FAQ zum Thema KI und Datenschutz

Stand: 2. Juli 2024

Die folgenden Informationen stellen eine erste Einordnung zum Thema „Künstliche Intelligenz und Datenschutz“ dar und werden laufend erweitert.

1. Was ist unter Künstlicher Intelligenz (KI) bzw. KI-Systemen zu verstehen?

KI ist ein schwierig zu definierender Begriff, da es bereits an einer allgemein gültigen Definition von „Intelligenz“ mangelt.

Aus rechtlicher Sicht kann jedoch auf die Definition der EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (in Folge: KI-VO, siehe Frage 2) verwiesen werden.

Ein „KI-System“ bezeichnet nach Art. 3 Z 1 KI-VO „ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können;“

Vereinfacht gesagt handelt es sich um Computersysteme, die Aufgaben ausführen können, die normalerweise menschliche Intelligenz erfordern. Das bedeutet, dass diese Systeme Probleme lösen, lernen, Entscheidungen treffen und mit ihrer Umgebung interagieren können, ähnlich wie Menschen es tun.

Bei generativer KI handelt es sich um KI-Systeme, die es ermöglichen, einen neuen Output an Informationen, wie etwa Text, Audio, Bilder oder Videos, zu erzeugen. Das geschieht in der Regel durch sogenannte „Prompts“, also durch Eingaben bzw. Aufträge durch den:die Nutzer:in selbst.

2. Was ist der rechtliche Rahmen für den Einsatz von KI-Systemen?

Beim Einsatz von KI sind verschiedene Rechtsakte zu beachten, die darauf abzielen, die regulatorischen Rahmenbedingungen für KI zu schaffen.

Den Kern bildet die (bereits erwähnte) EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, die am 22. Mai 2024 formal angenommen wurde. Die KI-VO soll einen umfassenden Rechtsrahmen für Inverkehrbringen, Bereitstellung und Inbetriebnahme von KI-Systemen in der EU zu schaffen.

Zu beachten sind aber auch Bestimmungen zur Produkthaftung. Im Kontext der KI-VO ist insbesondere auf den – sich noch im Gesetzgebungsprozess befindlichen – Vorschlag für eine Richtlinie zur Anpassung der Vorschriften über außervertragliche zivilrechtliche Haftung an künstliche Intelligenz (Richtlinie über KI-Haftung) hinzuweisen. Ebenso beachtlich sind die Bestimmungen zum Urheberrecht.

Beim Nutzen von KI kommt es regelmäßig auch zur Verarbeitung von personenbezogenen Daten. Das sind gemäß Art. 4 Z 1 Datenschutz-Grundverordnung (in Folge: DSGVO) alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Werden personenbezogene Daten verarbeitet, sind die DSGVO und das österreichische Datenschutzgesetz (in Folge: DSG) anwendbar.

3. Was ist das Verhältnis zwischen DSGVO und KI-VO?

In Art. 2 Abs. 7 KI-VO ist festgehalten, dass die DSGVO, die Arbeit der Datenschutzbehörde und die Pflichten von Anbietern und Betreibern von KI-Systemen in ihrer Rolle als Verantwortliche oder Auftragsverarbeiter durch die KI-VO unberührt bleiben. Die DSGVO bleibt (parallel) anwendbar, wenn es zur Verarbeitung personenbezogener Daten kommt.

Für datenschutzrechtliche Fragestellungen im Zusammenhang mit KI-Systemen ist die Datenschutzbehörde daher zuständig.

4. Wer ist zuständig?

Die KI-VO sieht eine oder mehrere Marktüberwachungsbehörden vor, welche die Marktüberwachung durchführen. Durch die Marktüberwachung soll insbesondere gewährleistet werden, dass Hochrisiko-KI-Systeme den Vorgaben der KI-VO entsprechen. Es ist noch nicht fixiert, wer dies in Österreich sein wird. Auch für die EU-Kommission sind im einige Rechtsdurchsetzungskompetenzen vorgesehen.

Als Vorbereitung für die Umsetzung der KI-VO gibt es eine KI-Servicestelle, welche in der RTR GmbH eingerichtet ist und als Ansprechpartnerin und Informationshub zum Thema KI dient.

Für datenschutzrechtliche Fragestellungen im Zusammenhang mit KI-Systemen ist die Datenschutzbehörde zuständig.

