{"id":6327,"date":"2025-10-17T13:48:52","date_gmt":"2025-10-17T13:48:52","guid":{"rendered":"https:\/\/sittig.law\/?p=6327"},"modified":"2025-11-06T13:53:15","modified_gmt":"2025-11-06T13:53:15","slug":"data-protection-and-ki-what-to-look-out-for-in-practice","status":"publish","type":"post","link":"https:\/\/sittig.law\/en\/datenschutz-und-ki-worauf-in-der-praxis-zu-achten-ist\/","title":{"rendered":"Data protection and AI: what to look out for in practice"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Das Wichtigste im \u00dcberblick<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tKI-Systeme verarbeiten personenbezogene Daten und unterliegen damit vollumf\u00e4nglich der DSGVO \u2013 Unternehmen m\u00fcssen f\u00fcr jeden KI-Einsatz eine Rechtsgrundlage nachweisen und die Betroffenenrechte gew\u00e4hrleisten k\u00f6nnen<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tDie EU-KI-Verordnung (AI Act) f\u00fchrt zus\u00e4tzliche Pflichten ein \u2013 Hochrisiko-KI-Systeme erfordern umfangreiche Dokumentation, w\u00e4hrend verbotene KI-Praktiken mit Bu\u00dfgeldern geahndet werden<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tTechnische und organisatorische Ma\u00dfnahmen m\u00fcssen speziell auf KI-Risiken zugeschnitten sein \u2013 Herk\u00f6mmliche Datenschutzkonzepte greifen bei selbstlernenden Systemen oft zu kurz und m\u00fcssen angepasst werden<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t<\/ul>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Warum Datenschutz bei KI-Anwendungen besonders kritisch ist\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    K\u00fcnstliche Intelligenz durchdringt zunehmend alle Unternehmensbereiche. Von der automatisierten Bewerberauswahl \u00fcber Chatbots im Kundenservice bis zur vorausschauenden Wartung in der Produktion \u2013 KI-Systeme versprechen Effizienzgewinne und neue Gesch\u00e4ftsmodelle. Doch gerade die Eigenschaften, die KI so leistungsf\u00e4hig machen, schaffen erhebliche datenschutzrechtliche Herausforderungen.<\/p>

    KI-Systeme ben\u00f6tigen gro\u00dfe Datenmengen zum Trainieren. Sie treffen eigenst\u00e4ndige Entscheidungen, deren Logik oft selbst f\u00fcr Entwickler schwer nachvollziehbar ist. Sie lernen kontinuierlich aus neuen Eingaben und k\u00f6nnen dabei unbeabsichtigt sensible Informationen preisgeben oder diskriminierende Muster reproduzieren. Diese Besonderheiten machen den Einsatz von KI zu einem datenschutzrechtlichen Hochseilakt.<\/p>

    Die rechtlichen Rahmenbedingungen entwickeln sich rasant weiter. Neben der DSGVO tritt die EU-KI-Verordnung schrittweise in Kraft. Aufsichtsbeh\u00f6rden wie die Datenschutzkonferenzen der L\u00e4nder ver\u00f6ffentlichen laufend neue Orientierungshilfen. Unternehmen, die KI einsetzen oder einsetzen wollen, stehen vor der Aufgabe, diese komplexen Vorgaben in praktikable Prozesse zu \u00fcbersetzen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Rechtliche Grundlagen: DSGVO und KI-Verordnung im Zusammenspiel\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die DSGVO als Fundament<\/h3>

    Die Datenschutz-Grundverordnung bildet das rechtliche Fundament f\u00fcr den Umgang mit personenbezogenen Daten in KI-Systemen. Sobald eine KI-Anwendung Daten verarbeitet, die sich auf identifizierte oder identifizierbare nat\u00fcrliche Personen beziehen, greifen die Vorgaben der DSGVO vollumf\u00e4nglich.<\/p>

    Art. 6 DSGVO<\/strong> verlangt eine Rechtsgrundlage f\u00fcr jede Verarbeitung personenbezogener Daten. Bei KI-Anwendungen kommt h\u00e4ufig die Einwilligung der Betroffenen, die Vertragserf\u00fcllung oder die Verarbeitung zur Wahrung berechtigter Interessen in Betracht. Letzteres setzt eine Interessenabw\u00e4gung voraus, bei der die Grundrechte der Betroffenen nicht \u00fcberwiegen d\u00fcrfen.<\/p>

