Wie ist ISO 27701:2025 auf KI-Systeme anwendbar, die personenbezogene Daten verarbeiten?
Systeme der künstlichen Intelligenz verarbeiten häufig große Mengen personenbezogener Daten (PII), sei es zum Trainieren von Modellen des maschinellen Lernens, zum Treffen automatisierter Entscheidungen über Einzelpersonen oder zur Analyse von Verhaltensmustern. ISO 27701:2025 enthält keine KI-spezifischen Kontrollen, aber ihr Datenschutzrahmen gilt direkt für jedes System, das PII verarbeitet, einschließlich KI.
Folgende Anhang A Kontrollmechanismen sind insbesondere für den Datenschutz im Bereich KI relevant:
| Kontrollieren | Titel | KI-Relevanz |
|---|---|---|
| A.1.2.2 Zweck identifizieren und dokumentieren | Zweck identifizieren und dokumentieren | Erfordert eine klare Dokumentation darüber, warum personenbezogene Daten für KI-Trainingsdatensätze, Modelleingaben und -ausgaben erhoben werden. |
| A.1.2.3 Rechtsgrundlage ermitteln | Rechtsgrundlage ermitteln | Die Verarbeitung von KI-Daten muss eine gültige Rechtsgrundlage haben, was insbesondere für das Sammeln oder die Wiederverwendung von Daten für das Modelltraining wichtig ist. |
| A.1.3.11 Automatisierte Entscheidungsfindung | Automatisierte Entscheidungsfindung | Betrifft unmittelbar KI-gestützte Entscheidungen über Einzelpersonen und erfordert Schutzmaßnahmen, Transparenz und die Möglichkeit, Ergebnisse anzufechten. |
| A.1.4.2 Begrenzung der Inkasso | Beschränken Sie die Sammlung | Datenminimierung für Trainingsdatensätze: Nur die für den KI-Zweck unbedingt notwendigen personenbezogenen Daten erfassen. |
| A.1.4.5 Minimierung personenbezogener Daten | Minimierungsziele für PII | Erfordert Ziele zur Minimierung personenbezogener Daten, die direkt auf die Reduzierung unnötiger personenbezogener Daten in Trainingsdatensätzen anwendbar sind. |
| A.1.4.6 Anonymisierung und Löschung | Anonymisierung und Löschung | Anonymisierungs- und Pseudonymisierungstechniken für KI-Trainingsdaten zur Reduzierung des Datenschutzrisikos |
| A.3.27 Sicherer Entwicklungslebenszyklus | Sichere Entwicklung | Datenschutz durch Design in der KI-Systementwicklung: Sicherstellen, dass Datenschutzaspekte von Anfang an berücksichtigt werden. |
Automatisierte Entscheidungsfindung gemäß A.1.3.11 Automatisierte Entscheidungsfindung
Kontrollieren A.1.3.11 Automatisierte Entscheidungsfindung ist eine der wichtigsten Kontrollmechanismen für die KI-Governance. Sie verpflichtet Organisationen, Verarbeitungsprozesse zu identifizieren, die automatisierte Entscheidungsfindung beinhalten, sicherzustellen, dass Betroffene personenbezogener Daten über Entscheidungen automatisierter Systeme informiert werden, die sie betreffen, und Mechanismen bereitzustellen, die es Einzelpersonen ermöglichen, diese Entscheidungen anzufechten. Dies steht im Einklang mit Datenschutz Artikel 22 positioniert ISO 27701:2025 als praktischen Rahmen für die Bewältigung von Datenschutzverpflichtungen im Zusammenhang mit KI.
