KI-VO und Datenschutz: Erste Einschätzungen

Die Europäische Union steht kurz vor der Verabschiedung einer wegweisenden Verordnung: die KI-Verordnung (KI-VO). Diese Verordnung wird nicht nur die Art und Weise, wie KI-Systeme entwickelt und eingesetzt werden, revolutionieren, sondern auch tiefgreifende Auswirkungen auf den Datenschutz haben.

In diesem Beitrag werfen wir einen detaillierten Blick auf die KI-VO, ihren aktuellen Gesetzgebungsprozess und das komplexe Verhältnis zwischen KI-Regulierung und Datenschutzrecht.

Der Gesetzgebungsprozess der KI-VO

Die KI-VO hat bereits wichtige Etappen im Gesetzgebungsprozess hinter sich. Nach der Annahme durch den Ausschuss der Ständigen Vertreter des Rats und die Zustimmung der relevanten Ausschüsse im Europäischen Parlament wird die Verordnung voraussichtlich im April 2024 ohne größere Änderungen verabschiedet. Dieser Schritt markiert einen entscheidenden Moment für die Regulierung von KI in der EU.

Das Verhältnis zwischen KI-VO und Datenschutz

Das Herzstück der KI-VO bildet die Festlegung von Anforderungen an KI-Systeme, die insbesondere Anbieter und Nutzer betreffen. Dabei ist von entscheidender Bedeutung, dass die KI-VO das bestehende Datenschutzrecht der EU ergänzt, nicht ersetzt. Die "Unberührtheitsklausel" in der Verordnung stellt klar, dass die Datenschutz-Grundverordnung (DSGVO) und die Richtlinie über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten unangetastet bleiben.

Herausforderungen und Chancen

Ein zentraler Aspekt der KI-VO ist die Regulierung von Hochrisiko-KI-Systemen, die besondere Anforderungen an die Datenverarbeitung stellen. Diese Anforderungen beeinflussen die Datenverarbeitungspraktiken der Nutzer und werfen Fragen bezüglich der Überschneidungen und möglichen Synergien mit dem Datenschutzrecht auf. Zudem werden bestimmte KI-Systeme, insbesondere solche, die inakzeptable Risiken darstellen oder intensive biometrische Identifizierungsverfahren nutzen, strengeren Regulierungen oder gar Verboten unterliegen.

Daten-Governance und besondere Kategorien personenbezogener Daten

Ein weiterer wichtiger Punkt ist die Daten-Governance, insbesondere im Kontext von Hochrisiko-KI-Systemen. Die KI-VO legt spezifische Anforderungen an die Qualität und Governance von Datensätzen fest, die über die individuellen Rechte hinausgehen, die im Datenschutzrecht verankert sind. Dies unterstreicht die Notwendigkeit einer sorgfältigen Abstimmung zwischen den Anforderungen der KI-VO und den bestehenden Datenschutzvorschriften.

Abschätzung von Risiken und Grundrechtsauswirkungen

KI-Anbieter müssen in bestimmten Bereichen eine Risikoeinschätzung durchführen, um festzustellen, ob ihre Systeme unter die Hochrisiko-KI-Definition fallen. Diese Bewertung hat direkte Auswirkungen auf die erforderlichen Datenschutz-Folgenabschätzungen und die Beurteilung der Grundrechtsauswirkungen, wodurch ein weiteres Feld für mögliche Überschneidungen und Synergien entsteht.

Was sind Hochrisiko-KI-Systeme?

Hochrisiko-KI-Systeme sind spezifische Arten von KI-Anwendungen, die aufgrund ihres Einsatzbereichs oder der Art der Datenverarbeitung ein signifikantes Risiko für die Rechte und Freiheiten der Menschen darstellen können. Diese Systeme werden in der KI-Verordnung der Europäischen Union (KI-VO) besonders hervorgehoben und unterliegen strengeren Regulierungen, um sicherzustellen, dass ihre Entwicklung und Nutzung ethischen, rechtlichen und technischen Standards entsprechen.

Die Einstufung eines KI-Systems als "Hochrisiko" hängt von verschiedenen Faktoren ab, wie dem Zweck, für den es entwickelt oder verwendet wird, und dem potenziellen Schaden, der bei Fehlfunktionen oder Missbrauch entstehen könnte. Beispiele für Bereiche, in denen Hochrisiko-KI-Systeme eingesetzt werden könnten, umfassen Gesundheitswesen, Verkehrswesen, Polizei und Justiz sowie kritische Infrastrukturen.

Für Hochrisiko-KI-Systeme gelten spezifische Anforderungen, wie eine gründliche Risikoabschätzung, hohe Transparenzstandards, robuste Daten-Governance-Praktiken und die Notwendigkeit, die Auswirkungen auf die Grundrechte sorgfältig zu bewerten. Zusätzlich müssen diese Systeme bestimmte technische und organisatorische Maßnahmen implementieren, um Risiken zu minimieren, darunter solche, die die Genauigkeit, Sicherheit und Datenschutz gewährleisten.

Fazit

Die bevorstehende KI-VO bringt eine spezifische, technikorientierte Regulierung für künstliche Intelligenz, während das Datenschutzrecht technikneutral bleibt und den Schutz individueller Rechte in den Vordergrund stellt. Die Herausforderung und zugleich die Chance liegen in der sinnvollen Verzahnung beider Rechtsbereiche, um sowohl die Entwicklung innovativer KI-Systeme zu fördern als auch den Schutz personenbezogener Daten zu gewährleisten. Letztendlich wird die Praxis zeigen, wie effektiv diese Integration gelingt und welche Auswirkungen sie auf die Landschaft der KI-Regulierung und des Datenschutzes in Europa haben wird.