Der technische und organisatorische Datenschutz ist für Unternehmen in mehrfacher Hinsicht von Bedeutung. Zum einen minimiert er Schadens- und Haftungsrisiken, was angesichts steigender Zahlen im Bereich der Cyberkriminalität wirtschaftlich sinnvoll ist. Zum anderen ist ein hoher Datenschutzstandard für die Vermarktung eines Unternehmens vorteilhaft, weil er das Vertrauen von Kunden in die Produkte und Dienstleistungen des Unternehmens steigert. Im sechsten Teil unserer Beitragsreihe zeigen wir deshalb auf, welche technischen und organisatorischen Maßnahmen beim Einsatz von KI-Systemen mitgedacht werden müssen.
I. Regelungsrahmen
Die Verpflichtung zu technischen und organisatorischen Maßnahmen (TOMs) folgt aus Art. 32 DSGVO als zentraler Vorschrift der Sicherheit der Verarbeitung in der DSGVO. Welche TOMs erforderlich sind, richtet sich vor allem nach der Schwere und Eintrittswahrscheinlichkeit der Risiken für Rechte und Freiheiten der betroffenen Personen (Art. 32 Abs. 1 DSGVO).
Unternehmen, die KI-Systeme einsetzen wollen, treffen zudem regelmäßig die Betreiberpflichten der KI-VO, wobei der europäische Gesetzgeber einen risikobasierten Ansatz gewählt hat. Art. 26 KI-VO verpflichtet Betreiber von Hochrisiko-KI-Systemen zu angemessenen technischen und organisatorischen Maßnahmen sowie zu einer menschlichen Aufsicht und erweitert den Pflichtenkreis um Informations-, Dokumentations- und Kooperationspflichten. Für Anbieter von KI-Systemen ist Art. 15 Abs. 5 KI-VO (für Hochrisiko-KI-Systeme) von Bedeutung.
Im Bereich der Datensicherheit finden sich darüber hinaus zahlreiche europäische Verordnungen und Richtlinien, die zwar unterschiedliche Regelungsadressaten und -gegenstände haben, aber in ihren Anforderungen weitreichende Schnittmengen aufweisen. Beispielsweise können Produkte mit digitalen Elementen (Art. 3 Nr. 1 CRA), die Hochrisiko-KI-Systeme sind, nach Art. 12 Abs. 1 CRA durch Erfüllung der Anforderungen aus Anhang I Teil I und Teil II des CRA und eine entsprechende EU-Konformitätserklärung gleichzeitig die Anforderungen des Art. 15 Abs. 5 KI-VO wahren.
II. Was gilt es bei der Entwicklung von KI zu beachten?
Während des gesamten Entwicklungszyklus einer KI kommt den Datenschutzgrundsätzen aus Art. 5 Abs. 1 DSGVO besondere Bedeutung zu. Soll die Verarbeitung beim Einsatz von KI auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden, kommt ihnen Bedeutung für die Interessenabwägung und damit die Rechtsgrundlage für die Verarbeitung zu. Bereits bei der Auswahl der Mittel der Verarbeitung im Rahmen der Entwicklung von KI-Systemen muss Datenschutz mitgedacht werden (sog. Privacy by Design, vgl. auch Art. 25 Abs. 1 DSGVO).
So ist etwa bei der Auswahl von Trainingsdaten darauf zu achten, dass sie eine hinreichende Qualität sowie einen Bezug zur Wissensdomäne aufweisen und eine Rechtsgrundlage für die Verarbeitung zu Trainingszwecken besteht. Um die Qualität der KI zu bewerten, ist ein regelmäßiges Testing der Systeme mit unterschiedlichen Datensätzen erforderlich. Eine Orientierung bietet das Positionspapier der Datenschutzkonferenz (DSK). Es beinhaltet einen umfassenden Katalog der bei der Entwicklung von KI-Systemen regelmäßig erforderlichen technischen und organisatorischen Maßnahmen.
