Datenschutz-Grundverordnung, KI-Bestimmungen

Überblick

Die DSGVO trat am 24. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018. Sie ist kein KI-spezifisches Gesetz, kann aber KI-bezogene Verarbeitung personenbezogener Daten im räumlichen Anwendungsbereich des Artikels 3 erfassen. Prüfen Sie gegebenenfalls Niederlassung, Waren- oder Dienstleistungsangebot sowie Verhaltensbeobachtung in der EU; die EU-Staatsangehörigkeit allein ist nicht maßgeblich.

Artikel 22 betrifft ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Prüfen Sie diese Schwelle, mögliche Ausnahmen und erforderliche Schutzmaßnahmen. Nicht jede KI-unterstützte Entscheidung ist verboten oder begründet dasselbe Recht auf menschliches Eingreifen. Informationspflichten nach Artikeln 13 bis 15 sind gesondert einzuordnen.

KI-Verarbeitung benötigt eine einschlägige Rechtsgrundlage nach Artikel 6. Bei besonderen Datenkategorien ist gegebenenfalls zusätzlich eine Bedingung aus Artikel 9 nötig. Einwilligung und berechtigte Interessen haben eigene Voraussetzungen; keines erlaubt pauschal Modelltraining. Forschungsschutzmaßnahmen oder Ausnahmen sind keine eigenständige Rechtsgrundlage nach Artikel 6. Dokumentieren Sie Zweck, Rolle und Voraussetzungen jeder Verarbeitungsphase.

Die Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) steht in einem grundlegenden Spannungsverhältnis zur KI-Entwicklung, die häufig von großen Datensätzen profitiert. Organisationen müssen sicherstellen, dass sie nur Daten erheben, die dem Zweck angemessen und erheblich sowie auf das für den festgelegten Zweck notwendige Maß beschränkt sind. Dies wirkt sich auf die Strategien für KI-Trainingsdaten aus und erfordert eine sorgfältige Begründung des Umfangs der Datensätze.

Artikel 13 bis 15 enthalten Informationspflichten zu erfasster automatisierter Entscheidungsfindung, gegebenenfalls einschließlich aussagekräftiger Angaben zu Logik und erwarteten Folgen. Informieren Sie Betroffene verständlich; eine Modellkarte allein erfüllt nicht automatisch alle Transparenz- oder Auskunftspflichten.

Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 vor voraussichtlich hochriskanter Verarbeitung für Rechte und Freiheiten erforderlich. Berücksichtigen Sie Art, Umfang, Kontext, Zwecke, aufgeführte Fälle und Behördenkriterien. KI-Nutzung oder Umfang allein ersetzt diese Prüfung nicht. Dokumentieren Sie Notwendigkeit, Verhältnismäßigkeit, Risiken und Schutzmaßnahmen.

Die Zweckbindung gilt auch für Training und spätere Nutzung. Artikel 5 und 89 enthalten besondere Regeln und Schutzmaßnahmen für Forschung und Statistik; sie erlauben nicht jedes kommerzielle KI-Training und ersetzen keine Rechtsgrundlage. Prüfen Sie Forschungszweck und Ausnahmen konkret, statt KI-Projekte pauschal als ausgenommen anzusehen.

Auch die Bestimmungen zu internationalen Übermittlungen (Kapitel V) betreffen KI-Systeme, insbesondere cloudbasierte KI-Dienste und Modelle, die mit Daten aus mehreren Rechtsordnungen trainiert wurden. Organisationen müssen für jede Übermittlung personenbezogener Daten außerhalb des EWR angemessene Garantien sicherstellen.

Datenschutzbehörden in ganz Europa setzen die DSGVO zunehmend aktiv gegenüber KI-Systemen durch. Bemerkenswerte Durchsetzungsmaßnahmen richteten sich gegen Unternehmen der Gesichtserkennung, KI-gestützte Werbesysteme und die automatisierte Bonitätsbewertung und schufen Präzedenzfälle, die prägen, wie Organisationen die Verarbeitung personenbezogener Daten durch KI steuern müssen.