DAILY

KI und DSGVO

Verfügbar Künstliche Intelligenz

Die KI-Verordnung lässt die DSGVO unberührt. Sobald ein KI-System personenbezogene Daten verarbeitet – im Training, in Eingaben oder in Ausgaben –, gelten alle Grundsätze und Pflichten der DSGVO. Diese Prüfliste bündelt die Punkte, die bei KI regelmäßig offen bleiben, nach der Orientierungshilfe der Datenschutzkonferenz und der Stellungnahme 28/2024 des EDSA.

Ausgangslage

1. Verarbeitet das KI-System personenbezogene Daten, sei es in den Trainingsdaten, in Eingaben (Prompts, Dokumente) oder in Ausgaben?

Ein mit personenbezogenen Daten trainiertes Modell ist nach Stellungnahme 28/2024 des EDSA nicht ohne Weiteres anonym.

EDPB Stellungnahme 28/2024
2. Trifft das System Entscheidungen ausschließlich automatisiert, die Personen gegenüber rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen?

Nach dem EuGH kann schon ein Score eine solche Entscheidung sein, wenn ein Dritter maßgeblich darauf abstellt.

EuGH C-634/21 (SCHUFA)

Rechtmäßigkeit

3. Ist für jede Phase – Training, Betrieb, Verwendung der Ausgaben – eine Rechtsgrundlage nach Art. 6 bestimmt und dokumentiert?
Art. 6 Abs. 1 DSGVO In den Normen öffnen
4. Bei besonderen Kategorien personenbezogener Daten: Liegt zusätzlich eine Ausnahme nach Art. 9 Abs. 2 vor?
Art. 9 Abs. 2 DSGVO In den Normen öffnen
5. Bei ausschließlich automatisierten Entscheidungen: Greift eine Ausnahme nach Art. 22 Abs. 2, und haben Betroffene das Recht auf menschliches Eingreifen, auf Darlegung ihres Standpunkts und auf Anfechtung?
Art. 22 Abs. 2 und 3 DSGVO In den Normen öffnen

Grundsätze

6. Werden nur die erforderlichen Daten in Training und Eingaben verwendet, wo möglich anonymisiert oder pseudonymisiert?
Art. 5 Abs. 1 lit. c, Art. 25 DSGVO In den Normen öffnen
7. Werden Ausgaben über Personen vor ihrer Verwendung auf Richtigkeit geprüft (Halluzinationen)?
Art. 5 Abs. 1 lit. d DSGVO In den Normen öffnen
8. Werden die Betroffenen über die KI-Verarbeitung informiert, bei automatisierten Entscheidungen auch über die involvierte Logik und ihre Tragweite?
Art. 13 Abs. 2 lit. f, Art. 14 DSGVO In den Normen öffnen

Organisation

9. Können Auskunft, Berichtigung und Löschung auch für Daten in Trainingssätzen, Verläufen und Ausgaben umgesetzt werden?
Art. 15–17 DSGVO In den Normen öffnen
10. Wurde geprüft, ob eine Datenschutz-Folgenabschätzung nötig ist, und wurde sie gegebenenfalls durchgeführt?

KI-gestützte Verarbeitungen zur Steuerung der Interaktion mit Betroffenen stehen auf der Muss-Liste der DSK.

Art. 35 DSGVO In den Normen öffnen
11. Bei externen KI-Diensten: Ist ein Auftragsverarbeitungsvertrag geschlossen und ausgeschlossen, dass der Anbieter Eingaben für eigene Zwecke wie das Training nutzt?
Art. 28 DSGVO In den Normen öffnen
12. Bei Verarbeitung außerhalb des EWR: Ist die Übermittlung nach Art. 44 ff. abgesichert?
Art. 44–49 DSGVO In den Normen öffnen
Dieses Ergebnis wird nicht gespeichert. Mit einem Konto werden Prüfungen mit Datum und Katalogversion abgelegt.
Menü
Vorschau · Was das bedeutet
Dunkles Papier