Modul 7 von 8 · Etwa 15 Minuten
KI und Datenschutz
Die DSGVO auf KI-Systeme anwenden – und wo die KI-Verordnung neue Pflichten hinzufügt.
Die DSGVO gilt uneingeschränkt
Verarbeitet ein KI-System personenbezogene Daten – in Trainingsdaten, Prompts, Ausgaben oder Protokollen –, gelten alle Grundsätze der DSGVO. Die Stellungnahme 28/2024 des Europäischen Datenschutzausschusses hat bestätigt, dass berechtigte Interessen die Entwicklung und den Einsatz von KI-Modellen nur nach einer dokumentierten dreistufigen Prüfung tragen können und dass ein mit personenbezogenen Daten trainiertes Modell nicht automatisch anonym ist. Zweckbindung, Datenminimierung, Richtigkeit und Transparenz verdienen besondere Aufmerksamkeit, weil Modelle Daten speichern und wiedergeben und unrichtige Angaben über Personen erzeugen können.
Was der DSB prüft
- Rechtsgrundlage und Zweck jeder KI-Nutzung, einschließlich jeder Weiterverwendung von Daten für Training.
- Eine DSFA, wenn die KI-Nutzung voraussichtlich ein hohes Risiko birgt – neue Technologien, Profiling und Beschäftigtenüberwachung sind häufige Auslöser.
- Anbieterbedingungen: ob Prompts und Ausgaben gespeichert, zum Training genutzt oder außerhalb des EWR verarbeitet werden.
- Transparenz und Rechte: Menschen über KI-Einsatz informieren und Auskunfts-, Berichtigungs- und Widerspruchsanträge zu KI-Ausgaben bearbeiten.
- Garantien nach Artikel 22 bei ausschließlich automatisierten, erheblichen Entscheidungen.
Wo die KI-Verordnung ansetzt
Die KI-Verordnung reguliert KI-Systeme nach Risiko und Rolle. Anbieter bringen Systeme in Verkehr; Betreiber nutzen sie in eigener Verantwortung. Bestimmte Praktiken sind seit dem 2. Februar 2025 verboten, darunter die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen) und Social Scoring. Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026, und die Pflichten für Hochrisiko-Systeme folgen nach dem durch den Omnibus 2026 geänderten Zeitplan. Bestimmte Betreiber von Hochrisiko-KI müssen eine Grundrechte-Folgenabschätzung durchführen, die auf der DSFA aufbauen kann. Die KI-Verordnung ersetzt die DSGVO nicht: Beide gelten.
Kernaussagen
- KI setzt die DSGVO nicht aus: Grundsätze, Rechte und DSFA gelten.
- Fragen Sie Anbieter, ob Ihre Daten deren Modelle trainieren und wo sie verarbeitet werden.
- Die KI-Verordnung ergänzt rollenbezogene Pflichten; DSFA und Grundrechte-Folgenabschätzung verzahnen.
- Begründungen dokumentieren: KI-gestützte Entscheidungen werden angefochten.
Selbstkontrolle
Ihre Organisation nutzt ein KI-System eines Dritten in eigener Verantwortung. Welche Rolle hat sie nach der KI-Verordnung?
Antwort anzeigen: Betreiber.
Ist ein mit personenbezogenen Daten trainiertes Modell automatisch anonym?
Antwort anzeigen: Nein. Die Anonymität muss im Einzelfall nachgewiesen werden.