    Art. 22 DSGVO<\/strong> gew\u00e4hrt Betroffenen das Recht, nicht einer ausschlie\u00dflich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegen\u00fcber rechtliche Wirkung entfaltet oder sie erheblich beeintr\u00e4chtigt. Dieses Verbot automatisierter Einzelentscheidungen ist f\u00fcr viele KI-Anwendungen zentral. Ausnahmen gelten nur unter engen Voraussetzungen, insbesondere wenn eine Einwilligung vorliegt oder die Entscheidung f\u00fcr den Vertragsabschluss erforderlich ist.<\/p>

    Die Art. 13 und 14 DSGVO<\/strong> regeln die Informationspflichten. Sie legen fest, wie und wann Unternehmen und andere Organisationen verpflichtet sind, die betroffene Person \u00fcber die Verarbeitung ihrer personenbezogenen Daten zu informieren.<\/p>

    Die EU-KI-Verordnung (AI Act)<\/h3>

    Die EU-KI-Verordnung erg\u00e4nzt die DSGVO um spezifische Vorgaben f\u00fcr KI-Systeme. Sie verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, KI-Systemen mit Transparenzpflichten und sonstigen KI-Anwendungen.<\/p>

    Verbotene KI-Praktiken<\/strong> umfassen unter anderem Social Scoring durch staatliche Stellen, biometrische Echtzeit-Fernidentifizierung im \u00f6ffentlichen Raum (mit engen Ausnahmen) sowie KI-Systeme, die das Verhalten von Personen in einer Weise manipulieren, die ihnen oder Dritten Schaden zuf\u00fcgen kann. Verst\u00f6\u00dfe k\u00f6nnen mit Bu\u00dfgeldern geahndet werden.<\/p>

    Hochrisiko-KI-Systeme<\/strong> betreffen Bereiche wie kritische Infrastruktur, Bildung und Berufsausbildung, Besch\u00e4ftigung, Zugang zu grundlegenden privaten und \u00f6ffentlichen Diensten, Strafverfolgung sowie Migration und Grenzkontrollen. F\u00fcr diese Systeme gelten umfangreiche Anforderungen an Risikomanagementsysteme, Datenqualit\u00e4t, technische Dokumentation, Protokollierung, menschliche Aufsicht und Robustheit.<\/p>

    Transparenzpflichten<\/strong> treffen KI-Systeme, die mit Menschen interagieren (etwa Chatbots), Emotionen erkennen oder biometrische Kategorisierungen vornehmen. Nutzer m\u00fcssen dar\u00fcber informiert werden, dass sie es mit einem KI-System zu tun haben.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Typische Anwendungsf\u00e4lle und ihre datenschutzrechtlichen Fallstricke\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Chatbots und virtuelle Assistenten<\/h3>

    Chatbots sind mittlerweile in vielen Unternehmen im Einsatz, sei es im Kundenservice, im HR-Bereich oder f\u00fcr interne Anfragen. Aus datenschutzrechtlicher Sicht sind dabei mehrere Aspekte zu beachten. Zun\u00e4chst muss klar sein, welche Daten der Chatbot verarbeitet. Protokolliert er nur die gestellten Fragen oder auch die Antworten? Werden Gespr\u00e4chsverl\u00e4ufe gespeichert? Erfolgt eine Verkn\u00fcpfung mit anderen Kundendaten?<\/p>

    Viele Unternehmen untersch\u00e4tzen, dass bereits die Protokollierung von Chat-Verl\u00e4ufen eine umfassende Datenverarbeitung darstellt, die einer Rechtsgrundlage bedarf. Bei der Nutzung externer Chatbot-Dienste kommt hinzu, dass Daten m\u00f6glicherweise an Drittanbieter \u00fcbermittelt werden. Hier ist die Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO zwingend erforderlich.<\/p>

    Ein weiterer kritischer Punkt ist die Transparenz. Nutzer m\u00fcssen erkennen k\u00f6nnen, dass sie mit einem Bot und nicht mit einem Menschen kommunizieren. Zudem m\u00fcssen sie \u00fcber den Umfang der Datenverarbeitung informiert werden. <\/p>

    Marketing und Kundenanalyse<\/h3>

    Im Marketing nutzen Unternehmen KI vor allem f\u00fcr Personalisierung und Targeting. Sie analysieren das Verhalten ihrer Kunden, erstellen Prognosen \u00fcber k\u00fcnftige K\u00e4ufe und segmentieren ihre Zielgruppen. Aus datenschutzrechtlicher Sicht ist hier besonders das Profiling relevant.<\/p>

