Die DSK hat im Mai 2024 eine Orientierungshilfe Künstliche Intelligenz und Datenschutz veröffentlicht, die den datenschutzkonformen Einsatz von KI-Anwendungen regelt.
Zweckfestlegung vor Einsatz
Bevor eine KI-Anwendung eingesetzt wird, muss der Zweck der Datenverarbeitung eindeutig festgelegt werden (Art. 5 Abs. 1 lit. b DSGVO). Es ist zu prüfen, ob der Einsatz auch ohne personenbezogene Daten möglich ist.
Rechtsgrundlage
Für jeden Verarbeitungsschritt ist eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich. Bei der Eingabe von Kundendaten in ChatGPT oder ähnliche Systeme erfolgt eine Datenübermittlung an den Anbieter, die einer eigenen Rechtsgrundlage bedarf.
Keine automatisierte Letztentscheidung
Art. 22 DSGVO verbietet ausschließlich automatisierte Entscheidungen mit Rechtswirkung oder erheblicher Beeinträchtigung. Wird KI zur Entscheidungsunterstützung eingesetzt (z. B. Personalauswahl, Kreditentscheidung), muss ein realer menschlicher Entscheidungsspielraum bestehen. Die bloße Möglichkeit der Überprüfung genügt nicht: Die Entscheidung darf nicht nur formell einem Menschen zugeordnet werden.
Geschlossene vs. offene Systeme
Geschlossene Systeme (on-premise, eigene Server) sind datenschutzrechtlich vorzugswürdig, da die Daten das Unternehmen nicht verlassen. Bei cloudbasierten Systemen (ChatGPT, Copilot) ist ein AV-Vertrag (Art. 28 DSGVO) oder eine Art. 26-Vereinbarung erforderlich, und die Drittlandstransfer-Problematik (Art. 44 ff. DSGVO) ist zu beachten.
Beschäftigtendaten
Betriebliche Accounts müssen eingerichtet werden, die private Nutzung ist zu regulieren. Beschäftigte müssen geschult werden, keine personenbezogenen Daten Dritter in offene KI-Systeme einzugeben.
Ergebnisüberprüfung
KI-Ergebnisse müssen auf Richtigkeit und Diskriminierung geprüft werden. Der Grundsatz der Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO) verlangt, dass auf Basis unrichtiger KI-Ausgaben keine Entscheidungen getroffen werden.
DSFA
Bei KI-Einsatz mit personenbezogenen Daten ist regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich.
KI-Verordnung (EU)
Seit dem 02.02.2025 gelten die Verbote nach Art. 5 KI-VO, etwa für Social Scoring, und die Regeln zur KI-Kompetenz der Beschäftigten (Art. 4 KI-VO). Seit dem 27.07.2026 ist Art. 4 durch die Verordnung (EU) 2026/1744 abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihrer Beschäftigten fördern, ein bestimmtes Niveau müssen sie nicht mehr sicherstellen.