Beim Einsatz künstlicher Intelligenz gilt die DSGVO immer dann, wenn beim Training, bei der Eingabe oder bei der Ausgabe personenbezogene Daten verarbeitet werden.
Datenschutzfragen beim KI-Einsatz
Für jede Phase ist eine Rechtsgrundlage erforderlich, beim Training großer Modelle häufig das berechtigte Interesse. Hinzu kommen Transparenzpflichten, die Wahrung der Betroffenenrechte und angemessene Sicherheitsmaßnahmen.
Werden mit KI Entscheidungen mit erheblicher Wirkung für Personen getroffen, sind die Grenzen für automatisierte Einzelentscheidungen zu beachten. Oft ist eine Datenschutz-Folgenabschätzung erforderlich.
Verhältnis zur KI-Verordnung
Die europäische KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Sie regelt KI-Systeme nach Risikoklassen, lässt die DSGVO aber unberührt. Unternehmen müssen beide Regelwerke parallel einhalten.
Beim Einsatz externer KI-Dienste ist zu klären, ob der Anbieter als Auftragsverarbeiter tätig wird und ob Eingaben für eigene Zwecke, etwa das Training, genutzt werden.
Rechtsgrundlagen
- Art. 6 DSGVO
- Rechtsgrundlagen für Training und Nutzung.
- Art. 22 DSGVO
- Automatisierte Entscheidungen im Einzelfall.
- Art. 35 DSGVO
- Datenschutz-Folgenabschätzung bei neuen Technologien mit hohem Risiko.
- Verordnung (EU) 2024/1689
- KI-Verordnung (AI Act).
Verwandte Begriffe.
Datenschutz-Folgenabschätzung (DSFA) Die Datenschutz-Folgenabschätzung ist eine strukturierte Risikoanalyse für Datenverarbeitungen, die voraussichtlich ein hohes Risiko für Betroffene bergen. Art. 35 DSGVO Berechtigtes Interesse / Interessenabwägung Das berechtigte Interesse ist eine Rechtsgrundlage, nach der eine Verarbeitung zulässig ist, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und die Interessen der betroffenen Person nicht überwiegen. Art. 6 Abs. 1 lit. f DSGVO Privacy by Design Privacy by Design bedeutet, Datenschutz bereits bei der Konzeption von Systemen, Produkten und Prozessen technisch und organisatorisch einzuplanen. Art. 25 Abs. 1 DSGVO 