    Video\u00fcberwachung und Gesichtserkennung<\/h3>

    KI-gest\u00fctzte Video\u00fcberwachung und Gesichtserkennung geh\u00f6ren zu den datenschutzrechtlich sensibelsten Anwendungsbereichen. Die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung nat\u00fcrlicher Personen f\u00e4llt unter die besonderen Kategorien personenbezogener Daten.<\/p>

    Unternehmen, die dennoch Gesichtserkennung einsetzen m\u00f6chten, m\u00fcssen nicht nur eine Rechtsgrundlage nachweisen, sondern auch eine Datenschutz-Folgenabsch\u00e4tzung durchf\u00fchren und umfassende technische und organisatorische Ma\u00dfnahmen treffen. Dazu geh\u00f6rt unter anderem, dass die biometrischen Daten verschl\u00fcsselt gespeichert werden und die Systeme so konfiguriert sind, dass sie nur im erforderlichen Umfang Daten erfassen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Praktische Tipps f\u00fcr den datenschutzkonformen KI-Einsatz\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Privacy by Design und by Default<\/h3>

    Der Grundsatz des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen aus Artikel 25 DSGVO ist f\u00fcr KI-Systeme von zentraler Bedeutung. Privacy by Design bedeutet, dass Datenschutz bereits bei der Entwicklung des Systems ber\u00fccksichtigt werden muss, nicht erst nachtr\u00e4glich. F\u00fcr KI-Projekte hei\u00dft das: Von Anfang an muss \u00fcberlegt werden, welche Daten wirklich ben\u00f6tigt werden, wie sie gesch\u00fctzt werden k\u00f6nnen und welche Risiken bestehen.<\/p>

    Privacy by Default erg\u00e4nzt diesen Ansatz, indem voreingestellt nur die Datenverarbeitung erfolgt, die f\u00fcr den jeweiligen Zweck notwendig ist. Bei KI-Systemen k\u00f6nnte das bedeuten, dass standardm\u00e4\u00dfig nur aggregierte Daten verwendet werden oder dass die Speicherdauer von Daten automatisch begrenzt ist.<\/p>

    Datenschutz-Folgenabsch\u00e4tzung durchf\u00fchren<\/h3>

    Artikel 35 DSGVO verpflichtet Verantwortliche, eine Datenschutz-Folgenabsch\u00e4tzung durchzuf\u00fchren, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat. Bei den meisten KI-Anwendungen, die personenbezogene Daten verarbeiten, ist das der Fall.<\/p>

    Die DSFA sollte dokumentieren, wie die Funktionsweise des KI-Systems ist, welche Daten verwendet werden, wie das Training erfolgt und welche Ma\u00dfnahmen getroffen werden, um Risiken wie Bias, Diskriminierung oder Intransparenz zu begegnen. Es empfiehlt sich, die DSFA nicht als einmalige Pflicht\u00fcbung zu verstehen, sondern sie regelm\u00e4\u00dfig zu aktualisieren, insbesondere wenn das KI-System weiterentwickelt wird.<\/p>

    Training und Sensibilisierung der Mitarbeiter<\/h3>

    Die beste technische L\u00f6sung n\u00fctzt wenig, wenn die Mitarbeiter nicht wissen, wie sie damit umgehen sollen. Gerade bei KI-Systemen ist es wichtig, dass alle Beteiligten die datenschutzrechtlichen Anforderungen kennen und verstehen. Das betrifft nicht nur die IT-Abteilung, sondern auch die Fachabteilungen, die die KI-Systeme nutzen.<\/p>

    Schulungen sollten vermitteln:<\/p>

    • Welche datenschutzrechtlichen Grunds\u00e4tze beim Einsatz von KI gelten<\/li>
    • Wie mit Anfragen von Betroffenen umzugehen ist<\/li>
    • Wann eine menschliche \u00dcberpr\u00fcfung automatisierter Entscheidungen erforderlich ist<\/li>
    • Wie potentielle Bias erkannt werden k\u00f6nnen<\/li>
    • An wen man sich bei Fragen oder Problemen wenden kann<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t

      Checkliste: Datenschutzkonforme KI-Implementierung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Vor der Implementierung:<\/b><\/p>

