KI-Verordnung vs. DSGVO: Unterschiede und Überschneidungen
Wie sich KI-Verordnung und DSGVO in Anwendungsbereich, Pflichten, Bußgeldern und Durchsetzung unterscheiden und wo sie sich überschneiden.
Anbieter und Betreiber von KI-Systemen, die in der EU personenbezogene Daten verarbeiten, müssen die KI-Verordnung und die DSGVO befolgen. Unbeschadet der Artikel 4a und 59 berührt die KI-Verordnung die DSGVO nicht (Artikel 2 Absatz 7).
Die DSGVO gilt seit dem 25. Mai 2018. Die KI-Verordnung gilt in Stufen ab dem 2. Februar 2025. Geldbußen nach der KI-Verordnung betragen bis zu 35 Millionen EUR oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist (Artikel 99 Absatz 3). Nach der DSGVO sind es bis zu 20 Millionen EUR oder 4 %, je nachdem, was höher ist (Artikel 83 Absatz 5). Nächster Schritt: Ordnen Sie die Rollen jedes KI-Systems nach beiden Gesetzen zu.
Die beiden Gesetze unterscheiden sich in Anwendungsbereich, Risikoansatz, Pflichten, Bußgeldern und Durchsetzung
| Thema | KI-Verordnung | DSGVO |
|---|---|---|
| Anwendungsbereich | KI-Systeme, die in der EU in Verkehr gebracht oder in Betrieb genommen werden, GPAI-Modelle, die in der EU in Verkehr gebracht werden, in der EU niedergelassene oder befindliche Betreiber sowie Anbieter und Betreiber anderswo, deren Systemausgabe in der EU verwendet wird (Artikel 2 Absatz 1) | Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der EU sowie Verarbeitung von Daten von Personen in der EU durch andere, die ihnen Waren oder Dienstleistungen anbieten oder ihr Verhalten in der EU beobachten (Artikel 3) |
| Risikoansatz | Regeln nach Risiko: verbotene Praktiken (Artikel 5), Hochrisiko-KI-Systeme (Artikel 6) und Transparenzpflichten (Artikel 50), dazu eigene Regeln für GPAI-Modelle | Die Pflichten wachsen mit dem Risiko. Für Verarbeitungen mit voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung vorgeschrieben (Artikel 35) |
| Zentrale Pflichten | Für Hochrisiko-KI-Systeme: Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit (Artikel 9 bis 15) | Eine Rechtsgrundlage, Zweckbindung, Datenminimierung und die Rechte der betroffenen Personen (Artikel 5, 6 und 12 bis 22) |
| Höchstbeträge der Geldbußen | Bis zu 35 Millionen EUR oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist (Artikel 99 Absatz 3) | Bis zu 20 Millionen EUR oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist (Artikel 83 Absatz 5) |
| Durchsetzung | Nationale Marktüberwachungsbehörden. Das KI-Büro der Kommission ist ausschließlich zuständig für GPAI-Modelle und für einige KI-Systeme: solche, die vom selben Anbieter auf einem GPAI-Modell aufgebaut wurden (mit Ausnahmen), und solche, die in sehr große Online-Plattformen oder Suchmaschinen integriert sind (Artikel 75 und 88) | Nationale Datenschutz-(Aufsichts-)Behörden (Artikel 51) |
| Anwendungsdatum | In Stufen vom 2. Februar 2025 bis zum 2. August 2028, einzelne Termine bis zum 2. August 2030 (Artikel 113) | Seit dem 25. Mai 2018 (Artikel 99 Absatz 2) |
In diesen Bereichen überschneiden sich die Gesetze, und beide gelten
Automatisierte Entscheidungen
Artikel 22 DSGVO gibt Personen das Recht, keiner ausschließlich auf automatisierter Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, vorbehaltlich der Ausnahmen in Artikel 22 Absatz 2. Die KI-Verordnung verlangt, dass Hochrisiko-Systeme eine wirksame menschliche Aufsicht ermöglichen (Artikel 14). Sie gibt außerdem einer Person, die von einer Entscheidung eines Betreibers auf Grundlage der Ausgabe eines Hochrisiko-Systems nach Anhang III (außer kritische Infrastruktur) betroffen ist, ein Recht auf Erläuterung, wenn die Entscheidung rechtliche oder ähnlich erhebliche Auswirkungen hat, die die Person als nachteilig für ihre Gesundheit, Sicherheit oder Grundrechte ansieht. Das gilt nur, soweit das Unionsrecht dieses Recht nicht schon vorsieht (Artikel 86).
