EU KI-Gesetz und DSGVO: Konflikt oder Einklang?

Der EU AI Act und die DSGVO: Kollision oder Harmonie?

Künstliche Intelligenz ist das omnipräsente Buzzword in der Rechtsbranche. Der EU AI Act steht daher im Mittelpunkt des Interesses vieler Juristen. Doch wie steht es um die Allgemeine Datenschutzverordnung (DSGVO), die 2018 ein heißes Thema war?

Nach über sieben Jahren ist die Einhaltung der DSGVO für viele in-house Counsel und andere Fachleute vertrautes Terrain. Es gibt zahlreiche Ähnlichkeiten und Wechselwirkungen zwischen dem neu eingeführten AI Act und der DSGVO, sowie explizite Verweise auf die DSGVO im AI Act. In diesem Artikel werden einige der bedeutendsten Interaktionen besprochen.

Allgemeines

Es ist auffällig, inwieweit die Gesamtstruktur des AI Act von der DSGVO beeinflusst ist. Viele der Datenprinzipien (Transparenz, Genauigkeit, Sicherheit) spiegeln sich im AI Act wider, der, ähnlich wie die DSGVO, einen risikobasierten Ansatz verfolgt.

Die offensichtliche Schnittstelle in Bezug auf die Einhaltung des AI Acts ergibt sich aus der Tatsache, dass die Entwicklung und Nutzung von KI-Systemen wahrscheinlich das Training von KI-Modellen mit Daten umfasst, von denen einige mit Sicherheit personenbezogene Daten sein werden, die gemäß der DSGVO verarbeitet werden müssen. Dies erfordert angemessene Datenschutzvorkehrungen, nicht nur intern, sondern auch in der Beziehung zu Lieferanten und anderen Beteiligten im KI-Ökosystem.

Bemerkenswert ist, dass Artikel 47 des AI Acts von Anbietern von Hochrisiko-KI-Systemen verlangt, eine Konformitätserklärung zu erstellen, die eine Erklärung zur DSGVO-Konformität enthalten muss, wenn das System personenbezogene Daten umfasst (Anhang V). In vielen Mitgliedstaaten wird die Datenschutzbehörde auch die Marktüberwachungsbehörde für den AI Act sein.

Transparenz

Die DSGVO und der AI Act haben jeweils eigene Transparenzregime. In beiden Fällen müssen die Betroffenen angemessene Informationen darüber erhalten, wie ihre personenbezogenen Daten verarbeitet werden und wie die Nutzung von KI sie beeinflusst.

• Unter der DSGVO (Artikel 12-14) müssen betroffene Personen klare und zugängliche Informationen über die Verarbeitung ihrer personenbezogenen Daten erhalten, einschließlich der Zwecke, der rechtlichen Grundlagen, der Empfänger, der Speicherfristen und der Rechte der betroffenen Personen.
• Unter dem AI Act gelten mehrere Transparenzpflichten. Zum Beispiel verlangt Artikel 13, dass den Nutzern Anweisungen zur Verwendung von Hochrisiko-KI-Systemen gegeben werden. Darüber hinaus verlangt Artikel 50, dass die Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren (es sei denn, dies ist aus dem Kontext offensichtlich).

Risikomanagement

Aus der Perspektive des Risikomanagements verfolgen die DSGVO und der AI Act beide einen risikobasierten Ansatz in Bezug auf die Einhaltung. Es gibt jedoch einen grundlegenden Unterschied in Bezug auf den Zeitpunkt, an dem das Risiko angesprochen wird.

• Die DSGVO ist risikobasiert und erfordert eine vorherige und fortlaufende Bewertung der Risiken, die mit der Verarbeitung personenbezogener Daten verbunden sind. Dies erfordert technische und organisatorische Maßnahmen, um Risiken verhältnismäßig zu adressieren.
• Unter dem AI Act werden KI-Systeme in verschiedene Risikokategorien eingeteilt: unzulässiges Risiko, Hochrisiko oder niedriges/minimales Risiko. Die strengsten Verpflichtungen sind an Hochrisiko-KI-Systeme gebunden, die umfassende Verpflichtungen in Bezug auf Risikomanagement, Bewertung und Minderung einhalten müssen.

Rechenschaftspflicht

Sowohl die DSGVO als auch der AI Act verlangen Rechenschaftspflicht. Dies umfasst im Großen und Ganzen die Dokumentation Ihrer verschiedenen Schritte, Prozesse und Richtlinien, um die Einhaltung nachzuweisen.

• Wo die DSGVO die Einrichtung von Datenverarbeitungsverträgen zwischen Verantwortlichen und (Unter-)Verarbeitern verlangt, erfordert der AI Act angemessene vertragliche Sicherheitsvorkehrungen zwischen den in dem AI Act definierten verschiedenen Rollen.
• Während die DSGVO die Dokumentation von Elementen wie Datenschutz-Folgenabschätzungen (DPIAs) und Verarbeitungsspeicher verlangt, erfordert der AI Act eine umfassendere Dokumentation von z.B. Entwicklungs- und Designentscheidungen für Hochrisiko-KI-Systeme und GPAI-Modelle, um die Rechenschaftspflicht nachzuweisen.

DPIA und Bewertungen der Grundrechte

Sowohl die DSGVO als auch der AI Act verlangen Risikoabschätzungen.

