Datenschutzkonferenz veröffentlicht Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz: Ein Blick auf die Leitlinien der Behörden

Künstliche Intelligenz (KI) ist in aller Munde. Spätestens seit dem Release der stark verbesserten Version des KI-Chatbots ChatGPT des US-amerikanischen Unternehmens OpenAI Ende November 2022 sind KI-Anwendungen auch im Unternehmensumfeld fest etabliert. Unternehmen und andere Organisationen, die KI-Anwendungen wie Large Language Models (LLMs) oder Chatbots in ihrem Geschäftsbetrieb einsetzen möchten, müssen eine Reihe rechtlicher Anforderungen berücksichtigen. Derzeit steht meist die neue KI-Verordnung der EU (AI Act) im Mittelpunkt vieler Diskussionen. Ebenso wichtig sind jedoch die Anforderungen der Datenschutz-Grundverordnung (DSGVO).

Die Datenschutzkonferenz (DSK) – das Gremium der deutschen Datenschutzbehörden –  hat am 6. Mai 2024 eine Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz veröffentlicht, um Organisationen zu unterstützen, den Einsatz von KI-Anwendungen in der Praxis DSGVO-konform zu gestalten. Die Orientierungshilfe ist entsprechend den verschiedenen Phasen des Einsatzes von KI-Anwendungen unterteilt: Diese betreffen (1.) die Planung und Auswahl, (2.) die Implementierung und (3.) die Nutzung von KI-Anwendungen.

Planung und Auswahl von KI-Anwendungen

Einsatzfelder und konkrete Zwecke bestimmen

In einem ersten Schritt sollten Unternehmen die Einsatzfelder und die konkreten Zwecke der geplanten KI-Anwendungen bestimmen. Auf dieser Basis können sie prüfen, ob zur Erreichung dieser Zwecke die Verarbeitung personenbezogener Daten erforderlich ist. Bestimmte Einsatzfelder, wie z. B. ein „Social Scoring“, sind bereits nach den Vorgaben der neuen KI-Verordnung als von vornherein unzulässig zu werten.

Datenschutzkonformes Training und rechtmäßige Verarbeitung

Eine wichtige Maßgabe bei der Auswahl von KI-Anwendungen ist es zudem, dass der Entwickler bzw. Anbieter diese datenschutzkonform trainiert hat. Hierfür muss insbesondere die Nutzung von personenbezogenen Daten für das Training gestützt auf eine Rechtsgrundlage erfolgt sein. Auch für jeden weiteren Schritt der Datenverarbeitung muss das verantwortliche Unternehmen eine Rechtsgrundlage identifizieren und dokumentieren. Weitere Hilfestellung bei der Wahl der Rechtsgrundlage bietet die Orientierungshilfe nicht. Vielmehr verweist die DSK auf ein im November 2023 erschienenes Diskussionspapier des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg.

Transparenz durch Informationspflichten

Im Übrigen sind die betroffenen Personen transparent über die Verarbeitung der sie betreffenden Daten zu informieren. Um diese Informationspflichten – in entsprechenden Datenschutzhinweisen – umsetzen zu können, sollten Unternehmen darauf achten, dass der Anbieter der KI-Anwendung ihnen ausreichende Informationen über die Datenverarbeitungen im Rahmen der KI-Anwendung bereitstellt. In Fällen, in denen die KI-Anwendung im Rahmen automatisierter Entscheidungsfindung zum Einsatz kommt, ist auch über die involvierte Logik und etwaige Auswirkungen für die Betroffenen zu informieren. Hierfür erachtet die DSK Visualisierungen und interaktive Techniken für hilfreich.

Präferenzen bei KI-Anwendungen

Im Rahmen der Auswahl- und Planungsphase bevorzugt die DSK technisch geschlossene KI-Systeme, die mehr Kontrolle über die Input- und Output-Daten erlauben, gegenüber offenen KI-Systemen. Letztere bergen das Risiko, dass Dienstleister oder andere Dritte auf die Daten der Nutzer zugreifen können. Unternehmen sollten außerdem KI-Anwendungen bevorzugen, die keine Input- und Output-Daten für das eigene Training verwenden und keine Eingabehistorie speichern.