Schließlich muss regelmäßig durch den KI-Entwickler eine Datenschutzfolgenabschätzung gem. Art. 35 Abs. 1 DSGVO durchgeführt werden.
III. Welche technischen und organisatorischen Maßnahmen sind beim Einsatz von KI-Systemen zu beachten?
1. Interne Compliance-Struktur
Unternehmen sollten eine unternehmenseigene KI-Compliance-Strategie entwickeln. Es sollten Zuständigkeiten für die KI-Compliance im Unternehmen festgelegt werden. Hierzu kann (eine rechtliche Verpflichtung besteht allerdings nicht) ein mit hinreichender Sachkenntnis ausgestatteter KI-Beauftragter bestimmt werden. Um Risiken identifizieren, bewerten und priorisieren zu können, sollte ein unternehmensbezogenes KI-Risk-Assessment durchgeführt werden. Es dient als Grundlage für Kontrollmechanismen und Eskalationsprozesse im Unternehmen selbst. Angesichts der dynamischen Entwicklung der KI-Regulierung ist eine regelmäßige Überprüfung und Anpassung der internen Abläufe zwingend erforderlich, um einen rechtskonformen KI-Einsatz zu gewährleisten.
2. Auswahl von KI-Tarif und KI-Anbieter
Vor der Implementierung eines KI-Systems eines Drittanbieters sollten KI-Systeme und Tarife im Rahmen eines KI-Anbieter-Assessments verglichen werden und den Unternehmensbedürfnissen entsprechend ausgewählt werden. Dies setzt gesteigerte KI-Kompetenzen des Beschaffungspersonals voraus. In jedem Fall sollte die Rechtskonformität (Datenschutz, Urheberrechtsschutz etc.) der Entwicklung des KI-Systems überprüft und vertraglich zugesichert werden. Eine Verwendung des Inputs zur Modellverbesserung ist auszuschließen. Zudem ist ein Auftragsverarbeitungsvertrag gem. Art. 28 Abs. 3 Satz 1 DSGVO mit dem KI-Anbieter zu schließen. Regelmäßig ist vor dem Einsatz eine Datenschutzfolgenabschätzung gem. Art. 35 DSGVO durchzuführen.
3. Rechtsgrundlage für die Verarbeitung personenbezogener Daten
Es muss von Anfang an sichergestellt werden, dass die Verarbeitung personenbezogener Daten beim Einsatz von KI-Systemen auf eine wirksame Rechtsgrundlage gestützt werden kann. Regelmäßig wird als Rechtsgrundlage für die Verarbeitung nur ein berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f) DSGVO in Betracht kommen. Daher muss der konkrete Zweck der Verarbeitung im Vorhinein festgelegt und dokumentiert werden, um die Erforderlichkeit der Datenverarbeitung zur Wahrung der berechtigten Interessen des Unternehmens überprüfen und nachweisen zu können. Zudem sollte auf die Verwendung von KI-Systemen zur Verarbeitung personenbezogener Daten hingewiesen werden und betroffenen Personen – soweit möglich – eine Opt-Out-Option gegeben werden. Beim Fine-Tuning mit eigenen Datenbeständen ist zu beachten, dass hierfür eine weitere Rechtsgrundlage gem. Art. 6 Abs. 1 DSGVO erforderlichist. Regelmäßig wird eine Vereinbarkeit des Erhebungszwecks mit dem Trainingszweck des Fine-Tunings nach Art. 6 Abs. 4 DSGVO nicht vorliegen, sodass die Verarbeitung auf eine Einwilligung gem. Art. 6 Abs. 1 lit. a) DSGVO oder ein berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f) DSGVO gestützt werden muss. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 Abs. 1 DSGVO muss ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO vorliegen.
