Alles KI, oder ?
Nicht erst seit der vollmundigen Ankündigung des US-Präsidenten in das Projekt Stargate 500 Milliarden US-Dollar zu investieren, ist es überdeutlich geworden welche Technologie weltweit größtes Interesse weckt.
Ohne im Folgenden auf Details dieses Projekts einzugehen, wie dass die genannte Investition kein staatliches Programm der US-Regierung darstellt, sondern von den Unternehmen: SoftBank, OpenAI, Oracle und MGX getragen wird[1], wollen wir uns dem Thema aus der Sicht des Datenschutzes widmen. Gleich ob Sie im unternehmerischen Kontext Werkzeuge wie ChatGPT, Gemini oder MS Copilot zum Einsatz bringen möchten, so ist ein geplantes Verfahren auch unter dem Aspekt der DSGVO zu betrachten, denn die europäische KI-Verordnung, die zunächst einschlägig erscheint, betont explizit die Geltung der DSGVO.
Artikel 2 – Anwendungsbereich
(7) Die Rechtsvorschriften der Union zum Schutz personenbezogener Daten, der Privatsphäre und der Vertraulichkeit der Kommunikation gelten für die Verarbeitung personenbezogener Daten im Zusammenhang mit den in dieser Verordnung festgelegten Rechten und Pflichten. Diese Verordnung berührt nicht die Verordnung (EU) 2016/679 bzw. (EU) 2018/1725 oder die Richtlinie 2002/58/EG bzw. (EU) 2016/680, unbeschadet des Artikels 10 Absatz 5 und des Artikels 59 der vorliegenden Verordnung
Wir müssen also neben der KI-Verordnung auch die DSGVO im Blick behalten und die Rechtmäßigkeit einer geplanten Verarbeitung – sofern personenbezogene Daten betroffen sind – nach Gesichtspunkten der DSGVO prüfen.
Die Prüfung ist hier u.U. komplexer als dies bei klassischen Verarbeitungsszenarien der Fall ist.
Zur Vereinfachung der Komplexität bei der Prüfung lohnt es sich die einzelnen Phasen im Kontext eines KI-Verfahrens getrennt voneinander zu betrachten:
Für jede der abgebildeten Phasen muss gesondert geprüft werden:
- Werden personenbezogene Daten verarbeitet und besteht hierfür eine entsprechende Rechtsgrundlage?
- Art. 6, Abs. 1 a) – Einwilligung
- Art. 6, Abs. 1 b) – Vertrag
- Art. 6, Abs. 1 f) – berechtigtes Interesse
- bei Gesundheitsdaten zusätzlich!
- Art. 9 Abs. 2 a) – Einwilligung
- Art. 9 Abs. 2 b) – Ausübung von Rechten aus Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes
- Art. 9 Abs. 2 h) – Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin
Sollte die Einführung eines KI Verfahrens in Ihrer Organisation angedacht werden, so lassen Sie uns frühzeitig in den Austausch treten, um das Projekt so reibungsarm als möglich zu realisieren.
[1] https://openai.com/index/announcing-the-stargate-project/