      • Ist der Zweck der KI-Anwendung klar definiert und dokumentiert?<\/li>
      • Wurde gepr\u00fcft, welche Daten tats\u00e4chlich erforderlich sind (Datenminimierung)?<\/li>
      • Existiert eine g\u00fcltige Rechtsgrundlage f\u00fcr die Datenverarbeitung?<\/li>
      • Wurden die Betroffenen transparent \u00fcber die KI-Nutzung informiert?<\/li>
      • Wurde eine Datenschutz-Folgenabsch\u00e4tzung durchgef\u00fchrt?<\/li>
      • Sind die technischen und organisatorischen Ma\u00dfnahmen dokumentiert?<\/li><\/ul>

        Bei der Auswahl von Dienstleistern:<\/b><\/p>

        • Ist gekl\u00e4rt, ob eine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit vorliegt?<\/li>
        • Existiert ein DSGVO-konformer Vertrag?<\/li>
        • Wurde gepr\u00fcft, wo die Daten verarbeitet werden?<\/li>
        • Sind die Sicherheitsma\u00dfnahmen des Dienstleisters angemessen?<\/li><\/ul>

          W\u00e4hrend des Betriebs:<\/b><\/p>

          • Sind Prozesse etabliert, um Betroffenenrechte zu gew\u00e4hrleisten?<\/li>
          • Erfolgt eine laufende Dokumentation der Verarbeitungst\u00e4tigkeiten?<\/li>
          • Werden Mitarbeiter regelm\u00e4\u00dfig zu datenschutzrechtlichen Anforderungen geschult?<\/li>
          • Gibt es ein System zur \u00dcberwachung und zum Incident Management?<\/li><\/ul>

            Bei automatisierten Entscheidungen:<\/b><\/p>

            • Ist sichergestellt, dass eine menschliche \u00dcberpr\u00fcfung m\u00f6glich ist?<\/li>
            • K\u00f6nnen Betroffene ihren Standpunkt darlegen und die Entscheidung anfechten?<\/li>
            • Ist die Logik der Entscheidungsfindung dokumentiert und erkl\u00e4rbar?<\/li><\/ul>

              Dokumentation:<\/b><\/p>

              • Sind alle Verarbeitungst\u00e4tigkeiten im Verzeichnis erfasst?<\/li>
              • Liegt eine aktuelle Datenschutz-Folgenabsch\u00e4tzung vor?<\/li>
              • Sind die Informationspflichten gegen\u00fcber Betroffenen erf\u00fcllt?<\/li>
              • Existieren L\u00f6schkonzepte f\u00fcr Trainings- und Betriebsdaten?<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                \n\t\t\t\t
                \n\t\t\t\t\t

                KI und Datenschutz \u2013 eine Frage der richtigen Vorbereitung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                \n\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t

                Der Einsatz k\u00fcnstlicher Intelligenz bietet Unternehmen enorme Chancen, bringt aber auch erhebliche datenschutzrechtliche Herausforderungen mit sich. Die DSGVO und der AI Act setzen klare Grenzen, die keinesfalls als Innovationshemmnisse verstanden werden sollten, sondern als Leitplanken f\u00fcr eine verantwortungsvolle Nutzung von KI.<\/p>

                Der Schl\u00fcssel zum Erfolg liegt in der fr\u00fchzeitigen Auseinandersetzung mit den rechtlichen Anforderungen. Wer Datenschutz bereits bei der Planung und Entwicklung von KI-Systemen mitdenkt, vermeidet nicht nur rechtliche Risiken, sondern schafft auch Vertrauen bei Kunden und Gesch\u00e4ftspartnern. Die Erfahrung zeigt: Datenschutzkonforme KI-L\u00f6sungen sind durchaus m\u00f6glich, erfordern aber eine sorgf\u00e4ltige Planung, klare Prozesse und eine enge Zusammenarbeit zwischen Technik, Recht und Fachbereichen.<\/p>

                Als Kanzlei mit Schwerpunkten im IT-Recht und Datenschutz begleiten wir Unternehmen bei der rechtskonformen Implementierung von KI-Systemen. Sprechen Sie uns an, wenn Sie Unterst\u00fctzung bei der datenschutzrechtlichen Bewertung Ihrer KI-Projekte ben\u00f6tigen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

