Datenschutz in der Praxis: Herausforderungen beim Einsatz von KI im Unternehmensumfeld
Chancen und Risiken bei der Integration künstlicher Intelligenz
Der Einsatz von Künstlicher Intelligenz (KI) im Unternehmensumfeld bietet zahlreiche Vorteile. Dazu zählen unter anderem die Automatisierung von Prozessen, die Vorhersage von Kundenverhalten sowie die Steigerung von Effizienz und Produktivität. Gleichzeitig wirft der Einsatz von KI jedoch erhebliche datenschutzrechtliche Fragestellungen auf. Durch die Verarbeitung großer Datenmengen können sensible Informationen über Mitarbeitende, Kunden und Geschäftspartner verarbeitet werden.
Aus diesem Grund ist es unerlässlich, dass Unternehmen geeignete Maßnahmen zum Schutz personenbezogener Daten ergreifen und die Einhaltung der geltenden Datenschutzgesetze sicherstellen.
Rechtliche Einordnung des KI‑Einsatzes
Die technische Funktionsweise von KI‑Systemen ist komplex, zumal es bislang keine einheitliche und rechtlich abschließend definierte KI‑Begriffsbestimmung gibt. Grundsätzlich handelt es sich bei KI um Systeme, die menschliches Denken und Verhalten nachahmen, aus Erfahrungen lernen und sich weiterentwickeln, um automatisierte Entscheidungen oder Handlungen auszuführen.
Da die Datenschutz‑Grundverordnung (DSGVO) keine speziellen Regelungen für KI‑Systeme enthält, richtet sich die datenschutzrechtliche Bewertung nach den allgemeinen Vorschriften. Der Personenbezug wird gemäß Art. 4 Nr. 1 DSGVO bestimmt. Darüber hinaus sind weitere Rechtsbereiche relevant, etwa der Data Act, der in Vorbereitung befindliche AI Act, das Geschäftsgeheimnisgesetz sowie urheberrechtliche Vorschriften.
Informationspflichten und Transparenz
Beim Einsatz von KI im Unternehmen müssen Arbeitgeber die umfassenden Informationspflichten nach Art. 13 DSGVO erfüllen. Betroffene Personen sind klar, verständlich und transparent darüber zu informieren, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck dies geschieht und ob eine Weitergabe an Dritte erfolgt.
Dazu ist es erforderlich, interne Prozesse zu etablieren, mit denen nachvollziehbar dokumentiert wird, welche Daten tatsächlich verarbeitet werden und welche Systeme daran beteiligt sind.
Wahrung der Betroffenenrechte
Arbeitgeber sind verpflichtet, geeignete Prozesse vorzusehen, damit Beschäftigte ihre Rechte nach Art. 15 ff. DSGVO ausüben können. Dazu zählen insbesondere:
- das Recht auf Auskunft
- das Recht auf Berichtigung unrichtiger Daten
- das Recht auf Löschung
Gerade das Recht auf Löschung stellt im Zusammenhang mit KI‑Systemen eine besondere Herausforderung dar, da generative KI‑Modelle eingegebene Daten zur Optimierung nutzen können. Eine vollständige Löschung einzelner Daten ohne Auswirkungen auf das Gesamtsystem ist technisch häufig nur eingeschränkt möglich.
Verantwortlichkeit beim Einsatz von KI
In der Regel entscheidet das Unternehmen, das ein KI‑System in seine interne Infrastruktur integriert, über Zweck und Mittel der Datenverarbeitung. Es ist daher als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO einzuordnen.
Die Rolle des Systemanbieters kann unterschiedlich ausgestaltet sein. Arbeiten Unternehmen und Anbieter gemeinsam an der Entwicklung oder dem Betrieb des Systems, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. In diesen Fällen sind klare Zuständigkeiten vertraglich festzulegen.
Hambacher Erklärung zu Künstlicher Intelligenz
Die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder haben in der sogenannten Hambacher Erklärung zur KI zentrale Anforderungen formuliert. Danach gilt unter anderem:
- KI darf Menschen nicht zum Objekt machen
- das Zweckbindungsprinzip darf nicht ausgehebelt werden
- KI‑Systeme müssen transparent, nachvollziehbar und erklärbar sein
- Diskriminierungen sind zu vermeiden
- der Grundsatz der Datenminimierung ist einzuhalten
- Verantwortlichkeiten sowie technische und organisatorische Maßnahmen müssen klar geregelt sein
Weitere datenschutzrechtliche Voraussetzungen
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat zusätzlich einen praxisnahen Leitfaden zum datenschutzkonformen Einsatz von KI‑Systemen veröffentlicht. Empfohlen wird unter anderem:
- der Verzicht auf personenbezogene Daten in Funktions‑Accounts
- die Deaktivierung von Chat‑Archivierungen
- der Ausschluss eines KI‑Trainings mit eingegebenen Daten
Wer sollte sich mit dem Thema befassen?
Alle Unternehmen, die KI‑ oder AI‑Systeme einsetzen oder deren Nutzung planen, sollten sich frühzeitig mit den datenschutzrechtlichen Anforderungen auseinandersetzen.
Was Unternehmen jetzt tun können
- Prüfen Sie vor dem Einsatz eines KI‑Systems, wie die gesetzlichen Informationspflichten erfüllt werden können.
- Erstellen Sie klare Richtlinien zur Nutzung von KI im Unternehmen.
- Legen Sie interne Zuständigkeiten für das Thema KI fest.
- Stimmen Sie den Einsatz von KI‑Systemen bei externer Nutzung mit Kunden vertraglich ab, etwa durch einen Auftragsverarbeitungsvertrag.
- Analysieren Sie, welche KI‑Systeme eingesetzt werden sollen und welche Daten dabei verarbeitet werden.
Unterstützung bei der rechtlichen Bewertung und Einführung von KI‑Systemen bieten unsere Compliance‑ & Datenschutz‑Lösungen für Unternehmen.
Um den verantwortungsvollen Umgang mit KI nachhaltig im Unternehmen zu verankern, empfehlen sich außerdem Datenschutz‑ & Compliance‑Schulungen für Mitarbeitende.
Haben Sie Fragen zum Einsatz von Künstlicher Intelligenz, Datenschutz, DSGVO oder Compliance‑Pflichten in Ihrem Unternehmen? Wir unterstützen Unternehmen mit praxisnaher Beratung, strukturierten Lösungen und klarer Orientierung. Nehmen Sie gerne unverbindlich Kontakt mit uns auf.