Wie sich die DSGVO in der Praxis entwickelt hat und was sie über die KI-Verordnung lehrt

Die DSGVO gilt seit dem 25. Mai 2018. Diese Geldbußen folgten:

DSGVO Artikel 28 Absatz 3 regelt Auftragsverarbeiter (Stellen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten, Artikel 4 Nummer 8). Er verlangt einen Vertrag oder ein anderes Rechtsinstrument, das den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet.

Auch die KI-Verordnung verlagert Pflichten entlang der Lieferkette. Hochrisiko-KI-Systeme werden mit Betriebsanleitungen für die Betreiber bereitgestellt (Artikel 13 Absatz 2). Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Modelle, die ein breites Spektrum unterschiedlicher Aufgaben kompetent erfüllen können, Artikel 3 Nummer 63) müssen Dokumentation bereitstellen. Sie geben sie an Anbieter weiter, die das Modell in KI-Systeme integrieren (Artikel 53 Absatz 1 Buchstabe b). Diese Anbieter sind nachgelagerte Anbieter (Artikel 3 Nummer 68). Artikel 25 Absatz 4 verlangt eine schriftliche Vereinbarung zwischen dem Anbieter eines Hochrisiko-KI-Systems und Dritten, die dafür KI-Systeme, KI-Modelle, Werkzeuge, Dienste, Komponenten oder Verfahren liefern. Die Regel gilt nicht für Dritte, die Werkzeuge, Dienste, Verfahren oder Komponenten, außer KI-Modellen mit allgemeinem Verwendungszweck, unter einer freien und quelloffenen Lizenz öffentlich zugänglich machen.

DSGVO Artikel 3 Absatz 2 erfasst Organisationen außerhalb der EU, die Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Die Geldbußen aus Lehre 1 trafen vier Unternehmen: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd und Meta Platforms Ireland Limited. Die letzten drei haben ihren Sitz in der EU, daher zeigen diese Geldbußen Artikel 3 Absatz 2 nicht in der Anwendung.

Die KI-Verordnung verwendet ein anderes Kriterium. Artikel 2 Absatz 1 Buchstabe c erfasst Anbieter und Betreiber, die in einem Drittland niedergelassen sind, wenn die Ausgabe des Systems in der Union verwendet wird. Artikel 2 Absatz 1 Buchstabe a erfasst Anbieter, die KI-Systeme in der Union in Verkehr bringen, gleich wo sie niedergelassen sind.

DSGVO Artikel 25 verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Der Verantwortliche (die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet, Artikel 4 Nummer 7) setzt geeignete technische und organisatorische Maßnahmen um. Das gilt bei der Festlegung der Mittel der Verarbeitung und während der Verarbeitung selbst (Artikel 25 Absatz 1).

Die KI-Verordnung stellt Gestaltungsanforderungen an Hochrisiko-KI-Systeme. Artikel 12 Absatz 1 verlangt, dass ihre Technik die automatische Aufzeichnung von Ereignissen ermöglicht. Artikel 14 Absatz 1 verlangt, dass natürliche Personen sie wirksam beaufsichtigen können. Artikel 15 Absatz 1 verlangt ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit. Das Risikomanagementsystem läuft über den gesamten Lebenszyklus (Artikel 9 Absatz 2).

Unbeschadet der Artikel 4a und 59 berührt die KI-Verordnung die DSGVO nicht (Artikel 2 Absatz 7). Ein KI-System, das personenbezogene Daten verarbeitet, muss beide Gesetze erfüllen.

Drei Themen kommen in beiden Gesetzen vor. Das erste sind automatisierte Entscheidungen und menschliche Aufsicht (DSGVO Artikel 22; KI-Verordnung Artikel 14). Das zweite ist Transparenz (DSGVO Artikel 13 und 14; KI-Verordnung Artikel 13 und 50). Das dritte sind Folgenabschätzungen. DSGVO Artikel 35 verlangt eine Abschätzung der Folgen für den Schutz personenbezogener Daten, wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. KI-Verordnung Artikel 27 verlangt eine Abschätzung der Auswirkungen auf die Grundrechte. Sie gilt für Betreiber, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen. Sie gilt auch für Betreiber von Systemen nach Anhang III Nummer 5 Buchstaben b und c. Systeme im Bereich von Anhang III Nummer 2 sind ausgenommen.

DSGVO Artikel 83 Absatz 2 nennt die Faktoren, die die Behörde bei der Festsetzung einer Geldbuße berücksichtigt. Dazu gehören Maßnahmen zur Minderung des Schadens, der Grad der Verantwortung unter Berücksichtigung der technischen und organisatorischen Maßnahmen und die Zusammenarbeit mit der Aufsichtsbehörde.

Artikel 99 Absatz 7 der KI-Verordnung nennt ähnliche Faktoren. Dazu gehören das Maß der Zusammenarbeit (Buchstabe f) und der Grad der Verantwortung unter Berücksichtigung der technischen und organisatorischen Maßnahmen (Buchstabe g). Außerdem gehören dazu die Art und Weise, wie der Verstoß bekannt wurde (Buchstabe h), und Maßnahmen zur Minderung des Schadens (Buchstabe j).

Die DSGVO schuf Pflichten zu Einwilligung (Artikel 7), Verzeichnissen von Verarbeitungstätigkeiten (Artikel 30) und Folgenabschätzungen (Artikel 35). Der Verantwortliche bleibt dafür verantwortlich (Artikel 24).

Die KI-Verordnung funktioniert ebenso. Die Pflicht bleibt beim Anbieter eines Hochrisiko-KI-Systems (Artikel 16) und bei seinem Betreiber (Artikel 26).