Rechtsanwalt & Fachanwalt für gewerblichen Rechtsschutz
T (+49) 040 / 7344 086-0
Rechtsanwalt & Spezialist für Handels- und Gesellschaftsrecht
T (+49) 040 / 7344 086-0
Blog News
Mit dem Einsatz Künstlicher Intelligenz (KI) und insbesondere einer automatisierten Datenauswertung entstehen für Unternehmen neue datenschutzrechtliche Pflichten. Gerade im Umgang mit personenbezogenen Daten ist die DSGVO der Maßstab. Fehlende Kontrolle über KI-Systeme oder mangelnde Transparenz können nicht nur empfindliche Bußgelder, sondern auch gravierende Imageschäden zur Folge haben.
Wer sich rechtlich absichern will, benötigt genaue Kenntnis der aktuellen Datenschutzvorgaben und klare Verantwortlichkeiten. Wie Unternehmen trotz komplexer Regularien handlungssicher agieren und welche Fallstricke sich im Zusammenspiel von KI und DSGVO ergeben, stellt sich als eine der wohl zentralsten Fragen der Gegenwart.
Insbesondere im Bereich großer Sprachmodelle (Large Language Models, LLMs) rücken datenschutzrechtliche Fragen besonders in den Fokus, da für das Training und die Optimierung der Systeme regelmäßig umfangreiche, teils höchst sensible Datensätze verarbeitet werden.
Bereits im Stadium der Entwicklung eines KI-Systems werden entscheidende Weichen im Hinblick auf den Datenschutz gestellt. Das zugrunde liegende neuronale Netzwerk, welches das Herzstück moderner KI-Anwendungen bildet, ist auf qualitativ hochwertige und vielfältige Trainingsdaten angewiesen. Die Erhebung, Auswahl und Verarbeitung der Daten unterliegen strengen regulatorischen Anforderungen, die in jedem Abschnitt, von der Beschaffung bis zur aktiven Nutzung, zu berücksichtigen sind. Die Verantwortlichkeit für die Einhaltung der DSGVO bleibt dabei stets beim Unternehmen und kann nicht auf technische Dienstleister oder die KI selbst abgewälzt werden.
Typische Datenkategorien, die im Rahmen von KI-Projekten verarbeitet werden, umfassen:
Aktuelle Stellungnahmen des Europäischen Datenschutzausschusses (EDSA) sowie die Empfehlungen nationaler Datenschutzbehörden unterstreichen, dass Unternehmen verpflichtet sind, von Beginn an geeignete technische und organisatorische Maßnahmen zu implementieren. Speziell die Prinzipien „Privacy by Design“ und „Privacy by Default“ gewinnen im KI-Kontext an zentraler Bedeutung.
Unternehmen, die Künstliche Intelligenz einsetzen, geraten immer dann in den Anwendungsbereich der DSGVO, wenn sie mit Daten arbeiten, die eine Identifizierung natürlicher Personen ermöglichen. Bereits das Sammeln, Strukturieren oder Anonymisieren von personenbezogenen Informationen im Vorfeld des KI-Trainings stellt eine Verarbeitung im Sinne der DSGVO dar. Ebenso ist jeder Einsatz des KI-Systems, bei dem personenbezogene Daten verarbeitet, analysiert oder ausgegeben werden, datenschutzrechtlich relevant.
Besonders komplex wird es, wenn das trainierte KI-Modell Rückschlüsse auf einzelne Personen zulässt oder auf Anfrage spezifische personenbezogene Daten wiedergeben kann. In diesen Fällen können die Betroffenenrechte nach Art. 12 ff. DSGVO greifen. Unternehmen müssen dann unter Umständen Auskunft, Berichtigung oder Löschung ermöglichen.
Die Datenschutzaufsichtsbehörden verfügen über weitreichende Befugnisse, um Verstöße zu sanktionieren. Neben Bußgeldern können sie die Nutzung des KI-Systems einschränken, die Löschung rechtswidrig genutzter Datensätze oder – im Extremfall – die vollständige Entfernung des Modells anordnen.
Praxisbeispiele:
Die datenschutzkonforme Nutzung von KI setzt daher voraus, dass Unternehmen sämtliche Datenflüsse kritisch prüfen, technische und organisatorische Maßnahmen implementieren und die Rechte der Betroffenen jederzeit gewährleisten. Andernfalls drohen erhebliche rechtliche und wirtschaftliche Konsequenzen.
Der Kommission wird die Befugnis übertragen, gemäß Artikel 92 delegierte Rechtsakte zur Bestimmung der Informationen, die durch Bildsymbole darzustellen sind, und der Verfahren für die Bereitstellung standardisierter Bildsymbole zu erlassen.