Zudem ist in Art. 74 Abs. 8 KI-VO festgelegt, dass die für die DSGVO oder für die Richtlinie Polizei und Justiz zuständigen Aufsichtsbehörden die Funktion der Marktüberwachungsbehörde für KI-Systeme mit hohem Risiko u.a. im Bereich der Strafverfolgung, der Grenzverwaltung, der Justiz und der Demokratie zukommt. In Österreich kommt diese Zuständigkeit (nach aktueller Rechtslage) gemäß §§ 18, § 31 DSG der Datenschutzbehörde zu.

5. Kann ich eine Beschwerde bei der Datenschutzbehörde wegen KI-Systemen einbringen?

Wenn eine betroffene Person der Ansicht ist, dass im Rahmen des Einsatzes eines KI-Systems und der damit verbundenen Verarbeitung der sie betreffenden personenbezogenen Daten gegen Vorgaben der DSGVO oder des DSG verstoßen hat, so kann sie eine diesbezügliche Beschwerde bei der Datenschutzbehörde einbringen.

6. Welche datenschutzrechtlichen Besonderheiten gibt es in der KI-VO?

In der KI-VO wird an mehreren Stellen auf die DSGVO verwiesen, zum Beispiel für die Definition der Begriffe „personenbezogene Daten“, „biometrische Daten“ oder „Profiling“.

Zudem werden einige datenschutzrechtliche Verpflichtungen abgeändert bzw. erweitert.

So sieht die KI-VO etwa die Möglichkeit vor, dass „sensible“ Daten iSd Art. 9 DSGVO unter gewissen Umständen verarbeitet werden dürfen, um sogenannte „Biases“, also Verfälschungen bzw. Verzerrungen, in einem KI-System zu entdecken. Jene Daten, die dafür unbedingt erforderlich sind und die Begründung, warum dieses Ziel nicht durch die Verarbeitung anderer Daten erreicht werden kann, sind im Verzeichnis für Verarbeitungstätigkeiten nach Art. 30 DSGVO aufzunehmen (Art. 10 Abs. 5 KI-VO).

Erwähnenswert ist auch, dass die EU-Konformitätserklärung für Hochrisiko-KI-Systeme gemäß Art. 47 KI-VO für den Fall der Verarbeitung personenbezogener Daten u.a. eine Erklärung enthalten muss, dass das KI-System (bzw. die Datenverarbeitung im Rahmen des KI-Systems) den Vorgaben der DSGVO oder der Richtlinie für Polizei und Justiz entspricht.

7. Welche datenschutzrechtlichen Verpflichtungen sind beim Einsatz von KI-Systemen zu beachten?

Grundsätzlich verfolgt die DSGVO einen technologieneutralen Ansatz und unterscheidet sich daher der Einsatz von KI-Systemen aus datenschutzrechtlicher Sicht nicht von jeder anderen Verarbeitung personenbezogener Daten.

Aufgrund der Beschaffenheit vieler KI-Systeme spielt die Verarbeitung von personenbezogenen Daten aber eine zentrale Rolle. So werden bei KI-Systemen, insbesondere bei solchen, die auf maschinellem Lernen basieren, sowohl in der Lernphase als auch in der Betriebsphase vielfach personenbezogene Daten verarbeitet.

Grundsätze:

Die DSGVO kennt mehrere Grundsätze, welche alle bei jeder Verarbeitung personenbezogener Daten erfüllt sein müssen und der Verantwortliche die Einhaltung nachweisen können muss (Art. 5 Abs. 1 und 2 DSGVO):

„Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“;
„Zweckbindung“;
„Datenminimierung“;
„Richtigkeit“;
„Speicherbegrenzung“;
„Integrität und Vertraulichkeit“;

Diese Grundsätze sind auch beim Einsatz von KI-Systemen (und der damit verbundenen Verarbeitung personenbezogener Daten) zu beachten.

Rechtmäßigkeit/Rechtsgrundlage:

Für jede Verarbeitung personenbezogener Daten muss zumindest einer der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO, vorliegen: Einwilligung, Erfüllung eines Vertrags, einer rechtlichen Verpflichtung, Wahrung lebenswichtiger Interessen, Erfüllung eines Auftrags im öffentlichen Interesse und Verfolgung eines berechtigten Interesses.

Sollten sogenannte „sensible Daten“ (eigentlich Daten besonderer Kategorie im Sinne des Art. 9 Abs. 1 DSGVO) verarbeitet werden, so muss zusätzlich eine Ausnahme des Verbots von Art. 9 Abs. 2 DSGVO vorliegen, welche etwas enger gefasst sind, als die Erlaubnistatbestände von Art. 6 Abs. 1 DSGVO.