Datenminimierung für KI-Trainingssets
Eine der größten Herausforderungen für den Datenschutz im Bereich der KI ist die Tendenz, riesige Mengen personenbezogener Daten für das Modelltraining zu sammeln und zu speichern. Kontrollmechanismen A.1.4.2 Begrenzung der Inkasso (Einbehaltung der Sammlung) und A.1.4.5 Minimierung personenbezogener Daten (Ziele zur Minimierung personenbezogener Daten) verpflichten Organisationen, nur die für den dokumentierten Zweck tatsächlich notwendigen personenbezogenen Daten zu erheben und messbare Ziele zur Reduzierung der Nutzung personenbezogener Daten festzulegen. In der Praxis bedeutet dies, dass Organisationen prüfen sollten, ob synthetische Daten, anonymisierte Datensätze oder föderierte Lernverfahren dasselbe Ergebnis mit einem geringeren Datenschutzrisiko erzielen können.
Kontrollieren A.1.4.6 Anonymisierung und Löschung Die Anonymisierung und Löschung von Daten ist gleichermaßen wichtig. Organisationen sollten nach Möglichkeit Pseudonymisierungs- oder Anonymisierungsverfahren für Trainingsdaten anwenden und personenbezogene Daten (PII) löschen, sobald das Modell trainiert wurde und sie nicht mehr für ihren ursprünglichen Zweck benötigt werden.
Organisationen, die KI-Systeme einsetzen, sollten auch Folgendes berücksichtigen: ISO 42001 Der dedizierte Standard für KI-Managementsysteme ist ISO 42001. Während ISO 27701:2025 die Datenschutzaspekte der KI-Verarbeitung behandelt, bietet ISO 42001 einen umfassenderen Rahmen für die verantwortungsvolle Entwicklung und den Einsatz von KI. Die beiden Standards ergänzen sich effektiv.
Welche Kontrollmechanismen gewährleisten den Datenschutz bei IoT-Geräten?
Das Internet der Dinge birgt einzigartige Herausforderungen für den Datenschutz. Vernetzte Geräte wie Wearables für die Gesundheit, Smart-Home-Assistenten, industrielle Sensoren und Fahrzeugtelematiksysteme erfassen kontinuierlich personenbezogene Daten, oft in Umgebungen, in denen sich die Betroffenen der Datenerfassung möglicherweise nicht vollständig bewusst sind.
Zu den wichtigsten Datenschutzrisiken bei IoT-Geräten gehören:
- Ambient-Sammlung — Die Geräte können personenbezogene Daten von Umstehenden oder Haushaltsmitgliedern erfassen, die nicht ihre Einwilligung dazu gegeben haben.
- Datenvolumen Kontinuierliche Sensordaten ermöglichen die Erstellung detaillierter Profile von Verhalten, Standort und Gesundheitszustand.
- Begrenzte Schnittstellen Viele IoT-Geräte verfügen weder über einen Bildschirm noch über eine Benutzeroberfläche, was es schwierig macht, Datenschutzhinweise bereitzustellen oder die Einwilligung einzuholen.
- Übertragungsrisiken — Datenübertragungen von Geräten zu Cloud-Diensten können unsichere Netzwerke durchlaufen
- Kundenbindung — Die ständige Verfügbarkeit von IoT-Geräten kann, wenn sie nicht ordnungsgemäß verwaltet wird, zu einer unbegrenzten Datenspeicherung führen.
Im Gegensatz zu herkömmlichen IT-Systemen operieren IoT-Geräte häufig in unkontrollierten Umgebungen, in denen der physische Zugriff nicht eingeschränkt werden kann, Software-Updates schwierig zu implementieren sind und die schiere Anzahl der Geräte eine große Angriffsfläche bietet. Ein kompromittiertes IoT-Gerät kann personenbezogene Daten in großem Umfang offenlegen, ohne dass die betroffenen Personen dies bemerken.
