KI & Datenschutz – Checkliste für den Einsatz künstlicher Intelligenz

Die Integration von Künstlicher Intelligenz in Unternehmensprozesse hat viele Vorteile, doch sie bringt auch eine Reihe von rechtlichen und ethischen Herausforderungen mit sich, insbesondere im Bereich des Datenschutzes. Unternehmen, die KI-Systeme einsetzen, müssen sicherstellen, dass ihre Datenverarbeitung den geltenden Datenschutzgesetzen entspricht. Dieser Beitrag beleuchtet die wichtigsten Regelungen, wie die Datenschutz-Grundverordnung und die kommende KI-Verordnung, und erklärt, was Unternehmen beachten müssen.

Datenschutz und KI: Was Unternehmen wissen müssen

Der Einsatz von KI zur Verarbeitung personenbezogener Daten erfordert die Einhaltung der Anforderungen der DSGVO. Dies ist besonders relevant, wenn KI-Systeme zur Verarbeitung sensibler Daten wie Kundeninformationen, Kreditbewertungen oder Daten von Mitarbeitenden verwendet werden. Die DSGVO fordert in diesem Zusammenhang:

• Rechtmäßigkeit: Daten dürfen nur auf einer gültigen rechtlichen Grundlage verarbeitet werden.
• Zweckbindung: Die Verarbeitung darf nur für klar definierte und legitime Zwecke erfolgen.
• Transparenz: Betroffene Personen müssen über die Verarbeitung ihrer Daten informiert werden.
• Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die absolut notwendig sind.
• Richtigkeit und Aktualität: Daten müssen korrekt und aktuell sein.

Unternehmen, die KI-Systeme einsetzen, müssen auch sicherstellen, dass die Funktionsweise der KI transparent ist. Betroffene Personen sollten die Möglichkeit haben, die Logik hinter automatisierten Entscheidungen zu verstehen. Um dies zu gewährleisten, müssen Unternehmen eine umfassende Dokumentation ihrer KI-Systeme führen und im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO) verzeichnen. Zudem ist der Abschluss eines Vertrags über Auftragsverarbeitung notwendig, wenn externe Anbieter involviert sind, die als Auftragsverarbeiter im Sinne der DSGVO fungieren.

Die KI-Verordnung: Harmonisierung und risikobasierte Regelungen

Die im Juni 2024 verabschiedete KI-Verordnung (Verordnung (EU) 2024/1689) ist ein bedeutender Meilenstein für die Regulierung von KI-Systemen in der EU. Sie legt erstmals harmonisierte Vorschriften fest, die sicherstellen sollen, dass KI-Systeme sicher, transparent und ethisch einwandfrei betrieben werden. Die KI-Verordnung tritt gestaffelt in Kraft, sodass Unternehmen frühzeitig planen müssen, um die verschiedenen Fristen und Anforderungen zu erfüllen. Die ersten Regelungen, wie das Verbot von KI-Systemen mit inakzeptablem Risiko, treten bereits am 2. Februar 2025 in Kraft. Ab diesem Datum müssen alle Systeme, die ein solches Risiko bergen, aus dem Verkehr gezogen werden.

Die KI-Verordnung verfolgt dabei einen risikobasierten und menschenzentrierten Ansatz. Sie unterscheidet zwischen unterschiedlichen Kategorien von KI-Systemen: verbotene Praktiken, Hochrisiko-KI-Systeme, Systeme mit geringem Risiko und generative KI-Modelle wie ChatGPT. Für Hochrisiko-KI-Systeme gelten strenge Anforderungen. Unternehmen, die solche Systeme entwickeln oder einsetzen, müssen sicherstellen, dass die Systeme den technischen und organisatorischen Anforderungen entsprechen. Dazu gehört auch, dass die Systeme so konzipiert sind, dass Menschen jederzeit in den Entscheidungsprozess eingreifen können. Dieser „Human-in-the-loop“-Ansatz ist entscheidend, um zu gewährleisten, dass KI nicht ohne menschliche Kontrolle handelt, was insbesondere bei sicherheitskritischen Anwendungen notwendig ist.

Systeme mit geringem Risiko unterliegen hingegen weniger strengen Vorschriften und müssen vor allem Informations- und Transparenzpflichten erfüllen. Unternehmen müssen jedoch auch hier darauf achten, dass die Systeme korrekt dokumentiert sind und die Betroffenen umfassend informiert werden. Die Verordnung legt fest, dass generative KI-Modelle, die für allgemeine Zwecke genutzt werden (General Purpose AI, GPAI), spezifische Anforderungen erfüllen müssen, um Transparenz und Sicherheit zu gewährleisten. Anbieter dieser Modelle, die bereits auf dem Markt sind, haben ebenfalls klare Fristen, bis wann sie ihre Systeme anpassen müssen, um den neuen Regelungen zu entsprechen.

