragsverarbeitung? |
| Datenverwendung | Werden Eingaben zum Training genutzt, und lässt sich das abschalten? |
| Datenstandort | Wo werden Daten gespeichert und verarbeitet? |
| Zugriffsrechte | Auf welche Systeme, Dateien und Postfächer greift das Tool zu? |
| Verwaltung | Gibt es Single Sign-on, Admin-Konsole und Protokolle? |
| Mitbestimmung | Ist der Betriebsrat zu beteiligen? |
| AI Act | Fällt der geplante Einsatz unter Hochrisiko oder Transparenzpflichten? |
Drei Risikostufen für schnelle Entscheidungen
| Stufe | Merkmale | Entscheidung |
|---|---|---|
| Niedrig | Keine personenbezogenen oder vertraulichen Daten, keine Zugriffe auf Firmensysteme | Freigabe durch IT innerhalb weniger Tage |
| Mittel | Personenbezogene oder interne Daten, Business-Vertrag vorhanden | Prüfung durch IT, Datenschutz und Informationssicherheit, Entscheidung in zwei Wochen |
| Hoch | Zugriff auf Postfächer oder Dateien, Bewertung von Personen, sensible Daten | Vollständige Prüfung inklusive Betriebsrat, Folgenabschätzung bei Bedarf |
Der Ablauf in fünf Schritten
- Antrag: Kurzes Formular mit Tool, Variante, Zweck und Datenarten
- Einstufung: Zuordnung zu einer Risikostufe
- Prüfung: Kriterien je nach Stufe beantworten, Anbieterunterlagen sichten
- Entscheidung: Freigabe, Freigabe mit Auflagen oder Ablehnung mit Begründung und möglicher Alternative
- Veröffentlichung: Aufnahme in die Liste freigegebener Tools mit erlaubten Datenarten
Die Liste freigegebener Tools
Die Liste ist das wichtigste Ergebnis des Prozesses und sollte an einem Ort liegen, den alle kennen, etwa im Intranet. Für jedes Tool gehört hinein: Name und Variante, erlaubte Datenklassen, Anmeldeweg, Ansprechpartner und Datum der letzten Prüfung.
Ebenso hilfreich ist eine kurze Liste ausdrücklich nicht freigegebener Tools mit Begründung und Alternative.
Regelmäßige Überprüfung
Anbieter ändern Bedingungen, Funktionen und Standardeinstellungen häufig. Eine einmal erteilte Freigabe sollte deshalb mindestens jährlich und bei wesentlichen Änderungen überprüft werden, etwa wenn ein Tool neue Zugriffe auf Postfächer oder Agentenfunktionen erhält.