KI und Datenschutz: Was Sie wissen sollten

Generative KI ist in vielen Unternehmen längst Alltag – doch mit der zunehmenden Nutzung wachsen auch die Herausforderungen für Datenschutz und Datensicherheit. Der im März 2024 verabschiedete EU AI Act setzt erstmals einen globalen Rechtsrahmen für den Einsatz von KI-Technologien und wirft gleichzeitig neue Fragen auf, etwa zum Urheberrecht. Die Datenschutzbehörde (DSB) hat nun einen FAQ-Leitfaden veröffentlicht, der ihre Position zum sicheren und rechtskonformen Umgang mit KI zusammenfasst. Hier finden Sie die wichtigsten Bestimmungen im Überblick.

1. Was ist ein KI-System?

Ein KI-System ist ein Computerprogramm, das Aufgaben übernimmt, die normalerweise menschliche Intelligenz erfordern. Es kann lernen, Entscheidungen treffen und mit seiner Umgebung interagieren. Laut EU-KI-Verordnung sind KI-Systeme maschinengestützte Systeme, die autonom agieren und sich anpassen können.

2. Was ist generative KI?

Generative KI kann selbstständig digitale Inhalte wie Texte, Bilder, Audio oder Videos erstellen – bekannte Beispiele sind ChatGPT und DALL·E. Sie benötigt ein umfangreiches Training mit Daten und wird durch Nutzereingaben („Prompts“) gesteuert.

3. Rechtlicher Rahmen für KI-Systeme

Die Nutzung von KI wird durch die EU-KI-Verordnung (EU AI Act) geregelt. Diese Verordnung schafft einen rechtlichen Rahmen für vertrauenswürdige KI und wird zwei Jahre nach ihrer finalen Verabschiedung in Kraft treten. Die Umsetzung wird vom Europäischen AI-Büro überwacht.

4. KI-Regulierung in Österreich

In Österreich werden nationale Marktüberwachungsbehörden sicherstellen, dass KI-Systeme den Vorgaben der KI-Verordnung entsprechen. Wer diese Aufgabe übernimmt, ist noch offen. Bereits eingerichtet wurde eine KI-Servicestelle bei der Rundfunk- und Telekommunikations-Regulierungsbehörde (RTR) als erste Anlaufstelle für Informationen rund um KI.

5. Verhältnis der KI-Verordnung zur DSGVO

KI-Systeme verarbeiten oft personenbezogene Daten und müssen daher die Bestimmungen der DSGVO und des Datenschutzgesetzes (DSG) einhalten. In Österreich ist die Datenschutzbehörde (DSB) für die Durchsetzung zuständig. Beschwerden wegen Datenschutzverstößen durch KI können direkt bei der DSB eingereicht werden.

Laut KI-Verordnung (Art. 74 Abs. 8) ist die Datenschutzbehörde zudem für die Marktüberwachung von KI-Systemen mit hohem Risiko zuständig, insbesondere in sensiblen Bereichen wie Strafverfolgung, Grenzverwaltung, Justiz und Demokratie.

6. Datenschutzrechtliche Besonderheiten der KI-VO

Die DSGVO gilt unabhängig von der verwendeten Technologie – also auch für KI-Systeme. Deshalb verweist die KI-Verordnung regelmäßig auf die DSGVO, insbesondere bei Begriffen wie „personenbezogene Daten“, „biometrische Daten“ oder „Profiling“.

Gleichzeitig erweitert die KI-Verordnung einige datenschutzrechtliche Regeln. So kann die Verarbeitung sensibler Daten (Art. 9 DSGVO) unter bestimmten Umständen erlaubt sein, um Verzerrungen („Biases“) in KI-Systemen zu erkennen. Solche Daten müssen jedoch mit einer Begründung im Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO dokumentiert werden (Art. 10 Abs. 5 KI-VO).