Herausforderungen für Unternehmen und Anpassungsfristen

Die KI-Verordnung definiert klare Übergangsfristen, die für Unternehmen wichtig sind, um rechtzeitig Maßnahmen zu ergreifen. Ein gestaffelter Zeitplan soll sicherstellen, dass Unternehmen genügend Zeit haben, ihre Systeme an die neuen Anforderungen anzupassen.  Für Hochrisiko-KI-Systeme, die bereits in Betrieb sind oder neu eingeführt werden, sind die Fristen ebenfalls gestaffelt. Ab August 2026 müssen alle technischen und organisatorischen Maßnahmen umgesetzt sein, die für die Einhaltung der KI-Verordnung notwendig sind. Besonders wichtig ist die Anpassung solcher Systeme, wenn sie beispielsweise im Gesundheitssektor, bei biometrischen Identifikationssystemen oder in sicherheitskritischen Anwendungen genutzt werden. Bestandsschutzregelungen betreffen bereits auf dem Markt befindliche KI-Systeme. Anbieter solcher Systeme haben, je nach Risikoklasse und Anwendung, zwischen zwei und sechs Jahren Zeit, um ihre Systeme an die neuen Vorgaben anzupassen. Diese Fristen bieten Unternehmen die Gelegenheit, ihre internen Prozesse zu überprüfen und entsprechend anzupassen.

Checkliste: Datenschutz bei Künstlicher Intelligenz für Unternehmen

Diese Checkliste hilft Unternehmen, den Einsatz von Künstlicher Intelligenz einfach und datenschutzkonform zu gestalten.

1. Rechtliche Grundlagen prüfen

• Gibt es eine rechtliche Grundlage für die Verarbeitung der Daten (z. B. Einwilligung)?

2. Transparenz sicherstellen

• Betroffene Personen über die Datenverarbeitung durch KI informieren
• Funktionsweise der KI einfach erklären

3. Datenschutz-Folgenabschätzung durchführen

• DSFA durchführen, wenn automatisierte Entscheidungen getroffen werden
• Maßnahmen dokumentieren und regelmäßig überprüfen

4. Daten sicher verarbeiten

• Daten verschlüsseln und den Zugriff sichern
• Pseudonymisierung oder Anonymisierung der Daten vornehmen

5. Automatisierte Entscheidungen überprüfen

• Stellen automatisierte Entscheidungen rechtliche oder wesentliche Folgen für Personen dar?
• Möglichkeiten für menschliches Eingreifen sicherstellen

6. Mitarbeitende schulen

• Schulungen zu Datenschutz und KI für Mitarbeitende anbieten
• Regelmäßige Updates zu neuen Regeln und Anforderungen durchführen

7. Regelmäßige Überprüfung

• KI-Systeme und Datenschutzmaßnahmen regelmäßig auditieren
• Prozesse bei Bedarf anpassen und optimieren

Die Rolle der Bias-Vermeidung und Datenqualität

Ein zentrales Thema bei der Nutzung von KI ist die Qualität der Daten, die in die Systeme einfließen. Verzerrungen (Bias) in den Trainingsdaten können dazu führen, dass KI-Systeme Diskriminierung oder ungerechte Behandlungen verstärken. Dies ist besonders kritisch, wenn die KI in Bereichen wie Personalmanagement, Kreditvergabe oder Strafverfolgung eingesetzt wird. Die KI-Verordnung fordert daher, dass Unternehmen sicherstellen, dass ihre Systeme mit qualitativ hochwertigen und repräsentativen Daten trainiert werden. Zudem müssen Maßnahmen ergriffen werden, um Verzerrungen zu erkennen und zu beheben, falls diese auftreten. Der ethische Einsatz von KI ist entscheidend, um Vertrauen bei den Nutzern und der Öffentlichkeit zu schaffen und rechtlichen Konsequenzen vorzubeugen.

UNIVADO: Schulungen zur Datenschutz-Compliance bei KI

Um Unternehmen dabei zu unterstützen, die komplexen Anforderungen der Datenschutz- und KI-Gesetzgebung zu erfüllen, bietet UNIVADO praxisnahe Online-Schulungen an. Diese Schulungen sind speziell auf die Bedürfnisse von Unternehmen zugeschnitten, die Künstliche Intelligenz einsetzen oder dies planen. Die Schulungen vermitteln Wissen über die rechtlichen Grundlagen der DSGVO in Bezug auf KI und Datenschutz. Besonders wichtig ist dabei die Vermittlung praktischer Kenntnisse zur Risikoeinschätzung und -bewältigung sowie zur Implementierung technischer und organisatorischer Maßnahmen, die notwendig sind, um die Einhaltung der rechtlichen Vorgaben zu gewährleisten. UNIVADO legt Wert darauf, dass die Teilnehmer nicht nur theoretisches Wissen, sondern auch praxisrelevante Fähigkeiten erwerben, die sie unmittelbar in ihrem Arbeitsumfeld anwenden können. So können Unternehmen sichergehen, dass ihre KI-Systeme nicht nur technisch, sondern auch rechtlich und ethisch den höchsten Standards entsprechen.

Proaktive Planung und Schulung sind entscheidend

Die Integration von KI in Unternehmensprozesse bietet großes Potenzial, bringt jedoch auch erhebliche rechtliche und ethische Herausforderungen mit sich. Die Einhaltung der DSGVO und der kommenden KI-Verordnung ist für Unternehmen unverzichtbar, um rechtliche Konsequenzen, Bußgelder und Imageverlust zu vermeiden. Frühzeitige Maßnahmen zur Anpassung der KI-Systeme, wie etwa die Durchführung von Datenschutz-Folgenabschätzungen und die Implementierung von Bias-Vermeidungstechniken, sind entscheidend. Unternehmen sollten die Übergangsfristen der KI-VO genau im Blick behalten und sicherstellen, dass ihre Systeme rechtzeitig angepasst werden. Dabei können spezialisierte Datenschutz-Schulungen und Beratungsangebote, wie sie von UNIVADO angeboten werden, eine wertvolle Unterstützung darstellen.