„Sensible“ Daten sind:

personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen einer Person hervorgehen;
Gewerkschaftszugehörigkeit;
genetische Daten, biometrische Daten, die ausschließlich zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden;
Gesundheitsdaten;
Daten zum Sexualleben oder zur sexuellen Orientierung einer Person.

Beispiel:
Bei der Beurteilung der Rechtmäßigkeit ist es sinnvoll, die verschiedenen Phasen der Verarbeitung personenbezogener Daten zu unterscheiden. Im Kontext der Entwicklung eines Large Language Models wäre etwa die Sammlung von Trainingsdaten (einschließlich der Verwendung von „Web-Scraping“) vom Training selbst oder von dem Betrieb mit Eingabeaufforderungen zu unterscheiden. Für derartige Verarbeitungen könnte beispielsweise der Tatbestand des berechtigten Interesses in Frage kommen. Ob dies im jeweiligen Fall anwendbar ist und nicht die Interessen der jeweils betroffenen Person (also jener, deren Daten verarbeitet werden) überwiegen, ist im Einzelfall zu prüfen.

Verarbeitung nach Treu und Glauben; Transparenz:

Bei der Verarbeitung nach Treu und Glauben handelt es sich um einen übergreifenden Grundsatz, der verlangt, dass personenbezogene Daten nicht in einer Weise verarbeitet werden dürfen, die für die betroffene Person ungerechtfertigt nachteilig, diskriminierend, unerwartet oder irreführend ist. Insbesondere darf es nicht zu einer Übertragung des Risikos vom Verantwortlichen auf die betroffene Person – etwa durch einen Hinweis in den AGB – kommen.

Der Grundsatz der Transparenz steht damit stark in Verbindung und verlangt, die betroffene Person entsprechend über die Verarbeitung ihrer personenbezogenen Daten zu informieren (siehe dazu auch den Punkt „Betroffenenrechte“).

Beispiel:
Auf einer Versicherungs-Website wird ein „intelligenter Chatbot“ für den Kundenservice verwendet, bei welchem Kund:innen in ihren Anfragen auch regelmäßig personenbezogene Daten preisgeben. Es muss sichergestellt werden, dass die Kund:innen transparent darüber informiert werden, wie genau eingegebene personenbezogene Daten verarbeitet werden. Die Interaktion mit dem Chatbot hat für die betroffene Person zudem keine unvorhergesehenen oder nachteiligen Folgen.

Zweckbindung, Datenminimierung und Speicherbegrenzung:

Eine Verarbeitung personenbezogener Daten, auch im Rahmen von KI-Systemen, muss jeweils einen klar definierten Zweck aufweisen. Die verarbeiteten Daten müssen für diesen Zweck auch tatsächlich erforderlich und relevant sein und dürfen auch nur so lange verarbeitet und gespeichert werden, wie für die Erreichung des Zwecks notwendig.

Beispiel:
Es soll ein KI-System bei einem medizinischen Forschungsprojekt verwendet werden. Dabei kommt es auch zur Verarbeitung personenbezogener Daten von Probanden. Die gesammelten Daten werden ausschließlich für diesen spezifischen Zweck und nicht für andere Zwecke, wie etwa Werbung oder Weiterverkauf an Dritte, verwendet.
Es werden dabei nur die für das Forschungsprojekt notwendigen Daten verarbeitet, nicht erforderliche Informationen werden entfernt oder pseudonymisiert.
Die gesammelten Daten werden für einen begrenzten Zeitraum gespeichert, um die Produktempfehlungen zu ermöglichen. Nach einer bestimmten Zeit, wenn die Daten nicht mehr relevant sind oder keine Rechtsgrundlage mehr vorhanden ist, werden sie anonymisiert oder gelöscht.

Richtigkeit:

Der Grundsatz der Datenrichtigkeit besagt, dass Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen und dabei alle angemessenen Maßnahmen zu treffen sind, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.

Dies ist gerade bei (text-)generierenden Systemen regelmäßig mit Herausforderungen verbunden, da bei aktuell vorhandenen Systemen üblicherweise ein Output generiert wird, der aus statistischer Sicht am wahrscheinlichsten, jedoch nicht notwendigerweise sachlich richtig ist.

In Anbetracht dessen sind betroffene Personen jedenfalls darüber zu informieren, dass die von derartigen Systemen erzeugten Ergebnisse irreführend und falsch sein können.

Integrität und Vertraulichkeit (Sicherheit):

Auch bei der Verarbeitung mit Hilfe von KI-Systemen muss eine angemessene Sicherheit gewährleistet sein. Dies beinhaltet auch den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust.

