Datenschutz-Beratung für Künstliche Intelligenz (KI)

KI und DSGVO: Die größten Herausforderungen

Der Einsatz von Künstlicher Intelligenz in Unternehmen bringt spezifische datenschutzrechtliche Herausforderungen mit sich, die über die klassischen DSGVO-Anforderungen hinausgehen. Als externer Datenschutzbeauftragter in Dresden beraten wir Unternehmen in Sachsen und bundesweit zu den komplexen Fragestellungen an der Schnittstelle von KI und Datenschutz.

Transparenz und Erklärbarkeit

Art. 13 und Art. 14 DSGVO verpflichten Verantwortliche, betroffene Personen über die Logik automatisierter Entscheidungsfindung zu informieren. Bei komplexen Machine-Learning-Modellen — insbesondere Deep-Learning-Systemen — ist die Nachvollziehbarkeit der Entscheidungsfindung („Black Box“) eine fundamentale Herausforderung. Unternehmen müssen in der Lage sein, die wesentlichen Faktoren zu erläutern, die zu einer bestimmten KI-Entscheidung geführt haben. Dies erfordert den Einsatz von Explainable-AI-Methoden (XAI) wie SHAP-Werte, LIME oder Attention-Mechanismen, die Entscheidungen nachvollziehbar machen.

Rechtsgrundlage für KI-Training

Das Training von KI-Modellen erfordert in der Regel große Mengen an Daten, die häufig personenbezogene Informationen enthalten. Die Frage der Rechtsgrundlage ist dabei zentral: Reicht ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, oder ist eine Einwilligung nach Art. 6 Abs. 1 lit. a erforderlich? Die Antwort hängt vom konkreten Anwendungsfall, der Art der verarbeiteten Daten und der Eingriffsintensität ab. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO — etwa Gesundheitsdaten oder biometrische Daten — gelten besonders strenge Anforderungen.

Automatisierte Einzelentscheidungen

Art. 22 DSGVO gewährt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Dies betrifft zahlreiche KI-Anwendungsfälle: automatisierte Kreditentscheidungen, KI-gestütztes Bewerbermanagement, algorithmische Preisgestaltung oder automatisierte Betrugserkennung. Unternehmen müssen sicherstellen, dass eine menschliche Überprüfung der KI-Entscheidung möglich ist und die betroffene Person ihr Recht auf Anfechtung wirksam ausüben kann.

Datenschutzfolgenabschätzung bei KI

Der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, erfordert in vielen Fällen eine Datenschutzfolgenabschätzung (DSFA) nach Art. 35 DSGVO. Dies gilt insbesondere bei systematischer und vollständiger Bewertung persönlicher Aspekte natürlicher Personen (Profiling), bei der Verarbeitung besonderer Datenkategorien in großem Umfang oder bei der systematischen Überwachung öffentlich zugänglicher Bereiche. Die DSFA muss die Risiken für die Rechte und Freiheiten der Betroffenen bewerten und geeignete Abhilfemaßnahmen dokumentieren.

EU AI Act und Datenschutz

Die EU-Verordnung über Künstliche Intelligenz (AI Act) wurde im März 2024 vom Europäischen Parlament verabschiedet und tritt schrittweise in Kraft. Sie ergänzt die DSGVO um spezifische Anforderungen an KI-Systeme und schafft einen risikobasierten Regulierungsrahmen, der Unternehmen vor neue Compliance-Herausforderungen stellt.

Risikoklassen und Anforderungen

Der AI Act unterscheidet vier Risikoklassen: Unannehmbares Risiko — diese KI-Systeme sind verboten, darunter Social Scoring, manipulative Techniken und biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen. Hohes Risiko — umfasst KI in kritischen Bereichen wie Personalwesen, Kreditvergabe, Strafverfolgung und kritische Infrastruktur. Diese Systeme unterliegen strengen Anforderungen an Risikomanagement, Datenqualität, Transparenz und menschliche Aufsicht. Begrenztes Risiko — betrifft KI-Systeme mit Transparenzpflichten wie Chatbots oder Deepfakes. Minimales Risiko — darunter fallen die meisten KI-Anwendungen wie Spamfilter oder KI-gestützte Videospiele.

Zusammenspiel von AI Act und DSGVO

Der AI Act und die DSGVO gelten parallel und ergänzen sich. Während die DSGVO den Schutz personenbezogener Daten regelt, adressiert der AI Act die spezifischen Risiken von KI-Systemen unabhängig davon, ob personenbezogene Daten verarbeitet werden. In der Praxis müssen Unternehmen beide Regelwerke beachten: Ein KI-System zur Bewerberauswahl muss sowohl die DSGVO-Anforderungen an die Verarbeitung personenbezogener Daten als auch die AI-Act-Anforderungen an Hochrisiko-KI-Systeme erfüllen. Die Datenschutzfolgenabschätzung nach DSGVO und die Konformitätsbewertung nach AI Act können jedoch in einem integrierten Prozess durchgeführt werden.

Zeitplan und Umsetzung

Die Verbote für KI-Systeme mit unannehmbarem Risiko gelten bereits seit Februar 2025. Die Anforderungen für Hochrisiko-KI-Systeme und allgemeine KI-Modelle werden ab August 2025 bzw. August 2026 anwendbar. Unternehmen sollten jetzt mit der Bestandsaufnahme ihrer KI-Systeme beginnen und die Klassifizierung in die Risikoklassen vornehmen. Als Ihr Datenschutzbeauftragter unterstützen wir Sie bei der integrierten Compliance-Strategie für DSGVO und AI Act.

