Das vorübergehende Verbot des KI-Tools ChatGPT in Italien hat eine intensive Debatte zu den datenschutzrechtlichen Anforderungen an die Entwicklung, den Betrieb und die Nutzung von KI-Systemen entfacht. Auch die deutschen Datenschutzaufsichtsbehörden prüfen derzeit die Einhaltung der datenschutzrechtlichen Anforderungen bei ChatGPT. Hierzu haben die Behörden unter anderem einen Katalog mit über 40 Fragen zum Datenschutz an ChatGPT-Betreiber OpenAI übersandt. Der Fragenkatalog gibt einen interessanten Einblick in das laufende Prüfverfahren und die Herangehensweise der Datenschutzaufsichtsbehörden. Darüber hinaus kann der Fragenkatalog Unternehmen auf vielfältige Weise bei der Überprüfung und Verbesserung der Datenschutz-Compliance bei KI dienen.
Acht-Punkte-Plan zur Datenschutz-Compliance von KI
Neben tiefgehenden Audits rund um die Entwicklung, den Betrieb und die Nutzung von KI-Systemen lässt sich beispielsweise der folgende Acht-Punkte-Plan für eine schnelle Betrachtung ableiten. Ein KI-System ist mit den Anforderungen der DSGVO vereinbar, wenn …
- … die Grundsätze der Datenverarbeitung (insb. Zweckbindung, Datenminimierung und Speicherbegrenzung) eingehalten werden.
- … die Verarbeitung von personenbezogenen Daten in vollem Umfang auf eine Rechtsgrundlage gestützt werden kann und bei der Verarbeitung von besonderen Kategorien von personenbezogenen Daten die besonderen Anforderungen von Art. 9 DSGVO erfüllt werden.
- … die Datenverarbeitung transparent erfolgt und die Betroffenenrechte gewährleistet werden.
- … die Anforderungen an Datensicherheit, Data Protection by Design und datenschutzfreundliche Voreinstellungen erfüllt sind.
- … eine Datenschutzfolgenabschätzung durchgeführt wurde.
- … der Schutz von Kindern und Jugendlichen gewährleistet ist.
- … bei Drittlandsübermittlungen ein angemessenes Datenschutzniveau gewährleistet ist.
- … bei einer Weiternutzung der Daten durch andere Dienste oder Unternehmen die datenschutzrechtliche Verantwortlichkeit und Zulässigkeit geklärt ist.
Bewertung und Ausblick
Es zeichnet sich ein grundsätzliches Spannungsverhältnis zwischen KI und Datenschutz ab. Die Vereinbarkeit von DSGVO und KI wird daher nicht nur die Behörden, sondern auch die Praxis in Zukunft weiter beschäftigen. Auch die geplante KI-Verordnung dürfte zu vielfältigen rechtlichen Herausforderungen beim Einsatz von KI führen. Für den Datenschutz gibt der Fragenkatalog der Datenschutzaufsichtsbehörden Verantwortlichen aber schon heute vielfältige Möglichkeiten zur Kontrolle und Verbesserung der eigenen Compliance an die Hand. Wer KI-Systeme entwickelt, betreibt oder nutzt, sollte entsprechende Maßnahmen ergreifen.
zurück