                \n\t\t\t\t
                \n\t\t\t\t
                \n\t\t\t\t\t\t\t
                \n\t\t\t\t\t\t
                \n\t\t\t\t\n\t\t\t\t\t
                H\u00e4ufig gestellte Fragen <\/div><\/span>\n\t\t\t\t\t\t\t\n\t\t\t
                \n\t\t\t\t
                \n\t\t\t\t
                \n\t\t\t\t\t\t\t
                \n\t\t\t\t\t\t\t
                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Nicht zwingend jeder KI-Einsatz erfordert eine DSFA, aber in den meisten F\u00e4llen ist sie notwendig. Entscheidend ist, ob die Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten der Betroffenen birgt. Bei automatisierten Entscheidungen, umfangreichem Profiling oder der Verarbeitung besonderer Kategorien personenbezogener Daten ist eine DSFA regelm\u00e4\u00dfig erforderlich. Im Zweifelsfall sollte eine DSFA durchgef\u00fchrt werden, da sie auch unabh\u00e4ngig von der rechtlichen Pflicht ein wertvolles Instrument zur Risikobewertung ist.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Nein, das ist datenschutzrechtlich problematisch. Nur weil Daten \u00f6ffentlich zug\u00e4nglich sind, bedeutet das nicht, dass sie ohne weiteres f\u00fcr KI-Training genutzt werden d\u00fcrfen. Es ben\u00f6tigt eine Rechtsgrundlage f\u00fcr die Verarbeitung, und die Betroffenen m\u00fcssen grunds\u00e4tzlich informiert werden. Auch das Urheberrecht kann der Nutzung entgegenstehen. F\u00fcr das Training von KI-Modellen sollten idealerweise Daten verwendet werden, f\u00fcr die eine klare Rechtsgrundlage besteht, etwa weil die Betroffenen eingewilligt haben oder weil ein berechtigtes Interesse nach sorgf\u00e4ltiger Abw\u00e4gung besteht.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Ja, Transparenz ist ein zentraler Grundsatz der DSGVO. Betroffene haben ein Recht darauf zu wissen, wenn sie mit einem KI-System interagieren, insbesondere wenn automatisierte Entscheidungen getroffen werden. Bei Chatbots sollte zu Beginn des Gespr\u00e4chs klargestellt werden, dass es sich um eine automatisierte Kommunikation handelt. Bei KI-Anwendungen m\u00fcssen au\u00dferdem die Informationspflichten nach Artikel 13 oder 14 DSGVO erf\u00fcllt werden, die auch Angaben zur automatisierten Entscheidungsfindung umfassen.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Der AI Act klassifiziert KI-Systeme nach Risikoklassen. F\u00fcr Hochrisiko-Systeme \u2013 etwa im Bereich Besch\u00e4ftigung, kritische Infrastruktur oder Strafverfolgung \u2013 gelten strenge Anforderungen. Diese umfassen Risikomanagement, Datenqualit\u00e4t-Standards, Dokumentationspflichten und menschliche Aufsicht. Minimales Risiko bedeutet hingegen kaum Auflagen. Unternehmen m\u00fcssen zun\u00e4chst bewerten, in welche Kategorie ihre KI-Systeme fallen, und dann die jeweiligen Anforderungen umsetzen. Der AI Act erg\u00e4nzt die DSGVO, beide Regelwerke m\u00fcssen parallel beachtet werden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Ja, f\u00fcr jede Verarbeitungst\u00e4tigkeit ist eine eigene Rechtsgrundlage erforderlich. Wenn Sie mehrere KI-Systeme betreiben, die jeweils unterschiedliche Daten zu verschiedenen Zwecken verarbeiten, ben\u00f6tigen Sie f\u00fcr jedes System eine Rechtsgrundlage. Diese kann je nach Kontext unterschiedlich sein. Wichtig ist, dass die Rechtsgrundlage bereits vor Beginn der Verarbeitung feststeht und dokumentiert wird.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Die Speicherdauer richtet sich nach dem Grundsatz der Speicherbegrenzung aus Artikel 5 DSGVO. Daten d\u00fcrfen nur so lange gespeichert werden, wie es f\u00fcr die Zwecke erforderlich ist. Bei KI-Training ist zu differenzieren: Die urspr\u00fcnglichen Trainingsdaten k\u00f6nnen gel\u00f6scht werden, sobald das Modell trainiert ist, sofern kein anderer Zweck eine weitere Speicherung rechtfertigt. Es empfiehlt sich, ein durchdachtes L\u00f6schkonzept zu entwickeln.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                \n\t\t\t\t\t
                \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                Die Nichteinhaltung der DSGVO kann zu empfindlichen Bu\u00dfgeldern f\u00fchren. Daneben drohen Schadensersatzanspr\u00fcche Betroffener und Reputationssch\u00e4den.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t