Gewährleistung von Betroffenenrechten

Unternehmen sollen gewährleisten, dass die Nutzer von KI-Anwendungen ihre Datenschutzrechte effektiv wahrnehmen können, namentlich auf Zugang, Berichtigung und Löschung ihrer personenbezogenen Daten sowie das Widerspruchsrecht. KI-Anwendungen müssen dementsprechend Daten berichtigen, etwa mittels Datenkorrektur oder Fine Tuning und Daten löschen können. Ist eine Datenlöschung nicht umsetzbar, könnten ersatzweise Filtertechnologien eingesetzt werden.

Keine automatisierte Letztentscheidung: Datenschutzbeauftragten einbinden

Entscheidungen mit rechtlichen und vergleichbaren Wirkungen dürfen nicht ausschließlich und automatisiert durch KI-Anwendungen erfolgen. Die DSK sieht Unternehmen verpflichtet, Vorkehrungen zu treffen, dass automatisierte Entscheidungen tatsächlich menschliche Beteiligungen berücksichtigen. Sie sollen nicht maßgeblich auf KI-basierten Vorschlägen beruhen.

Schließlich sollten in Entscheidungen über den Einsatz von KI-Anwendungen stets betriebliche bzw. behördliche Datenschutzbeauftragte einbezogen werden.

Implementierung von KI-Anwendungen

Verantwortlichkeit und Datenschutzverträge

Bevor sie eine KI-Anwendung implementieren, sollten Unternehmen ihre datenschutzrechtliche Rolle bestimmen, etwa als allein oder gemeinsam Verantwortlicher. Hieran anknüpfend sind gegebenenfalls daraus folgende Datenschutzvereinbarungen mit dem Anbieter oder anderen Beteiligten abzuschließen. Meist wird es sich um einen Auftragsverarbeitungsvertrag oder einen Vertrag zwischen gemeinsam Verantwortlichen handeln.

Interne Richtlinien und Mitarbeitersensibilisierung

Um ihre Organisation auf die Nutzung von KI-Anwendung vorzubereiten, empfiehlt die DSK Unternehmen, unternehmensinterne Richtlinien für die Nutzung von KI-Anwendungen zu implementieren. Diese sollten für Mitarbeiter erlaubte und verbotene Verwendungszwecke und Einsatzszenarien für KI-Anwendungen klar und verständlich festlegen. Ergänzend sollten Mitarbeiter durch Schulungen und Gespräche sensibilisiert werden, ob und ggf. wie sie KI‐Anwendungen innerhalb der Organisation nutzen dürfen.

Datenschutz-Folgenabschätzung und Mitarbeiterschutz

In Fällen, in denen der Einsatz von KI-Anwendungen voraussichtlich mit einem hohen Risiko für die Rechte von Betroffenen einhergeht, ist vorab eine Datenschutz-Folgenabschätzungen für diese Anwendung durchzuführen. Die Prozesse im Unternehmen sollten sicherstellen, dass für jede neu eingeführte KI-Anwendung geprüft wird, ob eine Datenschutz-Folgenabschätzung notwendig ist.

Die berufliche Nutzung von KI-Anwendungen durch Mitarbeitende sollte über Geräte und Konten des Arbeitgebers erfolgen. 

​​​​​​​Datenschutzfreundliche Gestaltung und Gewährleistung der Informationssicherheit

Unternehmen sind den Grundsätzen des „data protection by design and by default“ verpflichtet. Datenschutzfreundlichen Gestaltungen und Voreinstellungen von KI-Anwendungen sind daher bereits konzeptionell durch KI-spezifische Maßnahmen Rechnung zu tragen, z. B. indem optionale Funktionen wie die Input-Historie oder die Input-Datennutzung zu Trainingszwecken bereits bei Inbetriebnahme deaktiviert werden.

Schließlich ist die Informationssicherheit der Anwendungen ebenfalls durch geeignete technische und organisatorische Maßnahmen zu gewährleisten. Hilfestellung bei der Auswahl angemessener Sicherheitsmaßnahmen bietet etwa das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seiner Website.

Nutzung von KI-Anwendungen

Transparenz über Input- und Output-Daten

Schließlich hält die DSGVO auch im Rahmen der Nutzung von KI-Anwendungen Vorgaben bereit. Wenn bereits die Input-Daten einen Personenbezug aufweisen, sind die Betroffenen transparent über deren Verwendung zu informieren. Wenn erst die erzeugten Output-Daten personenbezogene Daten enthalten, muss eine Rechtsgrundlage geprüft und die Betroffenen transparent über die Verarbeitung ihrer Daten informiert werden.

