KI und Datenschutz

Die Verwendung von generativen KI-Systemen kann problematisch werden, wenn Unternehmen keine klaren Vorgaben und Regeln für den Einsatz aufstellen. Dann ist die Gefahr groß, dass Mitarbeitende KI-Tools eigenmächtig einsetzen und dabei Regeln missachten, die für einen datenschutzkonformen Einsatz beachtet werden müssten. Die Datenschutzaufsichtsbehörden haben KI-Tools schon länger im Visier, bieten aber auch Hilfestellungen für den richtigen Einsatz an.

Für KI gilt die DSGVO

KI-Anwendungen in Form von Dialogchats sind äußerst beliebt. So beliebt, dass sie in Unternehmen, die keine KI-Anwendungen einsetzen, häufig auch ohne Wissen und Zustimmung der Unternehmensleitung von Mitarbeitern eigenmächtig genutzt werden. Die unautorisierte Nutzung verstößt nicht nur gegen IT-Richtlinien, sondern ist auch datenschutzrechtlich problematisch.

Unabhängig davon, ob KI-Anwendungen in Unternehmen auf eigene Initiative oder als offizielles Arbeitsmittel eingesetzt werden, unterliegen sie den Datenschutzbestimmungen. Werden KI-Anwendungen „offiziell“ eingesetzt, sollten die Beschäftigten daher unbedingt über den datenschutzkonformen Einsatz informiert werden. Werden KI-Anwendungen nicht offiziell eingesetzt, sollte deren private Nutzung ausdrücklich untersagt werden.

DSK-Orientierungshilfe „Künstliche Intelligenz und Datenschutz“

Viele Unternehmen und Behörden stehen vor der Frage, wie sie KI-Anwendungen datenschutzkonform einsetzen können. Die Datenschutz-Aufsichtsbehörden beschäftigen sich schon seit längerem mit KI-Anwendungen und prüfen, welche Datenschutzvorschriften diese erfüllen müssen. Die Datenschutzkonferenz (DSK) hat nun die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht, die den aktuellen Stand der Prüfergebnisse zusammenfasst.

Obwohl der Schwerpunkt der Orientierungshilfe der DSK auf der Betrachtung von LLMs liegt, sind die datenschutzrechtlichen Erwägungen auch für alle anderen KI-Modelle und KI-Anwendungen relevant. Die Orientierungshilfe gibt einen Überblick über die datenschutzrechtlichen Kriterien, die für einen datenschutzkonformen Einsatz von KI-Anwendungen zu berücksichtigen sind. Sie kann als Orientierungshilfe bei der Auswahl, Implementierung und Nutzung von KI-Anwendungen dienen. Zielgruppe sind in erster Linie Verantwortliche, die KI-Anwendungen einsetzen oder einsetzen wollen.

Thematisch ist die Orientierungshilfe unterteilt in die 3 Bereiche Konzeption, Implementierung und Nutzung von KI-Anwendungen. Inhaltlich geht es dabei z. B. um die Bestimmung der Einsatzbereiche und Einsatzzwecke, die zwingende Prüfung der Rechtsgrundlagen und das Verbot der automatisierten Entscheidungsfindung.

Besonders hilfreich sind die Hinweise, die die Orientierungshilfe für den datenschutzrechtlich einwandfreien KI-Einsatz gibt: Verantwortliche benennen, klare Regeln und Handlungsanweisungen vorgeben, Betriebsräte beteiligen, Datenschutz-Folgeabschätzungen vornehmen, Verwendung privater Accounts und Geräte der Mitarbeiter untersagen.

HmbBfDI-Checkliste zum Einsatz LLM-basierter Chatbots

Bereits im November 2023 hat Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) eine „Checkliste zum Einsatz LLM-basierter Chatbots“ veröffentlicht. Die Checkliste beinhaltet insgesamt „15 Aspekte zum kontrollierten Umgang mit LLM-Chatbots“ und soll als Leitfaden für eine datenschutzkonforme Nutzung von LLM-basierten Chatbots dienen.

Kurz und knapp, aber sehr informativ weist die Checkliste auf die wichtigsten datenschutzrechtlichen Aspekte hin, die es zu beachten gilt: Compliance-Regelungen vorgeben, Datenschutzbeauftragte einbinden, nur Unternehmenskonten und -lizenzen nutzen, sichere Authentifizierung, keine Eingabe oder Ausgabe personenbezogener Daten, Ergebnisse auf Richtigkeit und Diskriminierung prüfen, keine automatisierten Entscheidungen, Mitarbeiter sensibilisieren.