Datenschutz-Folgenabschätzung (DSFA) im Kontext von Künstlicher Intelligenz (KI)

• Automatisierte Entscheidungen treffen (Artikel 22 DSGVO): Z. B. KI-basierte Kreditbewertung oder Personalentscheidungen.

• Profilbildung betreiben: Analyse oder Vorhersage persönlicher Aspekte wie Verhalten, Interessen oder Standort.

• Besonders sensible Daten verarbeiten: Z. B. Gesundheitsdaten, biometrische Daten oder Daten über ethnische Herkunft.

• Umfassende Überwachung ermöglichen: Einsatz von KI in Videoüberwachungssystemen oder anderen Tracking-Technologien.

• Große Datenmengen verarbeiten: Verarbeitung umfangreicher Datensätze aus verschiedenen Quellen, die Rückschlüsse auf Einzelpersonen ermöglichen.

• Black-Box-Problem: KI-Systeme wie neuronale Netzwerke treffen Entscheidungen oft auf eine Weise, die schwer nachvollziehbar ist.

• Unvorhersehbare Ergebnisse: KI-Algorithmen können unvorhergesehene Muster erkennen oder sich im Laufe der Zeit ändern, was die Risikobewertung erschwert.

KI-Systeme verarbeiten oft Daten aus mehreren Quellen, was das Risiko einer unrechtmäßigen Verarbeitung oder einer Verletzung des Datenschutzes erhöht.

KI kann bestehende Diskriminierungen in Datensätzen übernehmen oder verstärken, was erhebliche Risiken für die betroffenen Personen darstellt.

Daten, die ursprünglich für einen anderen Zweck erhoben wurden, werden häufig in KI-Systemen weiterverwendet. Dies kann gegen das Prinzip der Zweckbindung verstoßen.

Die DSFA sollte systematisch und umfassend durchgeführt werden. Ein typischer Ablauf umfasst folgende Schritte:

• Zweck: Beschreibung des Ziels der KI-Verarbeitung, z. B. Effizienzsteigerung, Entscheidungsautomatisierung.

• Datenarten: Identifikation der verarbeiteten Daten, z. B. personenbezogene Daten, sensible Daten.

• Verarbeitungsvorgänge: Darstellung der Verarbeitungsschritte, einschließlich Erhebung, Speicherung, Analyse und Löschung.

• Rechtsgrundlage: Nachweis der rechtlichen Grundlage für die Datenverarbeitung, z. B. Einwilligung, berechtigtes Interesse.

• Verhältnismäßigkeit: Abwägung zwischen dem Nutzen der KI und den Risiken für die betroffenen Personen.

• Identifikation von Risiken: Mögliche Auswirkungen auf die Rechte und Freiheiten der Betroffenen, z. B. Diskriminierung, Datenverlust.

• Wahrscheinlichkeit: Einschätzung der Wahrscheinlichkeit, mit der diese Risiken eintreten.

• Schwere: Bewertung der möglichen Folgen, wenn ein Risiko eintritt.

• Technische Maßnahmen: Verschlüsselung, Anonymisierung, Zugriffsbeschränkungen.

• Organisatorische Maßnahmen: Schulungen, Datenschutzrichtlinien, regelmäßige Audits.

• Überwachung: Implementierung von Monitoring-Tools zur kontinuierlichen Bewertung der KI-Systeme.

Alle Schritte und Ergebnisse der DSFA müssen dokumentiert werden, um die Rechenschaftspflicht gemäß Artikel 5 DSGVO zu erfüllen.

• Erklärbare KI (Explainable AI): Entwicklung von Algorithmen, deren Entscheidungen nachvollziehbar und erklärbar sind.

• Anonymisierung und Pseudonymisierung: Reduktion des Rückbezugs auf Einzelpersonen.

• Datensparsamkeit: Begrenzung der verarbeiteten Daten auf das Notwendige.

• Mitarbeiterschulungen: Sensibilisierung der Mitarbeiter für Datenschutzrisiken.

• Interne Kontrollen: Regelmäßige Überprüfung der KI-Systeme und ihrer Datenverarbeitung.

• Einbindung des Datenschutzbeauftragten: Sicherstellung, dass der Datenschutzbeauftragte in den Prozess eingebunden ist.

• Richtlinien für KI: Einführung von internen Richtlinien zur verantwortungsvollen Nutzung von KI.

• Ethik-Komitees: Einrichtung eines Ethik-Gremiums, das die Auswirkungen der KI-Verarbeitung bewertet.

• Beschreibung: Analyse von Videoaufnahmen zur Erkennung von Sicherheitsrisiken.

• Risiken: Verletzung der Privatsphäre, Profilbildung.

• Maßnahmen: Begrenzung der Speicherdauer, Zugriffskontrollen, Transparenz gegenüber Betroffenen.

• Beschreibung: Einsatz von KI zur Vorhersage von Wartungsbedarf basierend auf Sensordaten.

• Risiken: Verarbeitung sensibler Daten, Zweckänderung.

• Maßnahmen: Anonymisierung der Sensordaten, klare Zweckbindung.

• Beschreibung: KI-gestützte Bewerberauswahl.

• Risiken: Diskriminierung, unfaire Entscheidungen.

• Maßnahmen: Überprüfung der Trainingsdaten, regelmäßige Validierung der Algorithmen.

KI-Systeme bringen spezifische Herausforderungen mit sich, insbesondere durch ihre Komplexität, die Verarbeitung großer Datenmengen und das Risiko von Diskriminierung. Unternehmen sollten die DSFA frühzeitig in den Entwicklungs- und Implementierungsprozess integrieren, um rechtliche Vorgaben zu erfüllen, das Vertrauen der Betroffenen zu stärken und langfristig eine verantwortungsvolle Nutzung von KI zu gewährleisten.