BfDIEinordnung der KI-Verordnung

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) fasst anlässlich der Veröffentlichung der EU-Verordnung zur Künstlichen Intelligenz (KI-VO) die wichtigsten Punkte aus datenschutzrechtlicher Sicht wie folgt zusammen:

Die KI-Verordnung der EU verfolgt einen risikobasierten Ansatz. Praktiken, die gegen die Grundwerte der EU verstoßen und ein inakzeptables Risiko darstellen, wie Social Scoring und ungezielte Gesichtserkennung, sind verboten. Hochriskante KI-Systeme, wie sie in Funkanlagen, Fahrzeugen oder zur biometrischen Identifizierung und Asylprüfung eingesetzt werden, unterliegen strengen Anforderungen in Bezug auf Datenqualität, Genauigkeit, Robustheit, Cybersicherheit, technische Dokumentation, Protokollierung, Risikomanagement, Transparenz und menschliche Aufsicht.

KI-Systeme, die mit natürlichen Personen interagieren, Systeme zur Erkennung von Emotionen und allgemeine KI-Systeme müssen bestimmte Transparenzanforderungen erfüllen. Systeme mit geringem Risiko sind nicht betroffen, unterliegen aber weiterhin der Datenschutz-Grundverordnung. Die KI-Verordnung ergänzt die bestehenden rechtlichen Anforderungen und stärkt den Grundrechtsschutz durch spezifische Regelungen.

Die Datenschutzaufsichtsbehörden erhalten neue Aufgaben und Befugnisse, wie den Zugang zu den erforderlichen Dokumenten und die Möglichkeit, technische Untersuchungen zu beantragen. Sie müssen über schwerwiegende Vorfälle informiert werden und Einsicht in die Register risikoreicher KI-Systeme erhalten. Besondere Bedeutung kommt der Dokumentation und Berichterstattung bei der Verwendung biometrischer Systeme zur Fernidentifizierung zu.

Die Überwachung der Einhaltung der KI-Verordnung ist nach Sektoren aufgeteilt. Ein EU-Büro für KI überwacht allgemeine Anwendungen von KI-Systemen. Die Marktaufsichtsbehörden der Mitgliedstaaten, die Finanzaufsichtsbehörden und die Datenschutzbehörden sind je nach Sektor zuständig. Eine zentrale Anlaufstelle in jedem Mitgliedstaat soll Beschwerden und Meldungen erleichtern. Die genauen Zuständigkeiten werden auf nationaler Ebene ausgearbeitet, um eine reibungslose Zusammenarbeit sicherzustellen. Die Datenschutzkonferenz hat hierzu ein Positionspapier veröffentlicht.