Die Nutzung von Künstlicher Intelligenz (KI) bringt zahlreiche Chancen, aber auch Herausforderungen mit sich – insbesondere im Hinblick auf den Datenschutz. Unternehmen, Behörden und andere Organisationen stehen vor der Frage, wie sie KI-Anwendungen datenschutzkonform einsetzen können. Die Datenschutzkonferenz (DSK), bestehend aus den unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, hat daher am 6. Mai 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht.

Zielgruppe der Orientierungshilfe

Die Orientierungshilfe richtet sich vorrangig an Unternehmen und Behörden, die KI-Anwendungen in ihren Arbeitsprozessen nutzen oder einführen möchten. Sie bietet einen praxisnahen Leitfaden, um Datenschutzanforderungen einzuhalten und Risiken zu minimieren. Auch Personen, die KI-Systeme entwickeln, herstellen oder bereitstellen, finden hier wertvolle Hinweise, um datenschutzfreundliche Lösungen zu konzipieren. Die Orientierungshilfe ist kein abschließender Anforderungskatalog, sondern eine laufend aktualisierte Empfehlung, die an neue technologische und rechtliche Entwicklungen angepasst wird.

Inhaltlicher Überblick

Die Orientierungshilfe ist sehr umfangreich und behandelt verschiedene Aspekte des Datenschutzes bei der Nutzung von KI. Dabei konzentriert sie sich besonders auf Large Language Models (LLMs), die in den letzten Jahren verstärkt zum Einsatz kommen – sei es als Chatbots oder als Grundlage für weitere Anwendungen.

1. Auswahl und Konzeption von KI-Anwendungen

Bevor eine KI-Anwendung genutzt wird, sollten Organisationen klar definieren, für welche Zwecke sie eingesetzt werden soll und ob personenbezogene Daten verarbeitet werden. Hierbei sind folgende Fragen entscheidend:

• Ist der Einsatz der KI rechtlich zulässig?
• Werden personenbezogene Daten benötigt, oder kann die Anwendung ohne sie betrieben werden?
• Ist die Verarbeitung von sensiblen Daten, wie Gesundheits- oder biometrischen Daten, überhaupt erlaubt?

Ein besonderes Augenmerk liegt darauf, dass keine automatisierten Letztentscheidungen getroffen werden, da diese nach der Datenschutz-Grundverordnung (DSGVO) nur in engen Ausnahmefällen zulässig sind.

2. Implementierung von KI in den Arbeitsalltag

Nach der Auswahl einer KI-Anwendung muss sichergestellt werden, dass sie sicher und rechtskonform integriert wird. Dazu gehören unter anderem:

• Verantwortlichkeiten klären: Wer entscheidet über den Einsatz und die Datenverarbeitung?
• Datenschutz-Folgenabschätzung durchführen: Falls ein hohes Risiko für Betroffene besteht, muss geprüft werden, welche Maßnahmen notwendig sind.

Nehmt die Leute mit! Es ist wichtig, die Beschäftigten zu sensibilisieren und in den Prozess einzubeziehen. Unternehmen sollten klare Regeln für den Umgang mit KI aufstellen, das Personal schulen und aktiv in die Entwicklung einbinden. Auch der Betriebsrat sollte von Beginn an involviert sein.

Außerdem betont die Orientierungshilfe, dass KI-Systeme am besten als geschlossene Systeme betrieben werden sollten, um Datenschutzrisiken zu minimieren. Offene Systeme, insbesondere solche, die Eingaben für weiteres Training verwenden, sind mit zusätzlichen Herausforderungen verbunden.

3. Nutzung von KI-Anwendungen

Auch während des laufenden Betriebs gibt es zahlreiche Datenschutzaspekte zu beachten:

• Transparenz: Nutzende müssen darüber informiert werden, welche Daten verarbeitet werden und wofür.
• Richtigkeit der Ergebnisse überprüfen: KI-generierte Inhalte können fehlerhaft oder sogar diskriminierend sein. Daher sollte ihre Nutzung immer kritisch hinterfragt werden.
• Betroffenenrechte umsetzen: Personen haben ein Recht auf Berichtigung, Löschung und Auskunft über ihre Daten. Unternehmen müssen technische Lösungen finden, um diese Rechte durchzusetzen.

Gerade im Umgang mit sensiblen Daten warnt die DSK davor, unkritisch auf KI-Modelle zu vertrauen, da diese Falschinformationen oder diskriminierende Vorurteile enthalten können.

Ein dynamischer Leitfaden für die Zukunft

Die Datenschutzkonferenz hebt hervor, dass die Orientierungshilfe fortlaufend weiterentwickelt wird, um den sich ändernden rechtlichen und technischen Rahmenbedingungen gerecht zu werden. Die rasanten Fortschritte im Bereich KI machen es notwendig, datenschutzrechtliche Anforderungen regelmäßig zu überprüfen und neue Risiken frühzeitig zu erkennen.