KI Datenschutz

Bei der Implementierung und Nutzung von KI-Technologien unter Berücksichtigung des Datenschutzes sind zahlreiche Aspekte zu berücksichtigen. Dies ist insbesondere deshalb der Fall, weil KI ein großes Spektrum an Aufgaben übernehmen kann:

Chatbots

Die meist auf Large Language Modellen (LLMs) basierenden Chatbots, wie z.B. ChatGPT, sind vielseitig einsetzbar. Sie können nicht nur Text erzeugen, sondern beispielsweise Recherchen beschleunigen, Unterstützung bei der Entwicklung von Software leisten oder sogar Aufgaben im Kundensupport übernehmen.

Datenschutzrechtliche Risiken gehen vor allem mit dem verwendeten Trainingsmaterial einher. Large Language Modelle werden mit solch umfassenden Datenmengen trainiert, sodass personenbezogene Daten darin so gut wie immer enthalten sind. Entsprechend besteht die Gefahr, dass solche Daten ausgegeben und auf unzulässige Weise verarbeitet werden.

Generative KI

KI-Systeme können nicht nur Text erzeugen, sondern ebenso Bilder, Videos und Toninhalte. Auch hier besteht das Risiko, dass sich personenbezogene Daten im Trainingsmaterial befinden und diese im finalen Ergebnis wiederfinden. Die Verwendung von Bildern oder Stimmen real existierender Personen kann einen erheblichen Eingriff in deren Persönlichkeitsrechte darstellen.

Emotionserkennung

Einige Callcenter setzen KI zur Auswertung von Kundengesprächen ein. Moderne Systeme können in Echtzeit analysieren, wie es um die Emotionen der Anrufer und der Callcenter-Agents steht. Auch diese Methode greift in die Privatsphäre der Betroffenen ein, was einen datenschutzkonformen Einsatz zur großen Herausforderung machen kann.

Profiling

Profiling ist gemäß Art. 4 Nr. 4 DSGVO die automatisierte Verarbeitung personenbezogener Daten zur Bewertung bestimmter Aspekte, etwa wirtschaftlicher Lage, Interessen oder Verhalten. Wenn daraus automatisierte Entscheidungen mit erheblicher Wirkung erfolgen (z.B. Ablehnung eines Kredits), sind strenge Anforderungen zu beachten (Art. 22 DSGVO), etwa Transparenz und Widerspruchsrecht. Der Einsatz solcher KI-Lösungen will gut begründet bzw. auf valide Zwecke gestützt sein, da andernfalls Datenschutzvorfälle drohen.

Medizinische Analyse

Moderne KI-Lösungen heben die Auswertung von Gesundheitsdaten auf ein ganz neues Niveau. Bei der Auswertung von Röntgenbildern oder MRT-Daten können derartige Systeme dem Auge eines Facharztes überlegen sein und damit Menschenleben retten. Doch gerade beim Umgang mit Gesundheitsdaten sollte größte Vorsicht angebracht sein, um nicht gegen die DSGVO zu verstoßen.

Gesichtserkennung / Erfassung und Auswertung biometrischer Daten

KI-Systeme werten biometrische Zugangskontrollen zu Geräten und Räumlichkeiten spürbar auf. Personen werden besser erkannt, was Komfort und Sicherheit gleichermaßen erhöht. Allerdings wissen Nutzer solcher Systeme häufig nicht, wie häufig, wo und wie lange die erfassten Daten (z.B. Portraits, Fingerabdrücke oder Sprachaufnahmen) gespeichert werden.

Rollenwechsel beim Einsatz von KI-Systemen

Ein häufig unterschätzter Aspekt beim Einsatz von KI ist die Veränderung der datenschutzrechtlichen und regulatorischen Rolle eines Unternehmens. Während viele Unternehmen davon ausgehen, „nur Nutzer“ einer Lösung zu sein, können bestimmte Handlungen dazu führen, dass sie rechtlich gesehen als Anbieter im Sinne der KI-Verordnung gelten. Ein Rollenwechsel tritt insbesondere dann ein, wenn:

• ein Unternehmen ein bereits auf dem Markt befindliches KI-System unter eigener Marke vertreibt,
• wesentliche Änderungen an einem bestehenden KI-System vorgenommen werden (z.B. durch Nachtraining oder Funktionsanpassung), oder
• der Einsatzzweck der KI geändert wird, etwa von einer internen Textanalyse hin zur Kundeninteraktion, wodurch das System nun in den Bereich der Hochrisiko-KI fällt.

Solche Änderungen führen dazu, dass das Unternehmen nicht mehr nur „Betreiber“, sondern rechtlich verantwortlich als Anbieter eines KI-Systems gilt. Damit greifen zusätzliche Anforderungen aus der KI-Verordnung, insbesondere zur Konformitätsbewertung, technischen Dokumentation, Registrierung und Überwachungspflicht.

Schon bei der Einführung eines KI-Systems sollten Unternehmen klären, wie weit sie in die Entwicklung oder Modifikation eingreifen. Werden Systeme angepasst oder neu konfiguriert, sollte geprüft werden, ob daraus neue Pflichten entstehen. Andernfalls droht die unbeabsichtigte Übernahme von Anbieterverantwortung, inklusive Haftungsrisiken und Bußgeldern bei Verstößen.

Der Einsatz KI-gestützter Systeme ist mit erheblichen datenschutzrechtlichen Herausforderungen verbunden. Welche Fragen zu klären sind, hängt vom jeweiligen Anwendungsszenario ab. Die Praxis zeigt, dass für die Erarbeitung einer umfassenden Datenschutzlösung verschiedene Perspektiven eingenommen werden müssen.

Wir sind der richtige Partner, wenn es um die datenschutzkonforme Einführung und Nutzung von KI in Ihrem Unternehmen geht. Mit unserer Expertise und Erfahrung unterstützen wir Sie bei allen Herausforderungen und sorgen dafür, dass Sie das volle Potenzial von KI-Technologien sicher und effizient nutzen.

• Entwicklung interner Richtlinien für Responsible AI
• Audit zum Stand der Umsetzung regulatorischer Anforderungen
• Durchführung von Datenschutz-Folgenabschätzungen
• Risikoeinstufung des KI-Systems und Ableitung notwendiger Maßnahmen gemäß AI Act
• Beratung zu Privacy by Design und Responsible AI by Design
• Beratung zu weiteren technischen und organisatorischen Maßnahmen, Best Practices und Standards
• Mitarbeiterschulungen zu rechtlichen und ethischen Aspekten des Einsatzes von KI

Ihre Experten für KI-Datenschutz

Die Herold Unternehmensberatung ist die richtige Wahl, wenn Sie datenschutzkonforme KI-Lösungen entwickeln oder einsetzen möchten. Wir unterstützen Sie dabei, rechtliche Anforderungen frühzeitig zu berücksichtigen und geeignete Maßnahmen zum Schutz personenbezogener Daten umzusetzen. Vereinbaren Sie jetzt Ihre kostenlose Erstberatung und erfahren Sie, wie Sie Datenschutz und KI verantwortungsvoll in Einklang bringen.