Die neue Ausgabe der RDV ist da!
Editorial
Wanted! AI-Privacy-Experts
Die EU-Verordnung über Künstliche Intelligenz (KI-VO) ist am 1. August 2024 in Kraft getreten. In den Mitgliedstaaten findet sie dann mit Blick auf Hochrisiko-KI nach 24 Monaten Anwendung. Einige Vorschriften sind allerdings schon vorher zu beachten. So müssen Maßnahmen zur Vermittlung von KI-Kompetenz spätestens nach sechs Monaten ergriffen werden.
Es liegt nahe den bereits mit Datenschutz betreuten Beschäftigten, insbesondere den betrieblichen Datenschutzbeauftragten, die ergänzende KI-Kompetenz zu vermitteln. Denn die DS-GVO und die KI-VO sind nebeneinander anzuwenden, da die DS-GVO durch die KI-VO gem. Art. 2 Abs. 7 unberührt bleibt. Damit gelten damit die Prinzipien des Art. 5 DS-GVO mit der korrespondierenden Rechenschaftspflicht auch beim Einsatz der KI.
Bereits die Zulässigkeit der Verarbeitung personenbezogener Daten in KI-Systemen bedarf einer Rechtsgrundlage, wobei zu beachten ist, dass die DS-GVO keine speziellen, explizit auf KI-Systeme zugeschnittenen Regelungen enthält. Für Datenverarbeitungen im Zusammenhang mit KI sind also die allgemeinen Rechtsgrundlagen der DS-GVO heranzuziehen.
Erfolgt mit dem Einsatz von KI eine automatisierte Entscheidungsfindung einschließlich Profiling gilt Art. 22 DS-GVO mit seinen Zulässigkeits- und Transparenzpflichten.
Die datenschutzrechtlichen Informationspflichten und nach der KI-VO bestehende Transparenzpflichten sind unabhängig voneinander zu beachten, überschneiden sich aber in ihrem Informationsgehalt. In beiden Fällen geht es darum zu vermitteln, dass eine Maschine im Verhältnis zum Betroffenen agiert.
Ein Risiko, das eine Datenschutz-Folgenabschätzung erforderlich macht, kann sich nach dem expliziten Wortlaut bei „Verwendung neuer Technologien“ ergeben.
Auch Klassiker der Datenschutzorganisation wie die Verantwortlichkeit als Auftragsverarbeiter oder Joint Controller stellen sich je nach Ausgestaltung der KI neu.
Angesichts der komplexen Regelungen der KI-Verordnung, die neben die DS-GVO treten und mit dieser zusammenspielen, bedarf es für Datenschutzbeauftragte, aber auch mit KI befasste Datenschutzmanager und -koordinatoren, einer zusätzlichen KIKomepetenz um der Anforderung an die Fachkunde nach der DS-GVO und KI-VO zu erfüllen. Diese kann nach dem von der GDD entwickelten Konzept zur Fortbildung als „KI-Datenschutz-Experte“ vermittelt werden.
RA Andreas Jaspers