DSGVO-konforme KI-Lösungen

Es gibt kein pauschales Gütesiegel "DSGVO-konforme KI", die Konformität hängt davon ab, wie ein konkretes System personenbezogene Daten verarbeitet, nicht vom Modell selbst. Entscheidend sind unter anderem die Rechtsgrundlage der Verarbeitung, ob eine Datenübermittlung in Drittländer stattfindet, und ob Betroffenenrechte wie Auskunft oder Löschung technisch umsetzbar sind. Ein Sprachmodell kann in einem Anwendungsfall konform eingesetzt werden und in einem anderen nicht, je nachdem, welche Daten hineinfließen.

Nein, eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO nur bei Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte betroffener Personen verpflichtend. Bei KI-Systemen ist das häufig der Fall, etwa bei automatisierten Einzelentscheidungen mit rechtlicher Wirkung oder der systematischen Bewertung persönlicher Aspekte, aber nicht automatisch bei jedem KI-Einsatz. Eine kurze Vorprüfung des jeweiligen Anwendungsfalls zeigt, ob die Schwelle erreicht wird.

Grundsätzlich ja, unter bestimmten Voraussetzungen: Der Anbieter muss vertraglich als Auftragsverarbeiter eingebunden sein, eine Übermittlung in die USA benötigt eine geeignete Rechtsgrundlage wie Standardvertragsklauseln, und es sollte technisch sichergestellt sein, dass keine personenbezogenen Daten ohne Rechtsgrundlage eingegeben werden. Die Business- und Enterprise-Varianten der meisten Anbieter bieten dafür andere vertragliche Grundlagen als die kostenlosen Consumer-Versionen, die für den Unternehmenseinsatz in der Regel ungeeignet sind.

Haftbar ist grundsätzlich der Verantwortliche im Sinne der DSGVO, also das Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet, unabhängig davon, ob der Verstoß durch menschliches Handeln oder ein KI-System verursacht wurde. Der Einsatz eines externen KI-Anbieters verlagert die datenschutzrechtliche Verantwortung nicht automatisch dorthin; eine klare Aufgabenteilung im Auftragsverarbeitungsvertrag regelt zwar interne Haftungsfragen, ändert aber nichts an der Verantwortlichkeit gegenüber Aufsichtsbehörden und Betroffenen.

Es gelten die regulären DSGVO-Bußgeldrahmen: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. KI-Systeme erhöhen dieses Risiko nicht durch eigene Sanktionsvorschriften, sondern dadurch, dass sie häufig große Datenmengen automatisiert verarbeiten, ein systematischer Verstoß betrifft dann potenziell deutlich mehr betroffene Personen als eine manuelle Einzelverarbeitung.

Die DSGVO regelt den Umgang mit personenbezogenen Daten unabhängig von der eingesetzten Technologie, während der EU AI Act spezifisch KI-Systeme nach ihrem Risikopotenzial klassifiziert und je nach Klasse technische und organisatorische Anforderungen vorschreibt. Beide Regelwerke gelten parallel und unabhängig voneinander: Ein KI-System kann DSGVO-konform sein und trotzdem gegen AI-Act-Anforderungen verstoßen, etwa bei fehlender technischer Dokumentation, und umgekehrt.

Relevant ist vor allem, ob ein Tool beide Regelwerke in einem gemeinsamen Datenmodell abbildet, also ob eine Änderung an einer Datenverarbeitung automatisch sichtbar macht, welche DSGVO- und welche AI-Act-Pflichten betroffen sind, statt zwei getrennte Systeme pflegen zu müssen. Zusätzlich sollte geprüft werden, ob die generierten Reports auditfähig sind, das heißt nachvollziehbar dokumentieren, welche Prüfschritte wann mit welchem Ergebnis durchgeführt wurden.

US-Dienste können bei entsprechender vertraglicher Absicherung, etwa über Standardvertragsklauseln oder im Rahmen des EU-US Data Privacy Framework, DSGVO-konform genutzt werden. Bei chinesischen Anbietern fehlt ein vergleichbarer Angemessenheitsbeschluss, sodass eine Übermittlung nur mit zusätzlichen vertraglichen und technischen Garantien sowie einer Transferfolgenabschätzung zulässig ist, in der Praxis ein deutlich höherer Prüfaufwand als bei US-Anbietern.