Kleineren App-Entwicklern bei der GDPR-Compliance helfen

Die Nutzung von mobilen Apps hat in den letzten Jahren stark zugenommen. Firmen, die diese Apps entwickeln, sind oft auf Nutzerdaten angewiesen, um gezielte Werbung und personalisierte Dienste anzubieten. Datenschutzregeln wie die Datenschutz-Grundverordnung (DSGVO) sind wichtig, um zu steuern, wie Firmen mit diesen Daten umgehen. Eine zentrale Anforderung der DSGVO ist, dass Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten (RoPA) führen müssen. Dieses Verzeichnis enthält Details dazu, wie sie Daten verarbeiten, warum sie das tun und welche Arten von Daten betroffen sind.

Kleinere Unternehmen, die Apps entwickeln, stehen vor vielen Herausforderungen, wenn es darum geht, diese Regeln einzuhalten. Oft haben sie begrenzte Ressourcen und enge Zeitpläne. Um diesen Entwicklern zu helfen, Bussgelder zu vermeiden, schlagen wir eine Methode vor, um RoPA-Abschnitte aus realen Nutzererfahrungen mit der App zu erstellen. Diese Methode nutzt grosse Sprachmodelle (LLMs), um Nutzerszenarien in die benötigten RoPA-Details zusammenzufassen.

#Hintergrund

#Verzeichnis von Verarbeitungstätigkeiten (RoPA)

RoPA ist ein Dokument, das Unternehmen führen müssen, um zu zeigen, wie sie mit personenbezogenen Daten umgehen. Es muss wichtige Informationen enthalten, wie z.B. wer für die Daten verantwortlich ist, warum die Daten verarbeitet werden, mit wem die Daten geteilt werden und welche Sicherheitsmassnahmen getroffen werden.

Kleinere Unternehmen, insbesondere solche mit weniger als 250 Beschäftigten, müssen möglicherweise kein RoPA führen, wenn ihre Datenverarbeitung als geringes Risiko gilt. Allerdings ist "geringes Risiko" oft ein vager und verwirrender Begriff, und viele kleine Unternehmen verarbeiten regelmässig Daten. Ein unvollständiges RoPA kann zu hohen Bussgeldern nach DSGVO-Regeln führen. Zum Beispiel sahen sich Unternehmen, die keine ordnungsgemässe Dokumentation vorlegten, hohen Strafen ausgesetzt.

#Die Herausforderungen für kleine App-Entwickler

Kleine App-Entwickler kämpfen häufig mit den Anforderungen der DSGVO-Compliance. Viele haben nicht genug Ressourcen und keinen Zugang zu Rechtsexperten, die sie bei datenschutzrechtlichen Entscheidungen unterstützen. Zudem wird oft wenig Wert auf die Dokumentation von Verarbeitungstätigkeiten während des Entwicklungsprozesses gelegt. Studien zeigen, dass Entwickler, insbesondere in kleineren Unternehmen, häufig erst zu spät im Entwicklungszyklus an den Datenschutz denken und die Datenschutzkonzepte, an die sie sich halten müssen, nicht vollständig verstehen.

#Bestehende Lösungen und Einschränkungen

Die meisten derzeitigen Bemühungen in Bezug auf RoPA konzentrieren sich darauf, Verantwortlichkeit durch Wissensdatenbanken und semantische Modelle durchzusetzen. Es wurde jedoch nicht viel Aufmerksamkeit darauf gelegt, wie Unternehmen tatsächlich diese Verzeichnisse erstellen. Einige Studien haben vorgeschlagen, Unternehmensarchitektur (EA) zu nutzen, um den RoPA-Erstellungsprozess zu verbessern, aber viele kleine Unternehmen haben nicht die Ressourcen, um diesen Ansatz effektiv umzusetzen.

#Der vorgeschlagene Rahmen

Um kleinen App-Entwicklern zu helfen, ein RoPA zu pflegen, schlagen wir einen Rahmen vor, der Abschnitte von RoPA aus bestehenden mobilen Apps generiert. Dieser Rahmen basiert auf von Nutzern bereitgestellten Szenarien, die ihre Interaktionen mit der App beschreiben.

#Sammlung von Szenarien

Wir beginnen damit, Nutzerszenarien zu sammeln, die beschreiben, wie sie die App nutzen. Die Nutzer werden gebeten, einen Screenshot eines bestimmten App-Bildschirms einzureichen und eine Beschreibung ihrer Erfahrung zu schreiben. Diese Beschreibung muss das Ziel enthalten, das sie erreichen wollen, die Schritte, die sie unternommen haben, um dorthin zu gelangen, und welche Aktionen sie durchgeführt haben, sobald sie angekommen sind.

#Identifizierung von Schlüsselkonzepten

Jedes Nutzerszenario kann tatsächliche oder gewünschte Aktionen, Gefühle oder Bedürfnisse ausdrücken. Beim Erstellen des RoPA ist unser Hauptziel, wichtige Interaktionen, Arten von verarbeiteten Daten, die Zwecke der Datennutzung und beteiligte Parteien herauszufiltern.