ISO 27701:2025 begegnet diesen Risiken durch verschiedene Kontrollmaßnahmen:
| Kontrollieren | Titel | IoT-Anwendung |
|---|---|---|
| A.3.22 Benutzerendgeräte | Benutzerendpunktgeräte | Sicherheitsanforderungen für IoT-Geräte als Endpunkte, einschließlich Konfiguration, Zugriffskontrolle und Lebenszyklusmanagement |
| A.3.26 Einsatz von Kryptographie | Verwendung von Kryptographie | Verschlüsselung personenbezogener Daten während der Übertragung von IoT-Geräten und im Ruhezustand auf dem Gerätespeicher |
| A.1.4.10 PII Getriebesteuerung | Getriebesteuerung | Sicherung der Datenübertragung zwischen IoT-Geräten und der Verarbeitungsinfrastruktur |
| A.1.4.2 Begrenzung der Inkasso | Beschränken Sie die Sammlung | IoT-Geräte so konfigurieren, dass sie nur die für ihren angegebenen Zweck notwendigen personenbezogenen Daten erfassen. |
| A.1.4.7 Temporäre Dateien | Temporäre Dateien | Verwaltung von zwischengespeicherten oder gepufferten personenbezogenen Daten auf dem Gerätespeicher |
| A.3.19 Aufgeräumter Schreibtisch und aufgeräumter Bildschirm | Klarer Schreibtisch und klarer Bildschirm | Anzeigegeräte und Kioske, die personenbezogene Daten in gemeinsam genutzten oder öffentlichen Bereichen anzeigen können |
Starten Sie Ihre kostenlose Testversion
Möchten Sie erkunden?
Melden Sie sich noch heute für Ihre kostenlose Testversion an und nutzen Sie alle Compliance-Funktionen, die ISMS.online zu bieten hat
Wie regelt ISO 27701:2025 den Datenschutz biometrischer Daten?
Biometrische Daten, darunter Fingerabdrücke, Gesichtserkennungsvorlagen, Iris-Scans, Stimmprofile und Verhaltensbiometrie, zählen zu den sensibelsten personenbezogenen Daten, die ein Unternehmen verarbeiten kann. Gemäß DSGVO gelten biometrische Daten, die zu Identifizierungszwecken verarbeitet werden, als besondere Kategorien personenbezogener Daten (Artikel 9) und erfordern daher zusätzliche Schutzmaßnahmen.
ISO 27701:2025 enthält keine separate Kontrolle für „biometrische Daten“, aber der Rahmen bietet eine umfassende Abdeckung durch Kontrollen, die jede Phase der Verarbeitung biometrischer Daten abdecken:
Datenerhebung und Einwilligung
Die Erfassung biometrischer Daten erfordert besondere Sorgfalt bei der Zweckdokumentation und der Einholung der Einwilligung. Kontrolle A.1.2.2 Zweck identifizieren und dokumentieren Organisationen müssen klar dokumentieren, warum biometrische Daten erhoben werden. Kontrollen A.1.2.4 Einwilligung feststellen und A.1.2.5 Einwilligung einholen und protokollieren Es sollten Anforderungen festgelegt werden, anhand derer ermittelt wird, wann eine Einwilligung erforderlich ist und wie diese ordnungsgemäß dokumentiert wird. Für biometrische Daten ist fast immer eine ausdrückliche Einwilligung erforderlich.
Minimierung und Lagerung
Die Kontrollen zur Datenminimierung sind für biometrische Daten von entscheidender Bedeutung. Kontrolle A.1.4.2 Begrenzung der Inkasso (Datenerfassungsbeschränkung) stellt sicher, dass Organisationen nur die tatsächlich benötigten biometrischen Daten erfassen. Kontrolle A.1.4.5 Minimierung personenbezogener Daten (Ziele zur Minimierung personenbezogener Daten) erfordern die Festlegung spezifischer Ziele zur Reduzierung biometrischer Daten, wo immer dies möglich ist, z. B. durch Speicherung abgeleiteter Vorlagen anstelle von rohen biometrischen Bildern.
