AVV-Muster
Als Grundlage für Ihre Prüfung: Leistungsumfang, Datenarten, beteiligte Dienste und die Pflichten der Vertragspartner müssen zum konkreten Projekt passen.
Per E-Mail anfordernKI sicher betreiben.
Entscheidungen sichtbar machen.
Sicherheit und Datenschutz für KI-Anwendungen von AIdea: EU-Cloud oder eigene Infrastruktur, vereinbarte Zugriffe und die projektspezifische Prüfung von AVV, TOMs und DSGVO-Anforderungen.
Vor dem ersten
produktiven Datensatz.
- EU-Hosting
- AIdea stimmt mit Ihnen eine EU-Cloud, Ihre eigene Cloud oder eigene Hardware als Betriebsumgebung ab. Anwendung, Datenbank, Modellaufrufe, Protokolle und Backups werden dabei getrennt betrachtet.
- Prüffrage: Welche Daten werden an welchem Ort verarbeitet?
- Verschlüsselung
- Übertragung, Speicherung und Sicherungskopien brauchen passende Schutzmaßnahmen. Welche Verfahren, Schlüsselverwaltung und Zugriffe zur Lösung gehören, wird für den konkreten Aufbau festgelegt.
- Prüffrage: Welche Maßnahmen sind eingerichtet und wie werden sie geprüft?
- Auftragsverarbeitung
- Wenn AIdea personenbezogene Daten in Ihrem Auftrag verarbeitet, müssen die Aufgaben und Pflichten in einer AVV geregelt werden. Dazu gehören auch die beteiligten Dienste und die technischen und organisatorischen Maßnahmen.
- Prüffrage: Passen Vertrag, tatsächliche Verarbeitung und Verantwortlichkeiten zusammen?
- Trainingsnutzung klären
- Für jedes eingesetzte Modell prüfen wir die Bedingungen zu Trainingsnutzung, Aufbewahrung und möglichem Anbieterzugriff. Entscheidend sind der gewählte Dienst, der Vertrag und die konkrete Konfiguration.
- Prüffrage: Was darf der Modellanbieter mit Eingaben und Ausgaben tun?
Rechtlicher Rahmen für Auftragsverarbeitung und Schutzmaßnahmen: DSGVO, insbesondere Artikel 28 und 32. Welche Anforderungen und Maßnahmen für Ihr Vorhaben relevant sind, wird anhand der konkreten Verarbeitung geprüft.
Zuständigkeit braucht
einen Namen.
- Ihr Fachteam
- Bestimmt die Aufgabe, wählt geeignete Inhalte aus und prüft, ob die Ergebnisse im Arbeitsalltag verwendbar sind.
- Ihre IT
- Klärt bestehende Systeme, Identitäten, Zugriffe und Infrastruktur. Aufgaben für Backups und Wiederherstellung werden ausdrücklich zugeordnet.
- AIdea
- Entwickelt die Anwendung und übernimmt die vereinbarten Aufgaben für Integration, Betrieb und Unterstützung.
- Datenschutz & IT-Sicherheit
- Prüfen mit den Projektverantwortlichen die Verarbeitung, AVV, TOMs und eingebundenen Dienste vor dem produktiven Einsatz.
Unterlagen auf den Tisch.
Fragen daneben.
Die Dokumente sind die Grundlage für die Prüfung durch Ihr Team. Fordern Sie die für Ihr Vorhaben passenden Unterlagen bei AIdea an.
Technische & organisatorische Maßnahmen (TOMs)
Fragen Sie nach den für Ihre Lösung vorgesehenen Maßnahmen zu Zugriff, Verarbeitung, Sicherung und Betrieb. Die Dokumentation ist mit dem tatsächlichen Aufbau abzugleichen.
Per E-Mail anfordernWer verarbeitet Ihre Daten?
Die beteiligten Unternehmen und ihre Standorte ergeben sich aus dem gewählten Aufbau. Die folgenden Kategorien helfen bei der Prüfung; sie sind keine Liste bereits festgelegter Unterauftragsverarbeiter. Die konkrete Zusammenstellung gehört zu den Projektunterlagen.
- Hosting-Infrastruktur
- Betreiber, Regionen für Anwendung und Backups sowie Zugriffs- und Löschregelungen klären.
- KI-Modell-Anbieter
- Falls ein externer Dienst genutzt wird: Modell, Verarbeitungsregion, Aufbewahrung, Trainingsbedingungen und Vertragsgrundlage prüfen.
- Support-Werkzeuge
- Klären, welche Inhalte für Unterstützung oder Fehleranalyse nötig sind und welche Dienste diese tatsächlich erhalten.
Ihre Fragen.
Die entscheidenden Details.
Wo liegen unsere Daten?
Das hängt vom vereinbarten Aufbau ab. Möglich sind eine EU-Cloud, Ihre eigene Cloud oder eigene Hardware. Wir betrachten dabei nicht nur den Speicherort: Auch Modellanfragen, Backups, Protokolle und Support können eigene Verarbeitungswege haben. Diese werden vor dem Einsatz geklärt.
Bleiben bei eigener Hardware alle Daten im Haus?
Eigene Hardware allein stellt das nicht sicher. Ein externer Modelldienst, eine Datensicherung oder ein Supportzugriff kann einen weiteren Datenweg öffnen. Für einen vollständig lokalen Aufbau müssen alle beteiligten Komponenten und die notwendigen Betriebsabläufe entsprechend ausgewählt und geprüft werden.
Trainiert die KI mit unseren Eingaben?
Die Antwort muss für das ausgewählte Modell und den eingesetzten Dienst geklärt werden. Wir prüfen Trainingsbedingungen und Aufbewahrung anhand der Vertragsunterlagen und Konfiguration. Eine Aussage zum Anwendungshosting reicht dafür nicht aus.
Welche AVV und welche TOMs gelten?
Die Unterlagen müssen den tatsächlichen Leistungsumfang und die Verarbeitung Ihrer Lösung abbilden. Ein Muster ist ein Ausgangspunkt für die gemeinsame Prüfung; Datenarten, Zuständigkeiten und eingebundene Dienste werden projektspezifisch konkretisiert.
Wer hat Zugriff auf unsere Inhalte?
Fachliche Rollen, technische Administration und Supportzugriffe werden getrennt festgelegt. Entscheidend ist, wer welchen Zugriff für welche Aufgabe benötigt und wie dieser vergeben, überprüft und entzogen wird. Auch Zugriffe beteiligter Anbieter gehören in diese Betrachtung.
Was passiert bei Vertragsende mit den Daten?
Exportmöglichkeiten, Löschfristen und der Umgang mit Backups werden im Projekt und im Vertrag vereinbart. Dabei ist zu klären, wer die Übergabe oder Löschung übernimmt und welche Aufbewahrungspflichten gegebenenfalls bestehen.
Legen wir Ihren
Datenweg offen.
Bringen Sie Ihre Anforderungen an Infrastruktur, Verarbeitung und Zuständigkeiten mit. Wir besprechen mit Ihnen, welcher Aufbau dazu passt.