Bei der Einführung von KI wird eine DPIA verpflichtend, wenn die geplante Verarbeitung personenbezogener Daten *voraussichtlich* ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, bevor die Verarbeitung beginnt. Laut Dokumentation auf Basis von Art. 35 DSGVO und den Leitlinien der britischen Datenschutzbehörde (UK ICO) tritt diese Schwelle häufig bei Profiling, Verarbeitung in großem Umfang oder dem Einsatz neuer Technologien auf.
In der Praxis fällt KI in der Regel in diese Pflicht in drei Situationen: automatisierte Bewertung von Personen mit rechtlichen oder ähnlich erheblichen Folgen, Verarbeitung sensibler Daten in großem Umfang sowie systematische Überwachung öffentlicher Bereiche. Im polnischen Kontext, wie er von Branchenquellen beschrieben wird, sind zudem nationale Listen von risikoreichen Operationen zu berücksichtigen, und es darf nicht automatisch angenommen werden, dass allein der Einsatz von KI eine DPIA erfordert.
Der Mindestumfang einer DPIA ergibt sich aus Art. 35 Abs. 7 DSGVO und umfasst vier Elemente: eine systematische Beschreibung der geplanten Verarbeitungen und Zwecke, eine Bewertung der Erforderlichkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für betroffene Personen sowie die geplanten Maßnahmen zur Minderung dieser Risiken. Das bedeutet, das Dokument darf keine allgemeine Projektbeschreibung sein, sondern muss zeigen, *wie* ein konkreter KI-Prozess funktioniert und *warum* sein Umfang gerechtfertigt ist.
Nach Materialien zu KI und Datenschutz sollte eine gut vorbereitete DPIA außerdem Datenquellen, Datenkategorien, Empfänger, Aufbewahrung, Übermittlungen außerhalb des EWR sowie die Beteiligung von Menschen an Entscheidungsprozessen beschreiben. Bei den risikomindernden Maßnahmen werden unter anderem Datenminimierung, Zugangsbegrenzung, Pseudonymisierung, Fehlerkontrolle, menschliche Aufsicht sowie ein Plan für Überprüfung und Versionierung der Bewertung genannt.
Als praktischer Anfang empfiehlt sich ein einfacher Test: Verarbeitet das System personenbezogene Daten, geschieht dies in großem Umfang, wird Profiling oder automatisierte Entscheidungsfindung eingesetzt, und kann es sensible Daten betreffen. Treten mehrere dieser Faktoren zusammen auf, ist einer praktischen Einschätzung aus den Niederlanden und Polen zufolge eine DPIA in der Regel erforderlich.
Wichtig ist, dass die DPIA die gesamte KI-Kette abdeckt und nicht nur das Modell. Quellen zu generativer KI und Agenten heben hervor, dass die Bewertung Training, Inferenz, Ereignisprotokollierung, Auswirkungen auf Personen und sekundäre Risiken wie Fehlerkennung oder übermäßige Datenoffenlegung berücksichtigen sollte. Das ist besonders relevant, wenn KI die Personalauswahl, Kundenbetreuung, Scoring, Medizin oder Überwachung unterstützt, da in solchen Prozessen leicht ein hohes Risiko entstehen kann.
Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.
Quelle: https://www.bartbakowski.com/wiedza/encyklopedia-ai/dpia-ocena-skutkow-dla-ochrony-danych-w-ai