Anonymisierung und Sicherheit
Kontrollieren A.1.4.6 Anonymisierung und Löschung Behandelt Anonymisierungstechniken, die insbesondere für biometrische Daten relevant sind. Organisationen sollten prüfen, ob biometrische Vorlagen anstelle von Rohdaten verwendet werden können, ob Einweg-Hashing gespeicherte biometrische Bilder ersetzen kann und wann biometrische Daten endgültig gelöscht werden sollten. Kontrolle A.3.26 Einsatz von Kryptographie (Kryptographie) befasst sich mit der Verschlüsselung biometrischer Daten sowohl während der Übertragung als auch im Ruhezustand, was angesichts der Sensibilität dieser Datenart unerlässlich ist.
Biometrische Daten und DSGVO
Für Organisationen, die der DSGVO unterliegen, Anhang D Die ISO 27701-Kontrollen werden den Artikeln der DSGVO, einschließlich Artikel 9 über besondere Kategorien personenbezogener Daten, zugeordnet. Diese Zuordnung bietet einen strukturierten Ansatz, um nachzuweisen, dass die Verarbeitung biometrischer Daten den europäischen Datenschutzbestimmungen entspricht.
Gängige Szenarien für biometrische Daten
Organisationen sollten prüfen, inwiefern ISO 27701:2025 auf ihre spezifischen Anwendungsfälle im Bereich Biometrie anwendbar ist:
- Mitarbeiterzugangskontrolle — Fingerabdruck- oder Gesichtserkennung für den Gebäudezutritt erfordert einen Zwecknachweis (A.1.2.2 Zweck identifizieren und dokumentieren), eine rechtmäßige Grundlage (A.1.2.3 Rechtsgrundlage ermitteln(oftmals berechtigte Interessen oder vertragliche Verpflichtungen) und Verschlüsselung gespeicherter Vorlagen (A.3.26 Einsatz von Kryptographie)
- Kundenauthentifizierung — Sprach- oder Gesichtserkennung für Bank- oder Zahlungsdienste erfordert eine ausdrückliche Einwilligung (A.1.2.4 Einwilligung feststellen, A.1.2.5 Einwilligung einholen und protokollieren), Datenschutzfolgenabschätzung (A.1.2.6 Datenschutz-Folgenabschätzung) und robuste Anonymisierungsmaßnahmen (A.1.4.6 Anonymisierung und Löschung)
- Biometrie im Gesundheitswesen — Netzhautscans, Ganganalysen oder physiologische Überwachung im klinischen Umfeld erfordern strenge Beschränkungen bei der Datenerhebung (A.1.4.2 Begrenzung der Inkassosichere Übertragung (A.1.4.10 PII Getriebesteuerung) und klare Aufbewahrungsrichtlinien (A.1.4.9 Entsorgung)
- Zusammenarbeit bei der Strafverfolgung — Organisationen, die Anfragen von Behörden nach biometrischen Daten erhalten, müssen gemäß A.1.5.x Verfahren zur rechtmäßigen Bearbeitung solcher Anfragen haben.
Praktische Umsetzung in den Bereichen KI, IoT und Biometrie
Obwohl sich die spezifischen Datenschutzrisiken je nach KI-, IoT- und Biometrie-Technologie unterscheiden, bietet der Rahmen der ISO 27701:2025 einen einheitlichen Ansatz für deren Management. Organisationen sollten:
- Kartenverarbeitungsaktivitäten — Dokumentieren Sie jede Aktivität, bei der KI-, IoT- oder biometrische Systeme personenbezogene Daten verarbeiten, einschließlich Zweck, Rechtsgrundlage, Datenkategorien und Empfänger.
- Durchführung von Datenschutz-Folgenabschätzungen - Kontrolle A.1.2.6 Datenschutz-Folgenabschätzung Für Verarbeitungstätigkeiten mit erhöhtem Risiko sind Datenschutz-Folgenabschätzungen erforderlich. KI, IoT und biometrische Datenverarbeitung fallen fast immer darunter.
