Neben der DSGVO gilt ein zweites europäisches Gesetz, das schrittweise in Kraft tritt: die AI-Verordnung, auch AI Act genannt. Dieses Gesetz regelt nicht den Datenschutz selbst, sondern die Nutzung von künstlicher Intelligenz und betrifft dadurch genau die Tools, die viele KMU-Unternehmen inzwischen täglich nutzen: einen Chatbot für den Kundenkontakt, einen CV-Scanner bei der Personalbeschaffung oder Software, die Kamerabilder analysiert. Für Unternehmen, die solche Tools einsetzen, kommen in diesem Jahr und in den kommenden Jahren schrittweise neue Anforderungen hinzu – zusätzlich zu dem, was die DSGVO bereits vorsieht.
Ob dies für Ihr Unternehmen relevant ist, hängt davon ab, was die KI-Anwendung genau tut und mit welchen Daten sie arbeitet. Wenn Sie KI nur zur Texterstellung oder Terminplanung nutzen, wird sich für Sie wahrscheinlich wenig ändern. Wenn Sie KI zur Unterstützung von Entscheidungen über Personen einsetzen – Bewerber auswählen, Personal bewerten, Kunden in Risikokategorien einordnen – ist die Wahrscheinlichkeit größer, dass die neuen Regeln Sie betreffen, und dass sie zusammen mit der DSGVO auf dieselbe Datenverarbeitung blicken.
Was sich in diesem Jahr ändert
Die AI-Verordnung ist nicht auf einmal in Kraft getreten. Das Gesetz hat verschiedene Stichtage, zu denen einzelne Teile in Kraft treten, verteilt über mehrere Jahre. So gelten strengere Regeln für KI-Systeme, die als risikobehaftet eingestuft werden, und es gibt separate Anforderungen für Anbieter von allgemeinen KI-Modellen. Welches Datum für welchen Teil genau gilt, ist in der Verordnung selbst festgehalten; da dies ein gestaffelter Prozess ist, raten wir Ihnen, den offiziellen Text zu konsultieren, um die genauen Stichtage zu erfahren, die auf Ihre Situation zutreffen, anstatt sich auf eine Zusammenfassung zu verlassen.
Fest steht jedoch die Richtung: Je mehr Einfluss eine KI-Anwendung auf Menschen hat – bei der Personalbeschaffung, Bewertung, beim Zugang zu Dienstleistungen – desto strenger werden die Anforderungen. Das entspricht der Art und Weise, wie die DSGVO bereits seit längerer Zeit auf automatisierte Entscheidungsfindung blickt, aber die AI-Verordnung fügt eigene Anforderungen hinzu, wie Anforderungen an die Dokumentation, Transparenz gegenüber der betroffenen Person und in bestimmten Fällen eine obligatorische Bewertung, bevor das System in Betrieb genommen wird.
Für wen diese Änderung relevant ist
Die Verordnung unterscheidet Rollen: Wer ein KI-System entwickelt oder auf den Markt bringt, hat andere Anforderungen als wer es als Unternehmen nur nutzt. Die meisten KMU-Unternehmen fallen in die zweite Kategorie, als Nutzer eines Tools, das von einem Softwareanbieter entwickelt wurde. Auch dann gelten Anforderungen, die sind in der Regel aber weniger streng als für den Entwickler des Systems. Denken Sie an die Informationspflicht gegenüber Mitarbeitern oder Kunden, dass KI eingesetzt wird, und an die Bewertung, ob die Nutzung im Rahmen des Gesetzes bleibt.
Personalabteilungen, die KI bei der Personalbeschaffung oder Bewertung nutzen, und Unternehmen, die Kamerabilder von Software analysieren lassen, sollten jetzt schon ein Verzeichnis erstellen, welche Tools das genau sind und was sie mit den Daten tun. Das ist dasselbe Verzeichnis, das die DSGVO bereits für das Verarbeitungsverzeichnis fordert, und diese beiden Linien – DSGVO und AI-Verordnung – verlaufen in der Praxis oft parallel.
Was dies neben der DSGVO bedeutet
Die AI-Verordnung ersetzt die DSGVO nicht und macht sie auch nicht überflüssig. Wenn ein KI-Tool personenbezogene Daten verarbeitet, bleibt die DSGVO auf diese Verarbeitung anwendbar, einschließlich der Anforderung einer Rechtsgrundlage, der Informationspflicht gegenüber betroffenen Personen und, soweit zutreffend, einer Datenverarbeitungsvereinbarung mit dem Tool-Anbieter. Die AI-Verordnung kommt in bestimmten Fällen hinzu, mit eigenen Anforderungen, die speziell das KI-System betreffen, unabhängig davon, ob personenbezogene Daten beteiligt sind.
Wenn bei der Nutzung eines KI-Tools etwas mit personenbezogenen Daten schiefgeht – ein Chatbot, der versehentlich Kundendaten mit der falschen Person teilt, oder ein System, das Daten ungesichert speichert – bleibt die Meldepflicht nach der DSGVO uneingeschränkt bestehen. Wenn Sie unsicher sind, ob ein Vorfall mit einem KI-Tool unter diese Meldepflicht fällt, können Sie in wenigen Fragen zeigen, ob es sich um eine meldepflichtige Datenschutzverletzung handelt.
Was Sie jetzt schon tun können
Ohne auf jedes Datum zu warten, können Sie jetzt schon erfassen, welche KI-Tools in Ihrem Unternehmen eingesetzt werden, wofür, und ob dabei personenbezogene Daten verarbeitet werden. Diese Bestandsaufnahme ist auch die Grundlage des Verarbeitungsverzeichnisses, das die DSGVO bereits fordert, und diese beiden Ziele — DSGVO-Verzeichnis und KI-Übersicht — können Sie in einem Schritt abwickeln. Gdpria.eu hält in der Wissensdatenbank pro Thema auf dem Laufenden, was rund um KI und Datenschutz eine Rolle spielt, mit dem Fundort im offiziellen Text dabei, damit Sie selbst überprüfen können, was auf Ihre Situation zutrifft.
Haben Sie Fragen dazu, wie KI-Nutzung sich zu Ihren bestehenden DSGVO-Pflichten verhält, dann finden Sie eine Reihe von Antworten bei der häufig gestellte Fragen. Zur Frage, wie wir zu unseren Informationen kommen und warum diese bewusst an der Quelle bleiben, lesen Sie das auf der Seite woher die Informationen kommen.
Ob und wie diese Regeln genau auf Ihr Unternehmen zutreffen, ist etwas, das Sie am besten von einem Juristen beurteilen lassen können oder, im Zweifelsfall zur DSGVO-Seite hin, bei der Autorität Persoonsgegevens nachfragen. Möchten Sie sich erst selbst einen Überblick über Ihren Stand verschaffen, dann können Sie unverbindlich den kostenlosen Quick-Check durchführen oder die Themen in der Wissensdatenbank durchgehen.