Wer KI mit Personenbezug einsetzt, arbeitet immer in zwei Regelwerken gleichzeitig. Getrennte Projekte kosten doppelt – integriert gedacht, ergänzen sie sich fast lückenlos.
Die zentralen Berührungspunkte
- Rechtsgrundlage: Für Training und Betrieb braucht es eine tragfähige Grundlage – meist berechtigtes Interesse, Vertrag oder Einwilligung.
- Zweckbindung: Daten, die für einen Zweck erhoben wurden, dürfen nicht ohne Weiteres für KI-Training verwendet werden.
- Transparenz: Betroffene müssen über Logik und Tragweite automatisierter Verarbeitung informiert werden.
- Artikel 22 DSGVO: Rein automatisierte Entscheidungen mit erheblicher Wirkung sind nur in engen Ausnahmen zulässig.
- Datenminimierung und Löschkonzept – auch für Prompts und Logs.
DSFA und KI-Risikobewertung zusammenführen
Beide Verfahren fragen nach Zweck, Datenarten, Risiken für Betroffene und Schutzmaßnahmen. Ein gemeinsames Formular mit AI-Act-Zusatzfeldern – Risikoklasse, Rolle, Aufsichtsmechanismus, Logging – spart Zeit und verhindert widersprüchliche Aussagen gegenüber Aufsichtsbehörden.
Typische Stolperfallen
- Prompts mit personenbezogenen Daten ohne Rechtsgrundlage
- Fehlende Auftragsverarbeitungsverträge mit KI-Anbietern
- Unklare Speicherdauer von Chatverläufen
- Keine Information von Beschäftigten bei KI-gestützter Bewertung
- Trainingsdaten aus Kundenbeständen ohne Zweckänderungsprüfung
Wer macht was intern?
Bewährt hat sich ein Tandem: Datenschutzbeauftragte verantworten die DSGVO-Dimension, die KI-verantwortliche Rolle die AI-Act-Dimension, mit gemeinsamer Freigabe im Beschaffungsprozess. Ein monatlicher Abgleich reicht in den meisten Unternehmen aus.
Häufige Fragen zu diesem Thema
Brauchen wir für jedes KI-Tool eine DSFA?
Nur bei voraussichtlich hohem Risiko – bei KI mit Personenbezug ist das jedoch häufig der Fall, insbesondere in HR, Scoring und Kundenprofilen.
Darf KI allein über Bewerbungen entscheiden?
In der Regel nicht. Artikel 22 DSGVO verlangt bei erheblicher Wirkung eine menschliche Beteiligung, die real und qualifiziert sein muss.
Ist der Datenschutzbeauftragte automatisch KI-Beauftragter?
Nein, aber die Rollen ergänzen sich. Wichtig ist, Interessenkonflikte und Kapazitäten realistisch zu bewerten.