DSGVO und KI: Wie Sie rechtssicher KI nutzen

KI ist mächtig. Sie kann Kundenverhalten vorhersagen, Betrug erkennen, Medizin personalisieren. Aber KI arbeitet mit Daten. Und wenn diese Daten personenbezogene Daten sind, gilt die DSGVO. Und hier wird's kompliziert.

Dieser Leitfaden zeigt, wie Sie KI rechtssicher einsetzen — ohne die datenschutzrechtlichen Fallstricke zu ignorieren.

Was die DSGVO über KI sagt

Die DSGVO wurde 2016 verabschiedet, lange vor der KI-Explosion. Sie war nicht speziell für KI gedacht, aber ihre Regeln gelten vollständig für KI-Systeme.

Zentrale DSGVO-Prinzipien für KI:

1. Rechtmäßigkeit der Datenverarbeitung

Sie dürfen personenbezogene Daten nur für einen legitimen Zweck verarbeiten:

• Mit Einwilligung der Person (explizit)
• Weil ein Vertrag es erfordert
• Zur Erfüllung einer rechtlichen Verpflichtung
• Zur Wahrung berechtigter Interessen

2. Transparenz und Erklärbarkeit

Menschen haben das Recht zu wissen, wie eine Entscheidung zustande kam. Insbesondere bei automatisierten Entscheidungen mit Rechtsfolgen.

Das ist ein großes KI-Problem: Deep-Learning-Modelle sind "Black Boxes". Sie können nicht erklären, warum sie eine Entscheidung treffen.

3. Datensparsamkeit

Sie dürfen nur die Daten sammeln und verarbeiten, die Sie brauchen. Keine "Mal sehen, was wir alles sammeln können"-Mentalität.

• ❌ Falsch: "Wir sammeln alles, vielleicht brauchen wir es später"
• ✅ Richtig: "Wir brauchen diese 5 Datenfelder für dieses Modell"

4. Datensicherheit

Sie müssen personenbezogene Daten angemessen schützen. Bei KI-Systemen ist das kritisch:

• Verschlüsselung (Daten in transit und at rest)
• Zugriffskontrollen (wer darf auf die Trainingsdaten zugreifen?)
• Isolation (Produktions-Daten nicht in Test-Umgebungen)
• Audit-Logging (Wer hat wann auf welche Daten zugegriffen?)

KI-spezifische DSGVO Anforderungen

Auswirkungen auf Personen

Wenn ein KI-Modell Entscheidungen über eine Person trifft (Kreditvergabe, Jobabbau, Medizin), müssen Sie dokumentieren:

• Woher kommen die Trainingsdaten?
• Wie wurde das Modell trainiert?
• Wie genau ist das Modell?
• Hat das Modell Bias? (z.B. diskriminiert es Frauen?)

Risikoanalyse

Je wichtiger die Entscheidung, desto höher die Anforderungen:

• Hohe Auswirkungen: Entscheidungen über Kredit, Job, Strafverfolgung → Hohe Anforderungen an Genauigkeit, Transparenz, Kontrolle
• Niedrige Auswirkungen: Produktempfehlungen → Niedrigere Anforderungen

Betroffenenrechte

Personen haben folgende Rechte (die für KI relevant sind):

• Recht auf Auskunft: "Welche Daten haben Sie von mir?"
• Recht auf Berichtigung: "Diese Daten sind falsch, bitte korrigieren Sie"
• Recht auf Löschung (Right to be forgotten): "Löschen Sie meine Daten"
• Recht auf Erklärung: "Warum hat Ihr KI-Modell diese Entscheidung getroffen?"
• Recht auf Widerspruch: "Ich stimme der automatisierten Entscheidung nicht zu"

Praktische Compliance-Strategie

1. Impact Assessment machen

Vor jedem KI-Projekt: DPIA (Data Protection Impact Assessment):

• Welche personenbezogenen Daten nutzen wir?
• Welche Risiken gibt es?
• Wie minimieren wir die Risiken?

2. Rechtsgrundlage klären

Auf welcher Basis darf ich diese Daten verarbeiten?

• Einwilligung? (Explizit, frei gegeben)
• Vertrag? (z.B. Kreditvertrag)
• Berechtigtes Interesse? (z.B. Betrugsbekämpfung)

3. Dokumentieren, dokumentieren, dokumentieren

Im Falle einer DSGVO-Prüfung durch die Aufsichtsbehörde müssen Sie zeigen:

• Verarbeitungsverzeichnis (Was, Wann, Warum?)
• Trainingsdaten-Herkunft
• Modell-Genauigkeit und Bias-Tests
• Datensicherheits-Maßnahmen

4. Transparenz garantieren

Wenn Ihr Modell eine wichtige Entscheidung trifft, erklären Sie sie:

• Datenschutzerklärung: "Wir nutzen KI, um..."
• Entscheidungs-Erklärungen: "Das Modell hat entschieden, weil..."
• Beschwerde-Prozess: "Wenn Sie nicht einverstanden sind..."

Die versteckte Strafe: Bußgelder

DSGVO-Verstöße kosten Geld:

• Kleinere Verstöße: Bis 10 Millionen Euro ODER bis 2% des globalen Jahresumsatzes (je höher)
• Schwere Verstöße: Bis 20 Millionen Euro ODER bis 4% des globalen Jahresumsatzes (je höher)

Die gute Nachricht: DSGVO ist managebar

DSGVO sagt nicht "Keine KI". Sie sagt: "KI, aber verantwortungsvoll".

Der Schlüssel ist:

• ✅ Rechtsgrundlage klären
• ✅ Impact Assessment machen
• ✅ Datensicherheit ernst nehmen
• ✅ Transparent sein
• ✅ Dokumentieren

Unternehmen, die DSGVO-konform KI einsetzen, haben einen Wettbewerbsvorteil: Sie können ihren Kunden vertrauen — und das ist unbezahlbar.