Transparenz
Die DSGVO verpflichtet Verantwortliche, Personen über die Verarbeitung ihrer Daten zu informieren (Artikel 13 und 14). Die KI-Verordnung verpflichtet Anbieter, Betreibern Gebrauchsanweisungen für Hochrisiko-KI-Systeme zu geben (Artikel 13), und verlangt bei einigen Systemen Hinweise an Personen (Artikel 50). Beides kann auf dasselbe System zutreffen.
Datenqualität und Verzerrungen
Artikel 5 Absatz 1 Buchstabe d DSGVO verlangt, dass personenbezogene Daten sachlich richtig sind. Die KI-Verordnung verlangt, dass Trainings-, Validierungs- und Testdaten von Hochrisiko-KI-Systemen Qualitätskriterien erfüllen, einschließlich einer Prüfung auf mögliche Verzerrungen (Artikel 10). Anbieter dürfen ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten, um Verzerrungen zu erkennen und zu korrigieren, unter strengen Bedingungen (Artikel 4a).
Folgenabschätzungen
Gegebenenfalls nutzen Betreiber von Hochrisiko-Systemen die Informationen des Anbieters nach Artikel 13 für ihre Datenschutz-Folgenabschätzung nach der DSGVO (Artikel 26 Absatz 9). Eine Grundrechte-Folgenabschätzung nach Artikel 27 kann auf diese Folgenabschätzung verweisen (Artikel 27 Absatz 4).
Diese Unterschiede entscheiden darüber, was Sie nach jedem Gesetz tun müssen
Was geregelt wird
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Die KI-Verordnung regelt KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck, unabhängig davon, ob sie personenbezogene Daten verarbeiten.
Wer die Pflichten trägt
Die DSGVO richtet sich an Verantwortliche und Auftragsverarbeiter. Die KI-Verordnung richtet sich an Anbieter, Betreiber, Einführer, Händler und andere Akteure. Die Rollen entsprechen sich nicht eins zu eins, prüfen Sie daher die Begriffsbestimmungen beider Gesetze (KI-Verordnung Artikel 3, DSGVO Artikel 4).
Dokumentationspflichten
Die DSGVO verlangt Verzeichnisse von Verarbeitungstätigkeiten (Artikel 30) und Datenschutz-Folgenabschätzungen (Artikel 35). Die KI-Verordnung verlangt technische Dokumentation (Artikel 11), eine Konformitätsbewertung (Artikel 43) und für einige Betreiber eine Grundrechte-Folgenabschätzung (Artikel 27). Das eine ersetzt das andere nicht.
Häufig gestellte Fragen
Genügt die Einhaltung der DSGVO für die KI-Verordnung?
Nein. Die KI-Verordnung enthält eigene Pflichten, etwa das Risikomanagement für Hochrisiko-Systeme (Artikel 9) und die technische Dokumentation (Artikel 11). Unbeschadet der Artikel 4a und 59 berührt die KI-Verordnung die DSGVO nicht (Artikel 2 Absatz 7), daher gelten beide Gesetze.
Können zwei Behörden gegen dasselbe KI-System vorgehen?
Ja. Eine Datenschutzbehörde setzt die DSGVO durch und eine Marktüberwachungsbehörde die KI-Verordnung, jede im Rahmen ihres Gesetzes. Bei der Festsetzung einer Geldbuße nach der KI-Verordnung berücksichtigt die Behörde Geldbußen, die andere Behörden für dieselbe Tätigkeit bereits verhängt haben (Artikel 99 Absatz 7 Buchstabe c).
Verwandte Leitfäden
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.