KI-Compliance Checkliste

Die folgende Checkliste unterstützt Sie bei der systematischen Überprüfung der Datenschutz-Konformität Ihrer KI-Anwendungen. Sie deckt die wesentlichen Anforderungen aus DSGVO und AI Act ab.

• Bestandsaufnahme aller KI-Systeme — Dokumentieren Sie alle im Unternehmen eingesetzten KI-Anwendungen, einschließlich eingebetteter KI in Drittanbieter-Software, und klassifizieren Sie diese nach den Risikoklassen des AI Act.
• Rechtsgrundlage für jede KI-Verarbeitung — Prüfen und dokumentieren Sie für jedes KI-System, das personenbezogene Daten verarbeitet, die einschlägige Rechtsgrundlage nach Art. 6 DSGVO.
• Transparenzpflichten erfüllen — Stellen Sie sicher, dass betroffene Personen über den Einsatz von KI und die Logik automatisierter Entscheidungen informiert werden. Kennzeichnen Sie KI-generierte Inhalte entsprechend den Anforderungen des AI Act.
• DSFA durchführen — Führen Sie für KI-Systeme mit hohem Risiko eine Datenschutzfolgenabschätzung durch und dokumentieren Sie die Ergebnisse einschließlich der getroffenen Abhilfemaßnahmen.
• Menschliche Aufsicht sicherstellen — Implementieren Sie Prozesse für die menschliche Überprüfung von KI-Entscheidungen, insbesondere bei Entscheidungen mit rechtlicher Wirkung nach Art. 22 DSGVO.
• Datenqualität gewährleisten — Stellen Sie sicher, dass Trainingsdaten repräsentativ, aktuell und frei von diskriminierenden Verzerrungen (Bias) sind. Dokumentieren Sie die Herkunft und Qualität der verwendeten Daten.
• Auftragsverarbeitung prüfen — Schließen Sie mit KI-Dienstleistern Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Prüfen Sie insbesondere bei Cloud-basierten KI-Diensten die Datenübermittlung in Drittländer.
• Lösch- und Berichtigungsrechte — Stellen Sie sicher, dass Betroffenenrechte auch bei KI-verarbeiteten Daten gewährleistet werden können — einschließlich des Rechts auf Löschung aus Trainingsdaten und der Korrektur fehlerhafter KI-Ergebnisse.
• Schulung der Mitarbeiter — Schulen Sie alle Mitarbeiter, die mit KI-Systemen arbeiten, hinsichtlich Datenschutzanforderungen, ethischer Grundsätze und der korrekten Nutzung der Systeme.
• Regelmäßige Überprüfung — Etablieren Sie einen Prozess zur regelmäßigen Überprüfung und Aktualisierung Ihrer KI-Compliance-Maßnahmen, insbesondere im Hinblick auf neue Rechtsprechung und sich ändernde regulatorische Anforderungen.

Häufig gestellte Fragen zu KI und Datenschutz

Darf ich ChatGPT in meinem Unternehmen einsetzen?

Grundsätzlich ja, aber unter Beachtung strenger datenschutzrechtlicher Rahmenbedingungen. Personenbezogene Daten von Kunden, Mitarbeitern oder Geschäftspartnern dürfen nicht ohne weiteres in ChatGPT eingegeben werden, da OpenAI diese Daten für das Training des Modells verwenden kann. Nutzen Sie Enterprise-Versionen mit Auftragsverarbeitungsvertrag, erstellen Sie klare Nutzungsrichtlinien für Mitarbeiter und schulen Sie diese im datenschutzkonformen Umgang. Dokumentieren Sie den Einsatz im Verarbeitungsverzeichnis und passen Sie die Datenschutzerklärung entsprechend an.

Brauche ich eine Datenschutzfolgenabschätzung für jede KI-Anwendung?

Nicht für jede, aber für viele. Eine DSFA ist nach Art. 35 DSGVO erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei KI-Systemen, die Profiling betreiben, automatisierte Einzelentscheidungen treffen oder besondere Datenkategorien verarbeiten, ist eine DSFA in der Regel Pflicht. Auch die Aufsichtsbehörden-Listen nach Art. 35 Abs. 4 DSGVO (Positivlisten) sollten geprüft werden. Im Zweifel empfehlen wir, lieber eine DSFA durchzuführen — sie dient gleichzeitig als Dokumentation Ihrer Sorgfaltspflichten.

Wie gehe ich mit KI-generierten Personenprofilen um?

KI-generierte Personenprofile unterliegen vollständig den DSGVO-Anforderungen. Die betroffenen Personen müssen über das Profiling informiert werden und haben das Recht auf Widerspruch nach Art. 21 DSGVO. Zudem müssen die Profile auf Diskriminierungsfreiheit geprüft werden — KI-Systeme können bestehende gesellschaftliche Vorurteile verstärken, wenn die Trainingsdaten entsprechende Verzerrungen enthalten. Implementieren Sie regelmäßige Bias-Audits und stellen Sie sicher, dass keine Entscheidungen ausschließlich auf Grundlage der automatisierten Profile getroffen werden.

Was sind die Bußgeldrisiken bei Verstößen gegen DSGVO und AI Act im KI-Bereich?

Die Bußgeldrisiken sind erheblich. Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Der AI Act sieht für Verstöße gegen die verbotenen KI-Praktiken Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes vor. Bei Hochrisiko-KI-Systemen drohen bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Die kumulativen Risiken aus beiden Regelwerken machen eine integrierte Compliance-Strategie nötig.