DSGVO bei KI-Systemen: Datenschutz-Checkliste für Unternehmen

Das lässt sich nicht pauschal mit Ja oder Nein beantworten. Entscheidend sind unter anderem Zweck, Rechtsgrundlage, eingesetzter Dienst und Tarif, Rolle des Anbieters, Vertragsbedingungen, Datenübermittlung und vorhandene Schutzmaßnahmen. Personenbezogene Daten sollten daher nicht ungeprüft in öffentliche oder nicht freigegebene KI-Dienste eingegeben werden.

Ein Vertrag zur Auftragsverarbeitung ist erforderlich, wenn die Voraussetzungen einer Auftragsverarbeitung nach Art. 28 DSGVO vorliegen. Ob dies der Fall ist, hängt vom konkreten Dienst, Vertrag und Verarbeitungskontext ab. Deshalb sollte nicht pauschal angenommen werden, dass jeder KI-Dienst automatisch einen AVV benötigt oder dass ein vorhandener AVV sämtliche Verarbeitungsvorgänge abdeckt.

Eine DSFA ist insbesondere dann erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Prüfung erfolgt anhand des konkreten Verarbeitungsvorgangs, nicht allein aufgrund der Tatsache, dass künstliche Intelligenz eingesetzt wird.

Die geeignete Rechtsgrundlage hängt vom konkreten Zweck und Verarbeitungsvorgang ab. Mögliche Rechtsgrundlagen ergeben sich insbesondere aus Art. 6 DSGVO. Bei besonderen Kategorien personenbezogener Daten muss zusätzlich Art. 9 DSGVO berücksichtigt werden.

Nur weil ein Mitarbeiter technisch Zugriff auf ein KI-Tool hat, ist die Übermittlung von Kundendaten nicht automatisch zulässig. Unternehmen sollten freigegebene Systeme definieren, Datenkategorien festlegen und klare Regeln bestimmen, welche Informationen verarbeitet werden dürfen.

Abhängig vom Risiko können unter anderem rollenbasierte Zugriffe, Datenminimierung, Pseudonymisierung, technische Zugriffskontrollen, Protokollierung, sichere Schnittstellen, Freigabeprozesse und organisatorische Eingaberichtlinien relevant sein. Die Maßnahmen müssen zum konkreten Risiko passen.

Daten, die tatsächlich so anonymisiert sind, dass sich eine Person nicht mehr identifizieren lässt, fallen grundsätzlich nicht mehr unter den personenbezogenen Anwendungsbereich der DSGVO. Ob echte Anonymität erreicht wurde, muss jedoch sorgfältig geprüft werden. Gerade bei KI-Modellen ist diese Frage technisch und rechtlich nicht trivial.

Nein. Eine interne Regel ist ein wichtiger organisatorischer Baustein, ersetzt aber weder die Prüfung des eingesetzten KI-Dienstes noch Rechtsgrundlage, Verträge, technische Schutzmaßnahmen und gegebenenfalls weitere datenschutzrechtliche Anforderungen.

Relevant ist die zugrunde liegende Verarbeitungstätigkeit. Werden im Rahmen eines KI-Prozesses personenbezogene Daten verarbeitet, sollte geprüft werden, ob und wie diese Verarbeitung nach Art. 30 DSGVO im bestehenden Verzeichnis abzubilden oder zu aktualisieren ist.

Die Regelwerke erfüllen unterschiedliche Funktionen. Die DSGVO regelt insbesondere den Umgang mit personenbezogenen Daten. Der EU AI Act reguliert KI-Systeme anhand anderer Rollen und Risikokategorien. Bei einem KI-System können deshalb beide Regelwerke gleichzeitig relevant sein.