Es ist also sicherzustellen, dass das verwendete Tool über entsprechende Sicherheitsstandards verfügt und dass verarbeitete Daten nicht unrechtmäßig Dritten offengelegt werden.

Beispiel:
Es wird ein KI-unterstütztes Übersetzungs-Tool eines Drittanbieters verwendet, um verschiedenste Dokumente (Schriftsätze, Urkunden etc.) übersetzen zu lassen. Die eingespielten Dokumente werden auf Servern des Anbieters gespeichert, deren Sicherheitsvorkehrungen nicht den aktuellen Standards entsprechen. Dadurch erlangen Dritte Zugriff auf die gespeicherten Dokumente und die darin enthaltenen Informationen bzw. personenbezogenen Daten.

Betroffenenrechte:

Die Rechte der betroffenen Person sind grundsätzlich wie bei jeder anderen Verarbeitung personenbezogener Daten zu gewährleisten.

Nähere Informationen zu den Betroffenenrechten sind zu finden unter:

https://www.dsb.gv.at/aufgaben-taetigkeiten/rechte-der-betroffenen.html

8. Können KI-Systeme genutzt werden, um automatisierte Entscheidungen durchzuführen, die Auswirkungen auf Personen haben?

Soweit es im Rahmen des Einsatzes von KI-Systemen zwecks automatisierter Entscheidungen zur Verarbeitung personenbezogener Daten kommt, ist die Einhaltung der Vorgaben von Art. 22 DSGVO zu überprüfen.

Personen haben gemäß Art. 22 DSGVO das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Von Art. 22 DSGVO erfasst sind daher nicht sämtliche automatisierten Entscheidungen, sondern nur solche, die sich besonders auf die Rechtsposition von betroffenen Personen auswirken. In Erwägungsgrund 71 DSGVO werden als Beispiele für solch automatisierte Entscheidungen die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen genannt.

Dies gilt nur in drei Fällen nicht:

Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen der Person und dem Verantwortlichen unbedingt erforderlich,
es gibt eine gesetzliche Grundlage und diese enthält angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten und der berechtigten Interessen der betroffenen Person oder
die Person hat ihre ausdrückliche Einwilligung erteilt.

Auch in diesen Fällen muss die betroffene Person darüber informiert werden, dass eine automatisierte Entscheidung über sie getroffen wird, inklusive der zugrundeliegenden Logik und der angestrebten Auswirkungen der Entscheidung.

Die betroffene Person hat – außer es liegt eine gesetzliche Grundlage vor – zudem das Recht, die Entscheidung anzufechten und ihren Standpunkt darzulegen sowie eine menschliche Intervention zur Überprüfung der Entscheidung zu verlangen.

Soweit automatisierte Entscheidungen auf sensiblen Daten gemäß Art. 9 Abs. 1 DSGVO beruhen, sind darüber hinaus die besonderen Vorgaben von Art. 22 Abs. 4 DSGVO zu beachten.

Beispiel:
Für die Bearbeitung von Bewerbungen wird ein KI-System verwendet, mit dem einige Bewerbungen bei Vorliegen bestimmter Kriterien automatisch aussortiert werden. Da eine automatische Nichtberücksichtigung im Bewerbungsprozess eine rechtliche Wirkung entfaltet bzw. erhebliche Beeinträchtigung darstellen kann, wären die Vorgaben des Art. 22 DSGVO zu prüfen.

Ein Verstoß gegen die Vorgaben von Art. 22 DSGVO kann auch dazu führen, dass das KI-System, welches für die jeweiligen automatisierten Entscheidungen eingesetzt wurde, in dieser Form nicht weiterverwendet werden darf.

Als weiteres Beispiel ist auf das Arbeitsmarktchancen-Assistenzsystem (besser bekannt als „AMS-Algorithmus“) zu verweisen:

Unabhängig von der Frage, ob es sich hierbei um ein KI-System handelt, hat der Verwaltungsgerichtshof (VwGH) dem Bundesverwaltungsgericht (BVwG, die erste Rechtsmittelinstanz für Entscheidungen der Datenschutzbehörde) weitere Ermittlungsschritte hinsichtlich der Anwendbarkeit der Vorgaben von Art. 22 DSGVO zu setzen. Laut VwGH ist für den Fall der Anwendbarkeit von Art. 22 DSGVO im Arbeitsmarktservicegesetz (AMSG) jedoch kein Erlaubnistatbestand (siehe Frage 7) für die Datenverarbeitung ersichtlich (vgl. VwGH 21.12.2023, Ro 2021/04/0010).