Sowohl bei der Verarbeitung im Rahmen des KI-Einsatzes als auch beim Fine-Tuning gilt es, den Grundsatz der Datenminimierung gem. Art. 5 Abs. 1 lit. c) DSGVO zu beachten und dementsprechend zu überprüfen, ob der Verarbeitungszweck nicht auch mit anonymisierten, pseudonymisierten oder synthetischen Daten erreicht werden kann.
4. Dokumentation und Transparenz
Der Einsatz eines KI-Systems, das personenbezogene Daten verarbeitet, löst umfangreiche Dokumentations- und Transparenzpflichten aus. In technischer Hinsicht muss die Dokumentation das KI-System umfassend und nachvollziehbar beschreiben. Umfassende Audit-Trails können dazu beitragen, dass die Nutzung und Weiterentwicklung des KI-Systems nachvollziehbar bleibt. Es müssen ausreichend Informationen über das KI-System zur Verfügung stehen, um die Informationspflichten und Betroffenenrechte gewährleisten zu können und Aufsichtsbehörden eine Kontrolle zu ermöglichen. Werden KI-Systeme von Drittanbietern bezogen, müssen entsprechende Informationen von dem KI-Anbieter als Auftragsverarbeiter eingeholt werden.
5. KI-Kompetenz in der Belegschaft
Zentral ist der Aufbau von KI-Kompetenz in der Belegschaft (vgl. Art. 4 KI-VO). Im Rahmen von Schulungen sind Mitarbeitende für rechtliche und technische KI-spezifische Risiken zu sensibilisieren. Zusätzlich sollte eine KI-Nutzungsrichtlinie etabliert werden, die konkrete und verständliche Verhaltensregeln im Zusammenhang mit der Nutzung von KI-Systemen festlegt. Hierdurch können problematische interne Abläufe frühzeitig erkannt, gegebenenfalls eskaliert und bestenfalls vollständig vermieden werden.
6. Zertifikate und Konformitätsbewertungen
Um die Einhaltung der rechtlichen Rahmenbedingungen sicherzustellen, sind Zertifizierungen und Konformitätsbewertungen von gesteigerter Bedeutung. Speziell für den KI-Einsatz sind die ISO-Normen 42001 und 22989 zu nennen. Bezogen auf die Datensicherheit im Allgemeinen ist die ISO-Norm 27001 von Bedeutung. Die Normen können in bestehende Qualitätsmanagement-Systeme (etwa nach ISO 9000) integriert werden und ihre Einhaltung kann zertifiziert werden. Hierdurch kann die Einhaltung von Datensicherheits-Standards sichergestellt und nachgewiesen und das Vertrauen von Kunden in die Datensicherheit ihres Unternehmens gesteigert werden.
7. Überwachung des Outputs
Unternehmen sollten die Leistung des KI-Systems und den Output durch Überwachungstools im Rahmen eines Echtzeit-Monitorings oder punktueller Kontrollen überprüfen. Sollen KI-Systeme Entscheidungen treffen, von denen eine erhebliche Beeinträchtigung für Rechte und Freiheiten betroffener Personen ausgeht, müssen diese grundsätzlich durch einen Menschen kontrolliert und gegebenenfalls korrigiert werden (vgl. Art. 22 Abs. 1 DSGVO). Der Output darf zudem weder unmittelbare noch mittelbare Diskriminierungen enthalten und ist regelmäßig entsprechend zu überprüfen, um nicht in Konflikt mit dem Allgemeinen Gleichbehandlungsgesetz (AGG) zu geraten.
IV. Fazit
Die vorstehenden Maßnahmen können nur einen ersten Anhaltspunkt bieten. Welche technischen und organisatorischen Maßnahmen erforderlich sind, richtet sich nach der Schwere und der Eintrittswahrscheinlichkeit der im konkreten Einsatzzweck bestehenden Risiken. Deshalb ist stets eine fachkundige Betrachtung im Einzelfall erforderlich. KREMER LEGAL unterstützt Sie bei der Implementation maßgeschneiderter technischer und organisatorischer Maßnahmen.
KL| Beitrag von Nils Grüttner