AI, DSGVO und AI Act: wie man Compliance umsetzt, ohne die Datennutzung zu blockieren

Wo das Risiko am häufigsten auftritt

In der Praxis beginnt das größte Problem nicht beim KI-Modell, sondern bei den Daten: Vornamen, E-Mail-Adressen, Vorgangshistorien, Verträge, Gesprächsprotokolle und andere Materialien, die eine Person identifizieren. Laut UODO lohnt es sich, vor dem Einsatz eines KI-Werkzeugs eine Reihe initialer Fragen zu stellen, doch ersetzen diese nicht die Risikoabschätzung, DPIA oder die Analyse der Auswirkungen auf Grundrechte.

Laut UODO allein die Nutzung von KI entscheidet nicht über eine Rechtsverletzung, es muss jedoch geprüft werden, ob das System tatsächlich personenbezogene Daten verarbeitet, wer der Verantwortliche ist, welches der Zweck der Verarbeitung ist und ob der Anbieter das vereinbarte Spektrum überschreitet.

Was vor der Einführung zu prüfen ist

Nach UODO und praktischen Implementierungsleitfäden ist der Ausgangspunkt simpel: Sie müssen die in das System einfließenden Daten inventarisieren, die Rechtsgrundlage der Verarbeitung benennen und bewerten, ob eine DPIA nötig ist. Nutzt das System Daten von Mitarbeitenden, Kunden oder Bewerbern, steigt das Risiko, weil leicht das Prinzip der Datenminimierung verletzt und Informationen in das Werkzeug gegeben werden können, die für den Geschäftszweck nicht erforderlich sind.

In den UODO-Beiträgen wird zudem hervorgehoben, dass Kontrollfragen Lücken aufdecken helfen, aber nicht von der Verpflichtung zur Dokumentation von Entscheidungen und zum Nachweis der DSGVO-Konformität entbinden. Praktiker raten, im Vorfeld ein Verfahren zur Wahrnehmung der Betroffenenrechte festzulegen: Auskunft, Löschung, Widerspruch und Informationen zur Verarbeitung.

Wie DSGVO und AI Act zu verbinden sind

Die Einhaltung des AI Act ersetzt nicht die DSGVO, und die DSGVO ersetzt nicht den AI Act. Das ist besonders relevant, wenn das KI-Werkzeug zur Klassifizierung von Anfragen, Dokumentenanalyse, HR-Unterstützung oder Automatisierung des Kundendienstes eingesetzt wird, denn dann müssen gleichzeitig Datenschutzregeln und spezifische Pflichten für das KI-System eingehalten werden.

In der Praxis bedeutet das drei Kontrollschichten: erstens Beschränkung der Eingabedaten auf das tatsächlich Notwendige; zweitens Prüfung des Vertrags mit dem Anbieter und der Regeln für Subprocessing; drittens Aktualisierung der Datenschutzhinweise und internen Verfahren, damit sie die Nutzung von KI abdecken. Laut UODO und Branchenquellen ist es besonders riskant, Daten in öffentliche Werkzeuge einzugeben ohne Zustimmung der Organisation sowie ohne Prüfung, wohin die Daten gelangen und wie lange sie gespeichert werden.

Modell für Compliance

• Kartieren Sie, welche Daten an das KI-Werkzeug übermittelt werden und ob es sich um personenbezogene Daten handelt.
• Legen Sie für jeden Anwendungsfall die Rechtsgrundlage und den Verarbeitungszweck fest.
• Bewerten Sie, ob eine DPIA erforderlich ist, insbesondere bei sensiblen Daten oder Profiling.
• Schließen Sie eine Auftragsverarbeitung mit dem Anbieter ab, wenn die Verarbeitung außerhalb der Organisation erfolgt.
• Beschränken Sie den Zugriff von Mitarbeitenden und verbieten Sie das Eintragen von Daten in öffentliche Werkzeuge ohne Kontrolle.
• Aktualisieren Sie Angaben für betroffene Personen und Verfahren zur Bearbeitung von Anfragen.

Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.