Um dies effektiv zu tun, kategorisieren wir die Aktionen in drei Gruppen:

1. Zielaktionen: Diese Verben zeigen, was der Nutzer durch die App erreichen möchte.
2. Schrittaktionen: Diese Verben beschreiben, wie der Nutzer mit verschiedenen Teilen der App interagiert.
3. Datenpraktikenaktionen: Diese Verben beziehen sich auf das Sammeln und die Nutzung verschiedener Arten von personenbezogenen Daten.

#Kontrollierte natürliche Sprachvorlagen

Wir erstellen strukturierte Vorlagen, um die Aktionen der Nutzer basierend auf den identifizierten Kategorien zusammenzufassen. Jede Vorlage hilft, die Aktionen des Nutzers in einen formellen Satz umzuwandeln, der die spezifischen durchgeführten Aktionen darstellt, sowie welche Daten beteiligt sind und weitere relevante Details.

#Extraktionssummarisierungsprozess

Wir führen eine extraktive Zusammenfassungsmethode ein, die durch die von Nutzern bereitgestellten Texte filtert, um Verarbeitungstätigkeiten zu finden und hervorzuheben. Diese Methode nutzt LLMs, um sicherzustellen, dass die Zusammenfassungen genau und klar sind.

#LLMs und ihre Funktionalität

In letzter Zeit haben LLMs die Art und Weise verändert, wie wir Sprachverarbeitungsaufgaben angehen. Sie können Beispiele aufnehmen und Antworten generieren, die zum erforderlichen Kontext passen. In unserem Fall verwenden wir GPT-3.5 Turbo, ein leistungsstarkes LLM, um die notwendigen RoPA-Details aus den Nutzerszenarien zu extrahieren.

#Versuchsdesign

Wir führen eine Reihe von Experimenten durch, um zu analysieren, wie gut das LLM diese Aktivitäten zusammenfassen kann. Wir untersuchen, wie die Anzahl der dem Modell bereitgestellten Beispiele die Leistung beeinflusst, wie konsistent die Ausgaben sind und ob die Reihenfolge der Beispiele die Ergebnisse beeinflusst.

Wir teilen unsere Szenarien in drei Sets basierend auf der Art der Aktion: Zielaktionen, Schrittaktionen und Datenpraktikenaktionen. Jedes Set wird weiter in Trainings-, Validierungs- und Testdaten unterteilt, um zu verstehen, wie das Modell abschneidet.

#Ergebnisse und Erkenntnisse

#Leistungsmetriken

Verschiedene Metriken werden verwendet, um zu bewerten, wie gut das LLM die entscheidenden Elemente aus den Szenarien extrahiert. Metriken wie der ROUGE-Score helfen zu erkennen, wie nah die generierten Zusammenfassungen am Originalinhalt sind.

#Einfluss der Anzahl der Beispiele

Durch unsere Analyse finden wir heraus, dass die Bereitstellung von mehr Beispielen die Leistung des LLM erheblich verbessert. Ausgehend von einer niedrigen Anzahl von Beispielen beobachten wir, dass die Leistung stetig besser wird, je mehr Beispiele zur Verfügung stehen.

#Konsistenz und Ordnungssensitivität

Unsere Ergebnisse zeigen, dass das LLM konsistente Ausgaben liefert, selbst wenn derselbe Prompt mehrmals wiederholt wird. Die Reihenfolge der Beispiele scheint jedoch keinen grossen Einfluss auf die Leistung zu haben, was darauf hindeutet, dass es, solange eine ausreichende Anzahl von Beispielen vorhanden ist, nicht so wichtig ist.

#Manuelle Bewertung und Ergebnisse

Eine weitere manuelle Bewertung beinhaltet den Vergleich von menschlich verfassten Zusammenfassungen mit denen, die vom LLM erstellt wurden. Dies hilft, etwaige Diskrepanzen zu identifizieren, wie fehlende Datentypen oder falsche Verben in den generierten Zusammenfassungen.

Während dieses Vergleichs haben wir verschiedene Gründe für Diskrepanzen kodiert, was eine eingehende Analyse ermöglicht hat, wo die Leistung des LLM verbessert werden könnte.

#Fazit

Zusammenfassend zeigt unser Rahmen vielversprechende Ansätze, um kleinen App-Entwicklungsunternehmen zu helfen, die Anforderungen der DSGVO zu erfüllen, indem RoPA-Abschnitte basierend auf Nutzerszenarien generiert werden. Die Fähigkeit, Nutzerinteraktionen effektiv mit LLMs wie GPT-3.5 Turbo zusammenzufassen, entlastet die Entwickler und hilft ihnen, potenzielle Bussgelder zu vermeiden.

#Zukünftige Arbeiten

Wir planen, unseren Rahmen zu verbessern, indem wir Prozesse zur Identifizierung und Kennzeichnung von Aktionsverben in Nutzerszenarien einbeziehen. Zudem möchten wir erforschen, wie die Nutzung verschiedener LLMs oder Feinabstimmungsmethoden die Ergebnisse verbessern könnte. Weitere Studien sind notwendig, um unseren Rahmen in realen Szenarien zu testen und dessen Praktikabilität und Effektivität für kleinere Unternehmen zu bewerten.

Indem wir diese Themen angehen, hoffen wir, ein robusteres Unterstützungssystem für kleine App-Entwickler anzubieten, die mit den Herausforderungen der DSGVO-Compliance konfrontiert sind.