News
Künstliche Intelligenz entwickelt sich rasant weiter. In Bezug auf die Verarbeitung personenbezogener Daten wirft der Einsatz von KI-gestützten Systemen aber auch immer wieder datenschutzrechtliche Fragen auf. Angesichts des Europäischen Datenschutztages werfen wir einen Blick darauf, was Unternehmen in Sachen Datenschutz und KI unter anderem beachten sollten.
Künstliche Intelligenz (KI) ist als Begriff innerhalb der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) nicht explizit zu finden. Jedoch ist die DSGVO grundsätzlich so konzipiert, dass sie technologieneutral gilt und damit auch neuartige Technologien wie KI einschließt.
Eröffnet wird der Geltungsbereich der DSGVO, sobald eine Technologie personenbezogene Daten – das heißt alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – verarbeitet. Möchte ein Unternehmen in diesem Kontext ein KI-gestütztes System einsetzen, muss es bestimmte datenschutzrechtliche Vorgaben beachten. Demnach sollten KI und Datenschutz von Beginn an gemeinsam gedacht und sowohl bei der Entwicklung als auch bei der Implementierung und Nutzung berücksichtigt werden. Zudem ist es ratsam, versierte Datenschutzexpert:innen einzubinden, damit die Grenzen beachtet werden, die der Datenschutz auferlegt.
Werden durch ein KI-basiertes System personenbezogene Daten verarbeitet, ist zunächst zu klären, wer für die Datenverarbeitung verantwortlich ist. Denn daraus leiten sich unterschiedliche Rechte und Pflichten ab. Folgende Konstellationen sind grundsätzlich möglich:
Abhängig von der Phase, in der sich eine KI befindet, können die Verantwortlichkeiten variieren.
Rechtsgrundlage für die Datenverarbeitung
Um personenbezogene Daten verarbeiten zu dürfen, sind Unternehmen auf eine gültige Rechtsgrundlage angewiesen. Dies ist in der Regel der Fall, wenn eine rechtskonforme Einwilligung der betroffenen Personen für eindeutig festgelegte Zwecke vorliegt. In diesem Zusammenhang müssen die betroffenen Personen darüber informiert werden, welche Daten für welche Zwecke wie und von wem verarbeitet werden und wer die Empfänger sind. Auf dieser Informationsgrundlage können sie dann entscheiden, ob sie ihre Einwilligung erteilen möchten. Ein berechtigtes Interesse reicht an dieser Stelle nicht aus. Unternehmen sollten sicherstellen, dass die gewählte Rechtsgrundlage den Anforderungen der DSGVO entspricht.
Geht die Nutzung einer KI mit einer potenziellen Diskriminierungsgefahr einher ist gemäß Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Gleiches gilt, wenn aufgrund der Art, des Umfangs, der Umstände oder der Zwecke der Datenverarbeitung ein besonders hohes Risiko für die Rechte und Freiheiten von Personen besteht.
Ob eine DSFA durchgeführt werden muss, wird anhand einer Abschätzung der Risiken der Verarbeitungsvorgänge entschieden. Ergibt sich daraus ein voraussichtlich hohes Risiko, gilt eine DSFA-Pflicht. Das ist in der Regel der Fall, wenn eine KI beispielsweise automatisierte Entscheidungen trifft oder persönliche Aspekte einer natürlichen Person systematisch und umfassend bewertet.
An die DSFA-Pflicht ist zudem die Verpflichtung zur Benennung eines bzw. einer Datenschutzbeauftragten (DSB) geknüpft.
Zusammenfassend lässt sich sagen, dass der Einsatz von KI-gestützten Systemen für Unternehmen immer auch mit datenschutzrechtlichen Fragen und Herausforderungen einhergeht. Der verabschiedete AI Act zielt in diesem Kontext nicht darauf ab, die Datenschutzvorgaben der DSGVO zu ersetzen, sondern ist als ergänzende Regulierung zu sehen. Auch wenn es derzeit grundsätzlich rechtliche Vorgaben gibt, können sich die Rahmenbedingungen mit dem weiteren Fortschritt von KI-Technologien jederzeit verändern. Aus diesem Grund ist es sinnvoll, mit einem wachsamen Auge auf aktuelle Entwicklungen zu blicken.
Darüber hinaus empfiehlt es sich, Datenschutzaspekte bei der Entwicklung, Implementierung und Nutzung von Anfang an zu berücksichtigen. Welche Anforderungen dabei konkret einzuhalten sind, ergibt sich aus dem jeweiligen Anwendungsfall. Hier kann das frühzeitige Hinzuziehen eines Datenschutzexperten oder einer Datenschutzexpertin ratsam sein.
Der Beitrag stellt eine Momentaufnahme in Bezug auf den aktuellen Stand zum Thema KI und Datenschutz dar und erhebt keinen Anspruch auf Vollständigkeit.
Die TÜV Informationstechnik GmbH (Hauptsitz in Essen) ist ein renommierter IT-Sicherheitsdienstleister, ein unabhängiges Prüfinstitut und Labor für IT- und Cyber-Security in der Digitalisierung. Weltweit akkreditiert, seit 1995. Gemeinsam mit ALTER TECHNOLOGY bildet TÜVIT die Business Unit Digital & Semiconductor. Der Geschäftsbereich ist eine tragende Säule im Wissensunternehmen TÜV NORD GROUP, die seit über 150 Jahren weltweit für Sicherheit und Vertrauen steht. Ingenieur:innen und IT-Security-Expert:innen sorgen in mehr als 100 Ländern dafür, dass Unternehmen in der vernetzten Welt noch erfolgreicher werden.