- Datenschutz durch Design — Kontrolle nutzen A.3.27 Sicherer Entwicklungslebenszyklus Datenschutzaspekte von Anfang an in die Konzeption und Entwicklung von KI-Modellen, IoT-Architekturen und biometrischen Systemen einzubeziehen
- Verfahren zur Einrichtung von Betroffenenrechten - Das A.1.3.x-Steuerungen Es gilt sicherzustellen, dass Einzelpersonen auf ihre Daten zugreifen, diese korrigieren und löschen können. Dies stellt besondere technische Herausforderungen für Daten dar, die in KI-Trainingsdatensätzen eingebettet oder über IoT-Netzwerke verteilt sind. Überlegen Sie, wie Sie Löschanträgen nachkommen, wenn personenbezogene Daten zum Trainieren eines Modells verwendet wurden, oder wie Sie den Zugriff auf Daten ermöglichen, die passiv von IoT-Sensoren erfasst wurden.
- Setzen Sie technische Sicherheitsmaßnahmen um - Das A.3.x gemeinsame Steuerelemente Bereitstellung einer Basislinie von Sicherheitsmaßnahmen einschließlich Kryptographie, Zugriffskontrolle, Protokollierung und Vorfallmanagement
- Überwachen und überprüfen — Neue Technologien entwickeln sich rasant. Nutzen Sie die Klausel 9 Leistungsbewertungsanforderungen, um regelmäßig zu überprüfen, ob Ihre Datenschutzmaßnahmen weiterhin wirksam sind, wenn KI-Modelle neu trainiert, die Firmware von IoT-Geräten aktualisiert oder biometrische Systeme aufgerüstet werden.
Aufbau eines technologieübergreifenden Datenschutzregisters
Organisationen, die personenbezogene Daten (PII) mithilfe verschiedener neuer Technologien verarbeiten, sollten ein einheitliches Verarbeitungsregister führen, das die jeweilige Technologieart, die verarbeiteten PII-Kategorien, die geltenden Kontrollmechanismen und Risikobewertungen erfasst. Dies ermöglicht einen umfassenden Überblick über die Datenschutzverpflichtungen in KI-, IoT- und biometrischen Systemen und erleichtert so die Identifizierung von Lücken und den Nachweis der Einhaltung der Vorschriften bei Audits.
Das Register sollte Folgendes dokumentieren: die spezifische Technologie und Verarbeitungstätigkeit; die Kategorien der betroffenen personenbezogenen Daten; die Rechtsgrundlage und den Zweck; anwendbare Anhang A Kontrollmaßnahmen; der Stand der Datenschutzfolgenabschätzung; und etwaige Restrisiken nach der Umsetzung der Kontrollmaßnahmen. ISMS.online bietet ein zentrales Register, das Verarbeitungstätigkeiten direkt mit den entsprechenden Kontrollen, Risiken und Nachweisen verknüpft.
Dieser Ansatz ist besonders wertvoll bei Zertifizierungsaudits, da die Prüfer einen klaren, dokumentierten Zusammenhang zwischen Verarbeitungstätigkeiten, Risikobewertungen und den zur Risikobewältigung angewandten Kontrollmechanismen erwarten. Ein einheitliches Register belegt, dass Ihr Unternehmen Datenschutzrisiken im Zusammenhang mit neuen Technologien systematisch und nicht isoliert angeht.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Warum sollten Sie sich ISMS.online zur Verwaltung des Datenschutzes in den Bereichen KI, IoT und Biometrie?
ISMS.online bietet die Werkzeuge und die Struktur zur Verwaltung des Datenschutzes in komplexen Verarbeitungsumgebungen:
- Verarbeitungsaktivitätsregister — Dokumentation und Pflege eines vollständigen Verzeichnisses der KI-, IoT- und biometrischen Verarbeitungsaktivitäten mit Angabe des Zwecks, der Rechtsgrundlage und der Risikobewertungen
- Arbeitsabläufe zur Datenschutz-Folgenabschätzung — Strukturierte PIA-Vorlagen, die Sie durch den Bewertungsprozess für risikoreiche Verarbeitungstätigkeiten führen
- Steuerungszuordnung — Sehen Sie genau, welche Bestimmungen des Anhangs A für Ihre KI-, IoT- und Biometrieverarbeitung gelten, und verfolgen Sie den Implementierungsstatus.