​​​​​​​​​​​​​​Vorsicht bei sensitiven Daten

Bei sensitiven personenbezogenen Daten, welche besonders schutzwürdig sind, muss kritisch geprüft werden, ob eine gesetzliche Ausnahme oder eine ausdrückliche Einwilligung für die Verarbeitung vorliegt. Um sensible personenbezogene Daten handelt es sich z. B. bei religiösen bzw. weltanschaulichen Überzeugungen sowie bei Gesundheitsdaten oder genetischen und biometrischen Daten.

​​​​​​​Prüfung von Richtigkeit und Fairness

KI-generierte Ergebnisse, insbesondere in Bezug auf personenbezogenen Daten, müssen auf ihre Richtigkeit hin überprüft werden. Des Weiteren müssen die KI-Anwendungen überwacht werden, um potenziell diskriminierende Ergebnisse zu vermeiden und die Einhaltung der Gesetze gegen Diskriminierung zu gewährleisten.

Begrenzter Mehrwert für die Praxis

Die DSK-Leitlinien zeigen zwar die meisten der für die Nutzung von KI-Anwendungen relevanten Problembereiche auf. Jedoch fehlen zu nicht wenigen Aspekten sowohl Detailtiefe als auch praxisgerechte Empfehlungen.

​​​​​​​Informationspflichten bei komplexen KI-Anwendungen

Gerade komplexe KI-Anwendungen, wie solche, die auf neuronalen Netzen basieren, sind oft besonders undurchsichtig („Black Box“-Problematik). Dies erschwert die Erfüllung der Informationspflichten gegenüber den Betroffenen – insbesondere entsprechend der strengen Vorgaben der Datenschutzbehörden ­– erheblich. Praxisgerechte Handlungsempfehlungen wären hier wünschenswert gewesen. Dieses Problem hat nun der Europäische Datenschutzausschuss (EDSA) in einem Report der ChatGPT Taskforce aufgenommen. Der EDSA-Report stellt fest, dass bei Erhebung großer Datenmengen durch Web-Scraping eine Information aller betroffenen Personen nicht praktikabel oder möglich sei und daher die Ausnahme aus Art. 14 Abs. 5 lit. b DSGVO anwendbar sein könnte.

​​​​​​​​​​​​​​Sicherstellung von datenschutzkonformen Training

Für Unternehmen relevant wären auch mehr und genauere Empfehlungen hinsichtlich des richtigen Trainings von KI-Anwendungen gewesen. Denn ein datenschutzkonformes Training sollte bereits im Auswahlprozess berücksichtigt werden. Zwar haben Betreiber von KI-Anwendungen zumeist keinen Einfluss auf den Trainingsablauf, Fehler beim Training dürfen sich aber trotzdem nicht auf die Datenverarbeitung in ihrer Verantwortlichkeit auswirken. Wie Unternehmen dies sicherstellen können, lässt die DSK offen. Beim Erwerb von KI-Anwendungen sollten sich Unternehmen daher von den Anbietern ein datenschutzkonformes Training sowie die erforderlichen technischen und organisatorischen Maßnahmen möglichst zusichern lassen.

​​​​​​​​​​​​​​Rechtsgrundlagen für die Datenverarbeitungen

Auch zur Auswahl der Rechtsgrundlagen für Datenverarbeitungen wären detailliertere Ausführungen wünschenswert gewesen, anstatt lediglich auf ein Diskussionspapier zu verweisen. Hier handelt es sich um einen besonders relevanten Bereich, in dem Erkenntnisgewinne den Unternehmen die Praxis erleichtern könnten. Hierzu stellt der EDSA-Report zumindest für das Web-Scraping neue Überlegungen an, indem er andeutet, insoweit überwiegende berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) als Rechtsgrundlage zu akzeptieren.

Fazit und Ausblick

Die Hinweise der DSK für den KI-Einsatz im Geschäftsbetrieb sind als ein erster ein wichtiger Schritt zu begrüßen. Indes bleibt der Mehrwert der DSK-Leitlinien für die Praxis überschaubar, weil Probleme vor allem aufgezeigt, jedoch nur wenig praxistaugliche Lösungen angeboten werden. Ein wenig mehr in der Praxis relevante Hinweise bietet der EDSA-Report der Task Force ChatGPT. Es bleibt zu hoffen, dass die Datenschutzbehörden und Gremien künftig weitere detailliertere und mehr praxisorientierte Leitlinien herausgeben, die Unternehmen helfen, den rechtlichen Anforderungen effektiv nachzukommen.

Zurück zur Übersicht