Interne Revision: Datenschutz, Informationssicherheit und KI gemeinsam prüfen

Datenschutz ist längst kein isolierter Rechtsbereich mehr. In der Unternehmenspraxis greifen Datenschutz, Informationssicherheit und Künstliche Intelligenz zunehmend ineinander. Das zeigt auch die überarbeitete Fassung des Leitfadens des Deutschen Instituts für Interne Revision zu interner Revision und Datenschutz sowie die dazugehörige Checkliste zur Prüfung der Datenschutzorganisation.

Mit der dritten Version des Leitfadens reagiert das Institut auf neue regulatorische und technologische Entwicklungen der vergangenen Jahre. Eine zentrale Neuerung ist die stärkere Integration von Datenschutz, Informationssicherheit und KI in die Prüfung. Im Fokus stehen damit nicht mehr nur formale Datenschutzanforderungen, sondern auch Wirksamkeit, Governance und die praktische Umsetzung innerhalb der Organisation.

Das Deutsche Institut für Interne Revision

Das Deutsche Institut für Interne Revision (DIIR) ist ein gemeinnütziger Verein für Fachleute der Internen Revision. Seine Mitglieder sind branchenübergreifend in Wirtschaft, Wissenschaft und Verwaltung tätig. Ziel des DIIR ist es, die Interne Revision modern und zukunftsorientiert weiterzuentwickeln sowie Menschen in diesem Bereich zu vernetzen und fachlich zu fördern.

Ein wesentlicher Teil der Arbeit erfolgt über fachliche Arbeitskreise. Der Arbeitskreis Datenschutz und Data Governance befasst sich unter anderem damit, wie datenschutzrechtliche Grundlagen innerhalb der Internen Revision gewahrt werden können und wie Datenschutz selbst zum Prüfungsgegenstand der Internen Revision wird.

In diesem Zusammenhang hat der Arbeitskreis am 27. April eine neue Version des Leitfadens zur Internen Revision und Datenschutz veröffentlicht. Der Leitfaden soll Unternehmen dabei unterstützen, ihre Datenschutzorganisation strukturiert zu prüfen und aktuelle Anforderungen aus Datenschutz, Informationssicherheit und KI-Governance stärker miteinander zu verbinden.

Worum geht es in dem Leitfaden?

Der Leitfaden gibt im ersten Kapitel eine Einführung in das Datenschutzrecht und die DSGVO. Größtenteils werden Informationssicherheit und KI im nächsten Kapitel in den Leitfaden integriert.

Schnittstelle zur Informationssicherheit

Bei der Informationssicherheit bestehen enge Bezüge zu Art. 32 DSGVO und zu Standards wie ISO 27001. Für die Interne Revision ist wichtig, welche gesetzlichen oder internen Vorgaben für die geprüften Daten gelten. Dazu können etwa das BSI-Gesetz, DORA oder interne Vorgaben zur Klassifizierung von Unternehmensinformationen gehören.

Schnittstelle zur KI

Bei der Schnittstelle zur KI steht im Vordergrund, dass für die Interne Revision unterschiedliche Prüfungsansätze entstehen. Sie kann selbst in die KI-Governance des Unternehmens eingebunden sein, aber auch KI-Rahmenwerke, einzelne KI-Systeme oder deren Auswirkungen auf Geschäftsprozesse prüfen. Dabei ist zu unterscheiden, ob KI-Systeme extern eingekauft, intern entwickelt oder als zusätzliche Funktion in bestehender Software eingesetzt werden.

Bei internen KI-Systemen müssen insbesondere Berechtigungskonzepte und Zugriffsbeschränkungen sauber übernommen werden, damit auch beispielsweise vertrauliche Informationen über das Unternehmen sicher verarbeitet werden können. Bei externen KI-Systemen ist besonders darauf zu achten, dass sensible Daten, Geschäftsgeheimnisse oder personenbezogene Daten nicht an unberechtigte Dritte gelangen. Für alle KI-gestützten Tools braucht es klare Leitplanken: keine Eingabe vertraulicher Informationen in öffentlichen KI-Systemen, Prüfung KI-generierter Ergebnisse auf Richtigkeit und Plausibilität sowie transparente Prozesse zur Weiterverwendung dieser Inhalte. Zum Einsatz von Sprachmodellen (LLMs) bei der Internen Revision und entsprechenden Anwendungsfällen bei ihrer Einbindung wird außerdem ein Fachbeitrag der DIIR zu Chancen und Herausforderungen generativer KI empfohlen.

Weitere Kapitel befassen sich mit klassischen Datenschutzthemen in der Internen Revision. Dazu gehören etwa der Personenbezug von Daten, der Umgang mit Beschäftigtendaten und die Rolle des Datenschutzbeauftragten.

Abschließend geht es um die praktische Umsetzung. Der Leitfaden behandelt den Einsatz von IT-Systemen und KI-gestützten Systemen in der Internen Revision, die Einhaltung technischer und organisatorischer Maßnahmen (TOMs) nach Art. 32 DSGVO sowie die Vorbereitung und Durchführung von Prüfungen. Dabei sind eine Abstimmung mit dem Datenschutzbeauftragten und eine saubere Dokumentation der Ergebnisse besonders wichtig.

Die Checkliste

Anknüpfend an den Leitfaden zeigt die Checkliste, wie die Datenschutzorganisation praktisch geprüft werden kann. Neben klassischen Datenschutzthemen rückt sie besonders die Schnittstellen zur Informationssicherheit und zu KI-Systemen in den Fokus. Bei IT-Systemen sollen etwa TOMs, Freigaben durch Informationssicherheits-und Datenschutzbeauftragte, Dienstleisterprüfungen, Zugriffsrechte und Änderungsprozesse überprüft werden.

Beim Einsatz von KI fragt die Checkliste unter anderem danach, ob personenbezogene oder sensible Daten verarbeitet werden, klare Zwecke und Zugriffskontrollen bestehen und ob öffentliche KI-Systeme mit Unternehmensdaten oder personenbezogenen Daten trainiert werden. Auch Drittlandtransfers, Auftragsverarbeitungsverträge und mögliche Hochrisiko-KI nach der KI-Verordnung sind zu berücksichtigen. Damit unterstützt die Checkliste die Interne Revision dabei, Datenschutz, Informationssicherheit und KI nicht getrennt, sondern als zusammenhängendes Risikofeld zu prüfen.

Fazit

Für Unternehmen können Leitfaden und Checkliste des DIIR als wichtige Orientierung dienen. Sie zeigen, dass Datenschutz, Informationssicherheit und KI auch in der Internen Revision gemeinsam betrachtet werden müssen. Wenn interne Prozesse, Risikomanagement und Compliance-Strukturen auf Ordnungsmäßigkeit, Zweckmäßigkeit und Wirtschaftlichkeit geprüft werden, lässt sich dieses Zusammenspiel nicht ausblenden.

Compliance richtig umzusetzen und den Einsatz von KI datenschutzrechtlich sowie informationssicher zu gestalten, bedeutet dabei mehr als nur die Erfüllung gesetzlicher Vorgaben. Gut etablierte Prozesse können auch Vertrauen schaffen, Risiken senken und Wettbewerbsvorteile ermöglichen. Unsere KI-Beratung unterstützt Sie dabei, KI rechtssicher in Ihrem Unternehmen zu implementieren und Good Practices wie den DIIR-Leitfaden sinnvoll für Ihre Organisation zu nutzen.