Weitere Informationen zum Thema Art. 22 DSGVO sind in den Leitlinien der ehemaligen Art. 29-Working Party zu automatisierten Entscheidungen im Einzelfall einschließlich Profiling für die Zwecke der Verordnung 2016/679, 17/DE, WP251rev.01 zu finden. Diese Leitlinien finden Sie hier:

https://ec.europa.eu/newsroom/article29/items/612053

9. Ich habe das KI-System nicht entwickelt. Muss ich die DSGVO trotzdem einhalten?

Ja.

Sobald eine natürliche oder juristische Person über die Zwecke und Mittel einer Datenverarbeitung entscheidet, ist sie als datenschutzrechtliche Verantwortliche zu qualifizieren und zur Einhaltung der DSGVO verpflichtet. Auch wenn die technischen Vorgaben möglicherweise vom Anbieter oder Betreiber stammen, ändert dies in der Regel nichts daran, dass die Stelle, die das KI-System einsetzt, als datenschutzrechtlich Verantwortliche zu sehen ist.

10. Was muss ich beachten, wenn ich KI-Systeme von Drittanbietern verwende?

Wie aus Frage 9 hervorgeht, ist in der Regel die natürliche oder juristische Person, welche ein KI-System einsetzt, auch Verantwortliche.

Bei der Verwendung „fremder“ Systeme ist insbesondere darauf zu achten, ob die Verwendung eines solchen Systems dazu führt, dass personenbezogene Daten auch an den Hersteller des Systems (oder andere Dritte) übermittelt werden. Dies könnte zu unrechtmäßigen Datenoffenlegungen oder auch zur Preisgabe von Geschäftsgeheimnissen führen.

Es empfiehlt sich daher, diesen Umstand zu prüfen und interne Regeln aufzustellen, welche Daten mit dem System verarbeitet werden dürfen. Im Zweifel sollte der jeweilige Drittanbieter im Vorfeld konsultiert werden. Gegebenenfalls bieten viele Anbieter auch eine „on-premise“ Lösung (also mit Hosting auf eigenen Servern) an.

Informationen zu Übermittlungen in Drittländer (nicht EWR) finden Sie hier:

https://www.dsb.gv.at/download-links/fragen-und-antworten.html#Datenuebermittlung&Standardvertragsklauseln

11. Was ist die ChatGPT Task Force?

Die ChatGPT Task Force ist eine Arbeitsgruppe, die innerhalb des Europäischen Datenschutzausschusses eingerichtet ist. Diese befasst sich mit datenschutzrechtlichen Fragen rund um das Produkt „ChatGPT“.

Hierzu finden Sie weitere Informationen unter:

https://www.edpb.europa.eu/our-work-tools/our-documents/other/report-work-undertaken-chatgpt-taskforce_en

12. Gibt es Tools mit deren Hilfe ich die DSGVO-Konformität von KI-Systemen überprüfen kann?

Der Europäische Datenschutzausschuss hat auf seiner Website Dokumente zur Durchführung von „AI Audits“ veröffentlicht:

Checklist for AI auditing
Proposal for AI leaflets
Proposal for Algo-scores

Diese stehen zur freien Verfügung und können bei der Prüfung der DSGVO-Konformität eines KI-Systems von Nutzen sein.

https://www.edpb.europa.eu/our-work-tools/our-documents/support-pool-expert-projects/ai-auditing_de

13. Wo gibt es weiterführende Informationen?

Die KI-Servicestelle, welche in der RTR GmbH eingerichtet ist, dient als Ansprechpartnerin und Informationshub zum Thema KI.

Der Europäische Datenschutzausschuss arbeitet zudem derzeit an Leitlinien in Bezug auf KI und Datenschutz. Diese werden nach Veröffentlichung hier ergänzt.

Informationen der Datenschutzbehörde zum Verhältnis zwischen der DSGVO und der Verordnung (EU) über künstliche Intelligenz (KI-VO) für Verantwortliche

Informationen der Datenschutzbehörde zum Verhältnis zwischen der DSGVO und der Verordnung (EU) über künstliche Intelligenz (KI-VO) für Verantwortliche des privaten Bereichs (PDF, 313 KB)

Informationen der Datenschutzbehörde zum Verhältnis zwischen der DSGVO und der Verordnung (EU) über künstliche Intelligenz (KI-VO) für Verantwortliche des öffentlichen Bereichs (PDF, 128 KB)