Die Konvergenz zwischen dem Schutz personenbezogener Daten und der Entwicklung von KI-Systemen stellt die Rechtspraxis vor erhebliche neue Herausforderungen. Die Datenschutz-Grundverordnung (DSGVO) und das spanische Organgesetz zum Datenschutz und zur Gewährleistung digitaler Rechte (LOPDGDD) sind vollständig auf KI-Systeme anwendbar, die personenbezogene Daten verarbeiten; der neue AI Act führt jedoch zusätzliche Anforderungen ein, die ein duales Compliance-Framework begründen.
Rechtsgrundlagen für die Verarbeitung in KI-Systemen
Viele KI-Systeme werden mit großen Mengen personenbezogener Daten für das Training gespeist. Die häufigste Rechtsgrundlage ist das berechtigte Interesse (Artikel 6.1(f) DSGVO), wobei deren Anwendung einen Interessenabwägungstest erfordert, den groß angelegte KI-Systeme möglicherweise nicht bestehen. Eine informierte Einwilligung setzt voraus, dass die betroffene Person versteht, wie ihre Daten in einem KI-Kontext verwendet werden, was bei historischen Trainingsdaten oder kontinuierlich lernenden Modellen komplex sein kann.
Bei besonderen Kategorien von Daten – Gesundheitsdaten, biometrische Daten, politische oder religiöse Überzeugungen – erfordert die DSGVO zusätzlich eine Bedingung nach Artikel 9.2, was das Training von KI-Modellen mit diesen Daten ohne ausdrückliche Einwilligung oder eine spezifische Rechtsgrundlage erheblich einschränkt.
Automatisierte Entscheidungen und Profiling
Artikel 22 DSGVO regelt das Recht, nicht ausschließlich automatisierten Verarbeitungsentscheidungen unterworfen zu werden. Unternehmen, die KI für Entscheidungen mit erheblichen Auswirkungen auf Personen einsetzen (Kredit, Beschäftigung, Versicherung, Zugang zu Dienstleistungen), müssen echte menschliche Eingriffe, Prozesstransparenz und die Möglichkeit einer Anfechtung gewährleisten. In der Praxis bedeutet dies einen Überprüfungsmechanismus durch eine natürliche Person – nicht nur eine formale Überprüfung –, die in der Lage ist, das algorithmische Ergebnis tatsächlich zu ändern.
Die spanische Datenschutzbehörde (AEPD) hat spezifische Leitlinien zu KI und Datenschutz veröffentlicht und festgestellt, dass der menschliche Eingriff real und nicht lediglich symbolisch sein muss: Ein Bediener, der das Ergebnis des Algorithmus lediglich bestätigt, ohne effektive Überprüfungskompetenz, erfüllt die Anforderung des Artikels 22 nicht.
Datenschutz-Folgenabschätzungen (DSFA)
Wenn die Datenverarbeitung in einem KI-System wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss eine Datenschutz-Folgenabschätzung (DSFA) vor Beginn der Verarbeitung durchgeführt werden. Der AI Act fügt eigene Konformitätsbewertungen für hochriskante Systeme hinzu, was möglicherweise eine doppelte Compliance-Belastung schafft.
Als hochriskante KI-Systeme im Sinne des AI Act gelten unter anderem: Systeme zur Verwaltung kritischer Infrastrukturen, KI in Bildung und Berufsausbildung, Personalauswahlsysteme, Kreditsysteme, Systeme in der Strafjustiz und biometrische Identifizierungssysteme. Für all diese muss das Unternehmen das Systemdesign, die verwendeten Datensätze, Maßnahmen zur menschlichen Aufsicht und die Ergebnisse von Robustheitstests dokumentieren.
Die Rolle des Datenschutzbeauftragten (DSB) in KI-Umgebungen
Unternehmen, die nach Artikel 37 DSGVO einen DSB benennen müssen – einschließlich derer, die groß angelegte Verarbeitung besonderer Datenkategorien oder systematisches Profiling durchführen –, müssen ihren DSB von Anfang an in die Konzeption und Prüfung von KI-Systemen einbeziehen. Dieser Privacy-by-Design-Grundsatz ist besonders wichtig, wenn ein KI-System von einem externen Anbieter erworben wird: Der Auftragsverarbeitungsvertrag muss die Pflichten aus Artikel 28 DSGVO widerspiegeln, und der Auftraggeber muss prüfen, ob der Anbieter den AI Act einhält.
Transparenz und Nutzerinformation
Die DSGVO verpflichtet dazu, die betroffenen Personen klar darüber zu informieren, wie ihre Daten genutzt werden, einschließlich etwaiger automatisierter Entscheidungen. Die Datenschutzerklärungen vieler Unternehmen sind in dieser Hinsicht nach wie vor unzureichend. Die Informationen müssen die angewandte Logik, die Bedeutung der Verarbeitung und die vorgesehenen Konsequenzen für die betroffene Person umfassen. Erwägungsgrund 71 DSGVO bietet interpretative Leitlinien zum erforderlichen Detaillierungsgrad.
Sanktionen und Aufsicht
Schwerwiegende DSGVO-Verstöße – einschließlich solcher im Zusammenhang mit KI-Systemen – können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Der AI Act fügt sein eigenes Sanktionsregime mit Bußgeldern von bis zu 30 Mio. € oder 6 % des weltweiten Umsatzes für schwerwiegendste Verstöße (Einsatz verbotener KI-Systeme) hinzu. Die spanische AEPD fungiert als nationale Aufsichtsbehörde für beide Regulierungsrahmen in Datenschutzfragen.
Praktische Schritte für Unternehmen, die KI einsetzen
Für Unternehmen, die bereits KI-Systeme einsetzen oder deren Einsatz planen, umfasst der empfohlene Compliance-Fahrplan: Zunächst alle eingesetzten KI-Tools – einschließlich SaaS-Lösungen mit integrierten KI-Funktionen – zu erfassen und nach dem Risikorahmen des AI Act zu klassifizieren; dann alle Datenverarbeitungsverträge mit KI-Anbietern auf DSGVO-Artikel-28-Klauseln und AI-Act-Konformitätspflichten zu überprüfen; anschließend interne Datenschutzerklärungen zu aktualisieren, um automatisierte Entscheidungen zu beschreiben; und schließlich für jede im Rahmen der Bestandsaufnahme identifizierte hochriskante Verarbeitungstätigkeit eine DSFA durchzuführen.
Dieser Prozess muss nicht belastend sein, wenn er systematisch angegangen wird. Viele Organisationen stellen fest, dass die bestehende DSGVO-Compliance-Infrastruktur – Verarbeitungsverzeichnis, DSFA für bestehende Systeme, Lieferantenmanagementverfahren – eine solide Grundlage bietet, die mit gezielten Ergänzungen auf KI-spezifische Anforderungen ausgeweitet werden kann.
Bei BMC beraten wir zu Datenschutz und Künstlicher Intelligenz. Mehr zu unseren Datenschutzleistungen.