7. Wichtige Datenschutzprinzipien

Da KI-Systeme oft personenbezogene Daten verarbeiten, müssen sie die DSGVO-Grundsätze einhalten und deren Umsetzung nachweisen (Art. 5 Abs. 1 und 2 DSGVO). Dazu gehören:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung (Daten nur für festgelegte Zwecke verwenden)
• Datenminimierung (nur notwendige Daten erfassen)
• Richtigkeit (Daten aktuell und korrekt halten)
• Speicherbegrenzung (Daten nicht länger als nötig speichern)
• Integrität und Vertraulichkeit (Schutz vor unbefugtem Zugriff)

Rechtmäßigkeit der Verarbeitung: Die Verarbeitung personenbezogener Daten erfordert eine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO – etwa Einwilligung, Vertragserfüllung, eine rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgaben oder berechtigtes Interesse. Für sensible Daten (z. B. Gesundheitsdaten, politische Meinungen) gelten zusätzliche Anforderungen nach Art. 9 DSGVO.

Transparenz und Fairness: Personenbezogene Daten dürfen nicht missbräuchlich verarbeitet werden. Betroffene müssen über die Verarbeitung informiert werden; unfaire oder unerwartete Datenverarbeitung ist unzulässig.

Richtigkeit bei generativer KI: Daten müssen korrekt sein. Besonders generative KI-Systeme wie ChatGPT können falsche oder irreführende Inhalte erzeugen, was eine besondere Verantwortung beim Einsatz mit sich bringt.

Sicherheit und Zugriffsschutz: KI-Systeme müssen angemessene Sicherheitsmaßnahmen erfüllen, um unbefugten Zugriff oder Datenverlust zu verhindern.

Automatisierte Entscheidungen: Betroffene haben das Recht, nicht ausschließlich durch KI-gestützte Entscheidungen beeinträchtigt zu werden (Art. 22 DSGVO). Das gilt besonders in Bereichen wie Bewerberauswahl oder Kreditvergabe. Falls automatisierte Entscheidungen getroffen werden, müssen Betroffene informiert werden und eine menschliche Überprüfung verlangen können.

8. Gilt die DSGVO auch für Nutzer fremder KI-Anwendungen?

Kurz gesagt: Ja.

Sobald eine Person oder ein Unternehmen über die Zwecke und Mittel der Datenverarbeitung entscheidet, gilt sie als datenschutzrechtlich Verantwortliche und muss die DSGVO einhalten. Auch wenn die technischen Vorgaben vom Anbieter kommen, bleibt die Verantwortung für die Einhaltung der Datenschutzvorschriften beim Nutzer des KI-Systems.

9. Datenschutz beim Einsatz von KI-Drittanbietern

Wer ein KI-System eines Drittanbieters nutzt, muss sicherstellen, dass keine personenbezogenen Daten unrechtmäßig weitergegeben oder Geschäftsgeheimnisse gefährdet werden. Besonders kritisch ist die Datenübermittlung an den Anbieter oder Dritte.

Die Datenschutzbehörde empfiehlt daher:

• Interne Regeln aufstellen, welche Daten mit KI-Systemen verarbeitet werden dürfen.
• Prüfen, ob der Drittanbieter DSGVO-konform arbeitet.
• Gegebenenfalls On-Premise-Lösungen nutzen, um volle Kontrolle über die Daten zu behalten.

Fazit

Der Einsatz von KI-Systemen bringt viele Chancen, aber auch erhebliche Datenschutzrisiken mit sich. Die DSGVO bleibt auch für KI-Technologien maßgeblich und setzt klare Regeln für die Verarbeitung personenbezogener Daten. Unternehmen und Nutzer sollten sich daher intensiv mit den rechtlichen Vorgaben auseinandersetzen, um Datenschutzverstöße zu vermeiden und KI verantwortungsvoll einzusetzen.

Quellen

1. Datenschutzbehörde Österreich – Künstliche Intelligenz & Datenschutz↗ (öffnet in neuem Tab)
2. Trend.at – KI und Datenschutz: Leitfaden der Datenschutzbehörde DSB↗ (öffnet in neuem Tab)
3. WIFI Wien – KI und Datenschutz: Herausforderungen↗ (öffnet in neuem Tab)
4. Universität Wien – Datenschutz im Zeitalter von KI↗ (öffnet in neuem Tab)
5. Dorda.at – DSB veröffentlicht erstmals FAQ zu Künstlicher Intelligenz↗ (öffnet in neuem Tab)
6. arXiv – Datensouveränität für Verbraucher:innen (DSGVO-Kontext)↗ (öffnet in neuem Tab)
7. Wikipedia – ARGE Daten↗ (öffnet in neuem Tab)
8. Wikipedia – Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten↗ (öffnet in neuem Tab)