- Integriertes Risikomanagement — Bewertung und Behandlung von Datenschutzrisiken im Zusammenhang mit neuen Technologien in einem zentralen Risikoregister
- Multi-Framework-Unterstützung — ISO 27701:2025 parallel verwalten ISO 42001 (KI-Management) und ISO 27001 (Informationssicherheit) auf einer Plattform mit gemeinsamen Kontrollen und Nachweisen
Häufig gestellte Fragen
Beinhaltet ISO 27701:2025 KI im Speziellen?
ISO 27701:2025 ist ein technologieneutraler Standard, der für alle Formen der Verarbeitung personenbezogener Daten, einschließlich KI, gilt. Obwohl er keine KI-spezifischen Kontrollen enthält, deckt sein Rahmenwerk die wichtigsten Datenschutzbedenken im Zusammenhang mit KI-Systemen ab: Zweckbindung, Rechtsgrundlage, automatisierte Entscheidungsfindung, Datenminimierung und Transparenz. Für eine KI-spezifische Governance sollten Organisationen auch ISO 42001 berücksichtigen, die sich mit verantwortungsvollem KI-Management befasst. Die beiden Standards ergänzen sich gut: ISO 27701 deckt den Datenschutz ab, während ISO 42001 die umfassendere KI-Governance abdeckt.
In welcher Beziehung steht ISO 27701 zu ISO 42001?
ISO 27701:2025 und ISO 42001 ergänzen sich. ISO 27701 bietet ein Managementsystem für den Schutz personenbezogener Daten (PII) bei allen Verarbeitungstätigkeiten, während ISO 42001 ein Managementsystem für die verantwortungsvolle Entwicklung und Nutzung von KI bereitstellt. Organisationen, die KI zur Verarbeitung personenbezogener Daten einsetzen, profitieren von der Implementierung beider Normen: ISO 42001 für die allgemeine KI-Governance (einschließlich ethischer Aspekte, Voreingenommenheit, Transparenz und Risiko) und ISO 27701 für die spezifischen Datenschutzverpflichtungen im Umgang der KI mit personenbezogenen Daten. ISMS.online unterstützt beide Standards auf einer einzigen Plattform.
Werden biometrische Daten gemäß ISO 27701 als Daten besonderer Kategorie behandelt?
ISO 27701:2025 selbst verwendet nicht den Begriff „besondere Kategorien personenbezogener Daten“, da dieser DSGVO-spezifisch ist. Der Standard erkennt jedoch an, dass bestimmte Arten personenbezogener Daten ein höheres Risiko bergen und zusätzliche Schutzmaßnahmen erfordern. Biometrische Daten fallen in diese Kategorie. Bei der Implementierung von ISO 27701 sollten Organisationen, die biometrische Daten verarbeiten, verstärkte Kontrollen hinsichtlich Erhebungsbeschränkung, Einwilligung, Anonymisierung und Sicherheit anwenden. Wenn Sie ebenfalls der DSGVO unterliegen, Anhang D bietet die Zuordnung zwischen den ISO 27701-Kontrollen und den Artikeln der DSGVO, einschließlich Artikel 9, der besondere Kategorien von Daten regelt.
Einen umfassenden Überblick über KI-spezifische Datenschutzrisiken finden Sie in unserem Datenschutzgovernance für KI -Guide.
SaaS-Plattformen, die personenbezogene Daten verarbeiten, stehen vor besonderen Herausforderungen – unsere Leitfaden für SaaS-Plattformen behandelt diese im Detail.
