KI und Datenschutz – Rechtssicher und verantwortungsbewusst handeln

Die DSGVO regelt den Schutz personenbezogener Daten und gilt auch für KI-Systeme, sobald diese solche Daten verarbeiten. Sie macht keine Ausnahme für künstliche Intelligenz, sondern fordert für jede Verarbeitung eine Rechtsgrundlage, Transparenz und die Einhaltung von Grundsätzen wie Zweckbindung und Datenminimierung. Das bedeutet, dass Unternehmen beim Einsatz von KI die gleichen strengen Datenschutzpflichten erfüllen müssen wie bei jeder anderen Software.

Die EU-KI-Verordnung (AI Act) ist das weltweit erste umfassende Gesetz für künstliche Intelligenz und schafft einen einheitlichen Rechtsrahmen in der EU. Sie teilt KI-Anwendungen in Risikoklassen ein: inakzeptable Systeme werden verboten, Hochrisiko-Systeme (z. B. im Recruiting) unterliegen strengen Anforderungen, und Systeme mit geringem Risiko werden nur leicht reguliert. Ziel ist es, Sicherheit, Grundrechte und eine menschenzentrierte KI zu gewährleisten.

Eine KI darf nur dann personenbezogene Daten verarbeiten, wenn dafür eine klare Rechtsgrundlage nach der DSGVO vorliegt, wie eine Einwilligung oder ein berechtigtes Interesse. Dabei gilt der Grundsatz der Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die für den festgelegten Zweck zwingend erforderlich sind. Für besonders sensible Daten, wie Gesundheitsinformationen, gelten noch strengere Regeln, die eine Verarbeitung oft ausschließen oder eine ausdrückliche Einwilligung erfordern.

Zu den größten Risiken zählen die Verarbeitung riesiger Datenmengen ohne klare Rechtsgrundlage, mangelnde Transparenz („Black Box“), unkontrollierte Datenweitergabe und das Risiko von Datenlecks. Zudem können KI-Systeme durch fehlerhafte oder voreingenommene Algorithmen zu falschen automatisierten Entscheidungen führen und die Privatsphäre durch Profiling und Überwachung verletzen. Auch die unrechtmäßige Nutzung von Daten für das KI-Training ist ein erhebliches Risiko.

Die Haftung für Datenschutzverstöße durch KI liegt in der Regel beim Unternehmen, das das KI-System als Betreiber:in einsetzt. Die KI selbst ist keine juristische Person und kann nicht haften. Je nach Fall können aber auch die Hersteller:innen des KI-Systems oder andere beteiligte Dienstleister im Rahmen einer Auftragsverarbeitung oder gemeinsamen Verantwortlichkeit zur Verantwortung gezogen werden. Klare vertragliche Regelungen sind daher entscheidend.

Um KI datenschutzkonform einzusetzen, müssen Unternehmen eine klare Rechtsgrundlage für die Datenverarbeitung definieren und die Grundsätze der DSGVO wie Zweckbindung und Datenminimierung beachten. Wichtige Maßnahmen sind die Durchführung einer Datenschutz-Folgenabschätzung bei hohem Risiko, der Abschluss von Auftragsverarbeitungsverträgen mit Anbietern und die Schaffung von Transparenz gegenüber den Betroffenen. Zudem helfen interne Richtlinien und die Schulung von Mitarbeitenden, Risiken zu minimieren.

Eine Datenschutz-Folgenabschätzung (DSFA) ist laut DSGVO immer dann erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt. Beim Einsatz von KI ist dies häufig der Fall, insbesondere wenn neue Technologien genutzt, sensible Daten verarbeitet oder Personen systematisch bewertet werden. Treffen mindestens zwei Risikokriterien zu, ist eine DSFA in der Regel verpflichtend.

Die Transparenzpflicht bedeutet, dass Menschen erkennen müssen, wenn sie mit einer KI interagieren oder wenn Inhalte wie Texte, Bilder oder Videos von einer KI erzeugt wurden. Gemäß EU-KI-Verordnung müssen Betreiber:innen von Systemen wie Chatbots oder Deepfakes die Nutzenden darüber informieren. Ziel ist es, Täuschung und Manipulation zu verhindern und Nachvollziehbarkeit zu schaffen, wer oder was hinter einer Information oder Entscheidung steht.

Diskriminierung durch KI lässt sich reduzieren, indem bereits bei der Auswahl der Trainingsdaten auf Vielfalt und Repräsentativität geachtet wird, um historische Vorurteile nicht zu reproduzieren. Zudem müssen die Ergebnisse der KI-Systeme regelmäßig auf systematische Benachteiligungen überprüft und die Algorithmen entsprechend angepasst werden. Eine menschliche Überprüfung und Kontrolle bei wichtigen Entscheidungen, wie im Recruiting, ist eine zentrale Maßnahme, um algorithmischen Bias zu korrigieren und Fairness sicherzustellen.

Bei der Anonymisierung werden personenbezogene Daten unumkehrbar entfernt, sodass kein Rückschluss auf eine Person mehr möglich ist; die Daten fallen dann nicht mehr unter die DSGVO. Bei der Pseudonymisierung werden identifizierende Merkmale durch einen Code ersetzt, der Bezug zur Person kann aber über einen separaten Schlüssel wiederhergestellt werden. Pseudonymisierte Daten bleiben daher personenbezogene Daten und unterliegen weiterhin der DSGVO.