DSGVO KI-Compliance: Datenschutz für KI-Systeme

Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Für KI-Systeme bedeutet das: Scoring-Modelle, Kreditentscheidungen oder Bewerbungsfilter, die ohne menschliche Prüfung urteilen, sind grundsätzlich unzulässig. Ausnahmen bestehen nur bei ausdrücklicher Einwilligung, Vertragserforderlichkeit oder gesetzlicher Ermächtigung, und auch dann müssen Unternehmen das Recht auf Anfechtung, menschliche Überprüfung und Darlegung des eigenen Standpunkts gewährleisten (Art. 22 Abs. 3).

Eine DSFA nach Art. 35 DSGVO ist Pflicht, wenn die KI-Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die Aufsichtsbehörden sehen das bei KI regelmäßig als gegeben an, insbesondere bei: Profiling und automatisierter Entscheidungsfindung, Verarbeitung besonderer Kategorien personenbezogener Daten, systematischer Überwachung öffentlicher Bereiche oder innovativem Technologieeinsatz in großem Umfang. Seit August 2025 verlangt zusätzlich Art. 27 des EU AI Act eine Grundrechte-Folgenabschätzung (FRIA) für Hochrisiko-KI-Systeme.

Die DSGVO reguliert den Schutz personenbezogener Daten bei jeder Verarbeitung, auch durch KI. Der EU AI Act reguliert KI-Systeme selbst anhand ihres Risikos: verbotene Praktiken, Hochrisiko-Systeme, begrenzte Transparenzpflichten und Minimalrisiko. Beide Regelwerke gelten parallel und ihre Sanktionen kumulieren: bis zu 20 Mio. Euro (DSGVO) plus 35 Mio. Euro (AI Act). Unternehmen müssen daher sowohl die Datenschutz-Anforderungen (Rechtsgrundlage, DSFA, Betroffenenrechte) als auch die produktsicherheitsrechtlichen KI-Pflichten (Risikoklassifizierung, Dokumentation, menschliche Aufsicht) erfüllen.

Profiling gemäß Art. 4 Nr. 4 DSGVO umfasst jede automatisierte Verarbeitung personenbezogener Daten zur Bewertung persönlicher Aspekte, etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Interessen oder Verhalten. Bei KI-Systemen liegt Profiling vor, wenn Algorithmen Nutzerverhalten analysieren, Risikoscores berechnen oder Vorhersagen über Personen treffen. Unzulässig wird es, wenn die Entscheidung ausschließlich automatisiert ist und rechtliche oder ähnlich erhebliche Auswirkungen hat (Art. 22 Abs. 1 DSGVO), wenn keine wirksame Einwilligung vorliegt oder wenn besondere Datenkategorien ohne explizite Einwilligung verarbeitet werden (Art. 22 Abs. 4).

Art. 13 und 14 DSGVO verpflichten Verantwortliche, Betroffene über automatisierte Entscheidungsfindung einschließlich Profiling zu informieren. Konkret müssen Unternehmen aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitstellen. Für KI-Systeme bedeutet das: verständliche Erklärungen, welche Daten das Modell nutzt, wie Entscheidungen zustande kommen und welche Auswirkungen zu erwarten sind. Der EU AI Act ergänzt dies um Kennzeichnungspflichten: Nutzer müssen wissen, dass sie mit einem KI-System interagieren, und bei Deepfakes oder KI-generierten Inhalten ist eine Offenlegung vorgeschrieben.