Die Antwort auf die Frage, ob ein KI-Modell als anonym einzustufen ist, ergibt sich daraus, ob sich aus den enthaltenen Informationen Rückschlüsse auf einzelne Personen ziehen lassen. Die DSGVO findet immer dann Anwendung, wenn Daten sich auf eine identifizierte oder identifizierbare natürliche Person beziehen lassen. Werden Daten dagegen derart verarbeitet oder anonymisiert, dass eine Identifizierung ausgeschlossen ist, greift das Datenschutzrecht nicht mehr.
Lange Zeit herrschte die Meinung vor, dass KI-Modelle wie Large Language Models (LLMs) keine personenbezogenen Daten enthalten, da sie mit hochabstrakten Tokens und mathematischen Mustern arbeiten. Man ging davon aus, dass die im Modell gespeicherten Strukturen so weit entfernt von den ursprünglichen Daten sind, dass ein Personenbezug ausgeschlossen erscheint.
Diese Sichtweise wird mittlerweile durch neue regulatorische Entwicklungen und wissenschaftliche Erkenntnisse infrage gestellt. Der Europäische Datenschutzausschuss (EDSA) betont in einer aktuellen Stellungnahme, dass auch ein scheinbar anonymes Modell, das ursprünglich mit personenbezogenen Daten trainiert wurde, unter bestimmten Umständen Informationen rekonstruierbar machen kann.
Ob ein Modell tatsächlich anonym ist, lässt sich daher nicht pauschal beantworten. Vielmehr ist im Einzelfall zu prüfen, ob durch Output, Rückschlüsse oder technische Angriffe ein Personenbezug wiederhergestellt werden kann.
Leitfaden für Unternehmen: Umgang mit KI-Modellen und Anonymität
Die Bestimmung, ob ein KI-Modell als anonym einzustufen ist, erfordert eine differenzierte und mehrstufige Prüfung, die sowohl technische als auch rechtliche Aspekte berücksichtigt. Nach aktuellen Leitlinien, insbesondere den Vorgaben des Europäischen Datenschutzausschusses (EDSA), genügt es nicht, dass ein Modell keine unmittelbar erkennbaren personenbezogenen Daten speichert. Entscheidend ist vielmehr, dass die Wahrscheinlichkeit, personenbezogene Informationen direkt oder indirekt – etwa durch gezielte Anfragen oder probabilistische Methoden – zu extrahieren, für jede betroffene Person vernachlässigbar gering ist. Dies gilt sowohl für vorsätzliche als auch für unbeabsichtigte Offenlegungen.
Auch wenn KI-Modelle typischerweise keine originalen Datensätze, sondern nur abstrakte Parameter und Beziehungen speichern, bleibt das Risiko bestehen, dass sich durch statistische oder technische Angriffe – wie Membership Inference, Attribute Inference oder Regurgitation – personenbezogene Daten rekonstruieren lassen. Die Prüfpflicht erstreckt sich daher auf sämtliche Mittel und Techniken, die nach aktuellem Stand und nach allgemeinem Ermessen genutzt werden könnten, um eine Identifizierung herzustellen.
Für die Bewertung der Restwahrscheinlichkeit einer Identifizierung müssen verschiedene Kriterien herangezogen werden:
Die Verantwortlichen sind verpflichtet, sämtliche getroffenen Maßnahmen zur Minimierung des Identifizierungsrisikos sowie verbleibende Restrisiken detailliert zu dokumentieren. Die Dokumentation ist sowohl für die interne Compliance als auch für die Überprüfung durch die Aufsichtsbehörden wesentlich. Nur wenn die Behörde nach Prüfung der Unterlagen und der implementierten Schutzmaßnahmen zu der Einschätzung gelangt, dass das Modell tatsächlich anonym ist, entfällt die Anwendbarkeit der DSGVO. Andernfalls gilt das Modell weiterhin als datenschutzrechtlich relevant und unterliegt sämtlichen Pflichten der Verordnung, einschließlich der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Fragen Sie sich, ob Ihr Unternehmen beim Einsatz von Künstlicher Intelligenz und im Umgang mit der DSGVO ausreichend rechtssicher aufgestellt ist? Möchten Sie wissen, welche Compliance-Pflichten für Ihre Branche und Ihre digitalen Prozesse gelten – oder möchten Sie Ihr Unternehmen gezielt vor Bußgeldern und Reputationsschäden schützen?
Unser Team aus erfahrenen Rechtsanwälten begleitet Sie umfassend in allen Fragen rund um Datenschutz, Compliance und die rechtssichere Nutzung von KI-Systemen. Wir analysieren gezielt die für Ihr Unternehmen relevanten gesetzlichen Vorgaben und entwickeln individuelle Strategien, um Ihr Haftungsrisiko zu minimieren und nachhaltige Rechtssicherheit zu schaffen.
Für weitere Rückfragen zum Compliance Recht stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?