Datenschutz-Folgenabschätzung für KI: Wann sie Pflicht ist und wie du vorgehst
Eine Datenschutz-Folgenabschätzung (DSFA) ist für KI Pflicht, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt (Art. 35 DSGVO), und nach Einschätzung der Datenschutzkonferenz wird das beim Einsatz von KI-Anwendungen vielfach der Fall sein. Ob es so ist, klärst du mit einer dokumentierten Vorabprüfung vor dem Start. Dieser Ratgeber von Hey2Ai zeigt, wann die DSFA greift, welche Fälle die Muss-Liste nennt und wie du vorgehst.
Wann eine DSFA für KI Pflicht ist
Maßgeblich ist das voraussichtliche Risiko, nicht das Werkzeug. Art. 35 Abs. 1 DSGVO verlangt eine DSFA vor der Verarbeitung, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dieser Ratgeber ist keine Rechtsberatung.
Art. 35 Abs. 3 nennt drei Fälle, in denen eine DSFA immer erforderlich ist:
- systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit erheblicher Wirkung beruhen
- umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über Straftaten (Art. 10)
- systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche
Die Datenschutzkonferenz (DSK) verlangt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 vor jeder Verarbeitung eine Vorabprüfung des Risikos nach Art, Umfang, Zweck und Umständen. Ergibt sie ein voraussichtlich hohes Risiko, ist eine DSFA erforderlich. Beim Einsatz von KI-Anwendungen wird dies nach Einschätzung der DSK vielfach der Fall sein.
Welche KI-Fälle die DSK-Muss-Liste nennt
Die DSK hat für den nichtöffentlichen Bereich eine Liste der Verarbeitungstätigkeiten veröffentlicht, für die eine DSFA durchzuführen ist (Version 1.1 vom 17. Oktober 2018). Sie nennt KI ausdrücklich. Die Liste ist nicht abschließend.
| Nr. | Verarbeitungstätigkeit | Beispiel aus der Liste |
|---|---|---|
| 8 | Umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeit genutzt werden kann | Zentrale Aufzeichnung von Aktivitäten am Arbeitsplatz |
| 10 | Zusammenführung von Daten aus verschiedenen Quellen mit nicht nachvollziehbaren Algorithmen in großem Umfang | Big-Data-Analyse von Kundendaten, angereichert um Drittquellen |
| 11 | Einsatz von KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten | Ein System berät Kunden im Dialog und verarbeitet dafür personenbezogene Daten |
| 13 | Automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit | Ein Callcenter wertet automatisiert die Stimmungslage der Anrufer aus |
In fünf Schritten zur DSFA für eine KI-Anwendung
- Schwellwertanalyse
Vorprüfen
Prüfe Art, Umfang, Zweck und Umstände sowie die Muss-Liste. Dokumentiere auch, wenn das Ergebnis keine DSFA ist.
- Art. 35 Abs. 7 lit. a
Beschreiben
Beschreibe Zweck, Datenarten, Datenflüsse, Anbieter und Speicherorte. Fordere beim Anbieter Informationen zur Funktionsweise an.
- Notwendigkeit und Risiken
Bewerten
Prüfe, ob der Zweck mit weniger Daten erreichbar ist, und bewerte Risiken wie Fehlausgaben, Training auf Eingaben oder Drittlandübermittlung.
- Abhilfemaßnahmen
Absichern
Lege Maßnahmen fest, etwa betriebliche Konten, Ausschluss des Trainings, Löschfristen und menschliche Prüfung. Hole den Rat der Datenschutzbeauftragten ein.
- Art. 35 Abs. 11
Überprüfen
Prüfe die DSFA erneut, wenn sich das Risiko ändert, zum Beispiel durch ein neues Modell oder neue Datenquellen.
Wie eine DSFA aufgebaut ist
Eine DSFA hat vier Pflichtbestandteile, die Art. 35 Abs. 7 DSGVO vorgibt. In der Praxis genügt ein strukturiertes Dokument von wenigen Seiten je Anwendung, ergänzt um Anlagen.
- Systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, gegebenenfalls einschließlich der berechtigten Interessen
- Bewertung der Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck
- Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
- Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, die den Schutz der Daten sicherstellen und die Einhaltung der DSGVO nachweisen
Ist ein Datenschutzbeauftragter benannt, hole seinen Rat ein (Art. 35 Abs. 2). Zeigt die DSFA ein hohes Risiko, das du mit eigenen Maßnahmen nicht eindämmen kannst, musst du vor dem Start die Aufsichtsbehörde konsultieren (Art. 36 Abs. 1).
Wer ein fremdes KI-System nutzt, ist auf Informationen des Anbieters angewiesen. Die DSK rät, schon bei der Auswahl darauf zu achten, dass der Anbieter sie bereitstellt. Wie du Chat-Werkzeuge datenschutzgerecht auswählst, zeigt der Ratgeber ChatGPT und DSGVO im Unternehmen. Eine eigene KI-Plattform mit Hosting in Deutschland und ohne Training auf Kundendaten vereinfacht die Risikobewertung, ersetzt sie aber nicht.
Brauche ich für ChatGPT im Unternehmen eine Datenschutz-Folgenabschätzung?
Steht KI auf der Muss-Liste der Datenschutzkonferenz?
Was muss in einer DSFA mindestens stehen?
Wer erstellt die DSFA, der KI-Anbieter oder ich?
Was passiert, wenn die DSFA ein hohes Restrisiko ergibt?
Welcher Vorgang kostet dein Team täglich Zeit?
In der kostenlosen KI-Analyse benennen wir den Vorgang, der sich zuerst lohnt, mit Werkzeug, Kennzahl und Größenordnung. Und du bekommst eine ehrliche Einschätzung, auch wenn sie Nein heißt.
Kostenlose KI-Analyse buchen
Passende Themen
Quellen
- Art. 35 DSGVO, Datenschutz-Folgenabschätzung
- Art. 36 DSGVO, Vorherige Konsultation
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
- DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, 6. Mai 2024, Rn. 38 bis 40
- DSK, Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1