DSGVO & KI

Die DSGVO gilt für den Einsatz von KI-Systemen genauso wie für jede andere Verarbeitung personenbezogener Daten. Sobald ein Sprachmodell Namen, Kontaktdaten, Gesundheitsdaten oder andere personenbezogene Informationen verarbeitet, greifen dieselben Grundsätze wie bei klassischer Software: eine Rechtsgrundlage für die Verarbeitung, Zweckbindung, Datenminimierung und, bei Einsatz eines externen Cloud-Anbieters, ein Auftragsverarbeitungsvertrag nach Artikel 28.

Eine Besonderheit bei KI-Systemen ist der Serverstandort und die Frage, ob eingegebene Daten zum Training des Anbieters verwendet werden. Viele KI-Anbieter bieten mittlerweile Vertragsmodelle an, die eine Nutzung für eigenes Training ausschließen. Das ist aber kein Automatismus und muss vor dem Einsatz geprüft werden, nicht danach.

In der Praxis bedeutet das: Vor der Auswahl eines KI-Systems steht die Einordnung, welche Daten überhaupt hineinfließen und wie sensibel sie sind. Besonders sensible Daten, etwa Gesundheits- oder Bankdaten, lassen sich so einordnen, dass sie ausschließlich lokal verarbeitet werden und keine Cloud-Anbindung durchlaufen. Diese Einordnung entlastet auch spätere Entscheidungen: Steht einmal fest, welche Daten wie sensibel sind, muss diese Frage nicht bei jedem neuen KI-Projekt erneut von vorn geklärt werden.

Dieser Text ersetzt keine Rechtsberatung und ist keine vollständige Darstellung der DSGVO-Anforderungen an KI-Systeme.