Beim Einsatz künstlicher Intelligenz gilt die DSGVO immer dann, wenn beim Training, bei der Eingabe oder bei der Ausgabe personenbezogene Daten verarbeitet werden.
Datenschutzfragen beim KI-Einsatz
Für jede Phase ist eine Rechtsgrundlage erforderlich, beim Training großer Modelle häufig das berechtigte Interesse. Hinzu kommen Transparenzpflichten, die Wahrung der Betroffenenrechte und angemessene Sicherheitsmaßnahmen.
Werden mit KI Entscheidungen mit erheblicher Wirkung für Personen getroffen, sind die Grenzen für automatisierte Einzelentscheidungen zu beachten. Oft ist eine Datenschutz-Folgenabschätzung erforderlich.
Verhältnis zur KI-Verordnung
Die europäische KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Sie regelt KI-Systeme nach Risikoklassen, lässt die DSGVO aber unberührt. Unternehmen müssen beide Regelwerke parallel einhalten.
Beim Einsatz externer KI-Dienste ist zu klären, ob der Anbieter als Auftragsverarbeiter tätig wird und ob Eingaben für eigene Zwecke, etwa das Training, genutzt werden.
Rechtsgrundlagen
- Art. 6 DSGVO
- Rechtsgrundlagen für Training und Nutzung.
- Art. 22 DSGVO
- Automatisierte Entscheidungen im Einzelfall.
- Art. 35 DSGVO
- Datenschutz-Folgenabschätzung bei neuen Technologien mit hohem Risiko.
- Verordnung (EU) 2024/1689
- KI-Verordnung (AI Act).
Verwandte Begriffe.
Datenschutz-Folgenabschätzung (DSFA) Die Datenschutz-Folgenabschätzung (DSFA) ist ein gesetzlich vorgeschriebenes Verfahren zur Bewertung und Verringerung von Risiken bei der Verarbeitung personenbezogener Daten. Nach Art. 35 der Datenschutz-Grundverordnung (DS-GVO) muss der Verantwortliche eine DSFA durchführen, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ziel ist es, Datenschutzrisiken frühzeitig zu erkennen und geeignete Schutzmaßnahmen festzulegen. Berechtigtes Interesse / Interessenabwägung Das berechtigte Interesse ist eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. f DS-GVO. Unternehmen dürfen personenbezogene Daten auf dieser Grundlage verarbeiten, wenn die Verarbeitung zur Wahrung eines berechtigten Interesses erforderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen nicht überwiegen. Ob diese Voraussetzungen erfüllt sind, muss im Rahmen einer Interessenabwägung geprüft werden. Eine Einwilligung ist bei Vorliegen dieser Rechtsgrundlage grundsätzlich nicht erforderlich. Art. 5 Abs. 1 und 2 DS-GVO Privacy by Design Privacy by Design bedeutet, Datenschutz bereits bei der Konzeption von Systemen, Produkten und Prozessen technisch und organisatorisch einzuplanen. Art. 25 Abs. 1 DSGVO 