• Unter der DSGVO müssen Verantwortliche in bestimmten Fällen eine Datenschutz-Folgenabschätzung (DPIA) durchführen.
• Artikel 26(8) des AI Acts besagt, dass die Nutzer von Hochrisiko-KI-Systemen die Informationen gemäß Artikel 13 des AI Acts verwenden müssen, um ihrer Verpflichtung zur Durchführung einer DPIA nach der DSGVO nachzukommen.
• Darüber hinaus verlangt der AI Act von bestimmten Nutzern, vor der Bereitstellung von Hochrisiko-KI-Systemen, die in Anhang III des AI Acts aufgeführt sind, eine „Bewertung der Grundrechte“ (FRIA) durchzuführen.

Verarbeitung sensibler personenbezogener Daten

Der AI Act (Artikel 10(5)) erlaubt unter bestimmten Bedingungen die Verarbeitung sensibler personenbezogener Daten, jedoch nur, wenn dies unbedingt notwendig ist, um Vorurteile in Hochrisiko-KI-Systemen zu erkennen und zu korrigieren, und unter bestimmten Bedingungen. Diese gelten zusätzlich zu den Anforderungen des Artikels 9 der DSGVO, die Ausnahmen von dem allgemeinen Verbot der Verarbeitung sensibler (besonderer) personenbezogener Daten vorsehen.

Automatisierte Entscheidungsfindung und menschliche Aufsicht

Sowohl der AI Act als auch die DSGVO verfügen über eine Form von menschlichen Aufsichtmechanismen.

• Artikel 22 der DSGVO gibt den betroffenen Personen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche oder ähnlich signifikante Auswirkungen auf sie hat. Sie haben das Recht, eine neue Entscheidung zu verlangen, die menschlicher Intervention unterliegt, wenn sie einer solchen ausschließlich automatisierten Entscheidung widersprechen.
• Der AI Act hat ein stärkeres Regime in Artikel 14, unter dem Hochrisiko-KI-Systeme so gestaltet werden müssen, dass sie effektive Aufsicht durch Mensch-Maschine-Schnittstellenwerkzeuge ermöglichen, und die Nutzer müssen kompetentes Aufsichtspersonal zuweisen.

Vorfallberichterstattung

Beide Regime implementieren ein System zur Vorfallberichterstattung, das die Einreichung von Erst- und Folgeberichten ermöglicht, falls der volle Umfang oder das Ausmaß eines Vorfalls zum Zeitpunkt der erforderlichen Berichterstattung noch nicht bekannt ist.

• Unter der DSGVO (Artikel 33) kann der Hauptvorfall, der auftreten kann, ein Datenleck sein. Grundsätzlich sollte eine Benachrichtigung über ein solches Datenleck unverzüglich und, wenn möglich, spätestens 72 Stunden nach Bekanntwerden des Vorfalls an die zuständige Datenschutzbehörde (DPA) erfolgen.
• Unter dem AI Act (Artikel 73) müssen schwerwiegende Vorfälle den Aufsichtsbehörden sofort nach Feststellung eines ursächlichen Zusammenhangs zwischen dem KI-System und dem schwerwiegenden Vorfall (oder einer vernünftigen Wahrscheinlichkeit eines solchen Zusammenhangs) und in jedem Fall spätestens 15 Tage gemeldet werden.

Bewältigung der doppelten Compliance-Belastung

Dies ist nur ein Überblick über einige der Bereiche, in denen die Konzepte der DSGVO mit denen im AI Act überlappen. In Bezug auf die Compliance-Belastung gibt es jedoch nur wenige Situationen, in denen die Einhaltung eines Gesetzes ausreicht, um die Anforderungen des anderen zu erfüllen. Wahrscheinlicher ist es, dass die Compliance-Prozesse der DSGVO bei Bedarf erweitert werden können, um die Anforderungen des AI Acts zu erfüllen.

Nützliche Maßnahmen umfassen:

• Mapping der Rollen im AI Act (Anbieter, Nutzer, Importeur/Distributor) mit den Rollen der DSGVO (Verantwortlicher/Verarbeiter).
• Sammlung angemessener Informationen und Verarbeitung dieser Informationen in relevanten Leitfäden für Nutzer/Datenbetroffene. Regelmäßige Überprüfung, ob die Informationen aktuell sind.
• Sicherstellen, dass die AI-Trainingsdaten, die personenbezogene Daten enthalten (was oft der Fall ist), angemessenen Datenschutzvorkehrungen unterliegen, sowohl aus vertraglicher als auch aus technischer Sicht.
• Dokumentation der AI-Entwicklung und -Überwachung, um die Einhaltung sowohl während der Entwicklungs- als auch der Bereitstellungsphase nachzuweisen.
• Überprüfung, ob die Verarbeitung sensibler personenbezogener Daten im Kontext des AI Acts unter den Anforderungen sowohl der DSGVO als auch des AI Acts erlaubt ist.
• Unterscheidung zwischen der menschlichen Intervention nach der Verarbeitung gemäß der DSGVO und der menschlichen Überwachung gemäß dem AI Act.
• Implementierung eines ordnungsgemäßen Zeitmanagements innerhalb Ihrer Organisation, unter Berücksichtigung der grundlegenden Unterschiede zwischen den Arten von Vorfällen, die im Zusammenhang mit KI-Systemen sowohl aus der DSGVO- als auch der AI Act-Perspektive auftreten können.