Verantwortlichkeiten und Rollen bei KI-Systemen
DP+
Bild: iStock.com/Atomic62 Studio
KI-Einsatz wirft datenschutzrechtliche Fragen auf
Immer öfter und in immer mehr Bereichen kommt künstliche Intelligenz (KI) zum Einsatz. Doch wer ist eigentlich für die KI-Systeme verantwortlich? Die Frage stellt sich nicht nur aus haftungsrechtlicher Sicht, sondern insbesondere mit Blick auf den Datenschutz.
Die KI-Verordnung (KI-VO) selbst sieht eine Verantwortlichkeit entlang der KI-Wertschöpfungskette vor, vgl. Art. 25 KI-VO.
Rollen gemäß der KI-Verordnung
Die KI-Verordnung definiert verschiedene Rollen. Bei ihnen wird u.a. unterschieden zwischen
- „Anbietern“ (Stellen, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickeln und in Verkehr bringen oder in Betrieb nehmen) nach Art. 3 Nr. 3 KI-VO und
- „Betreibern“ (Stellen, die ein KI-System in eigener Verantwortung im beruflichen Kontext verwenden) nach Art. 3 Nr. 4 KI-VO.
Allerdings greift die KI-Verordnung bezüglich der Verarbeitung personenbezogener Daten durch KI-Systeme nicht in den Regelungsbereich der Datenschutz-Grundverordnung (DSGVO) ein. Nach Erwägungsgrund 10 KI-VO bleiben die Pflichten der Anbieter und Betreiber von KI-Systemen als Verantwortliche oder Auftragsverarbeiter unberührt, soweit sich diese Pflichten aus dem Unionsrecht oder dem nationalen Recht über den Schutz personenbezogener Daten ergeben.
Die datenschutzrechtliche Verantwortlichkeit richtet sich folglich nach der DSGVO. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat einen eigenen Versuch einer datenschutzrechtlichen Rolleneinteilung unternommen. Dabei unterscheidet das BayLDA wie folgt:
- Betreiber setzen KI-Systeme zu eigenen Zwecken ein und agieren somit in der Regel in eigener Verantwortlichkeit nach Art. 24 DSGVO.
- Dienstleister bieten die Nutzung von KI-Technologie den Betreibern an und agieren im Regelfall als Auftragsverarbeiter fü…
Weiterlesen mit DP+
Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?
Verfasst von
Marc Wanner
Marc Wanner ist Volljurist und arbeitet bei der atarax Unternehmensgruppe. Er berät seit vielen Jahren Unternehmen unterschiedlichster Größe zum Thema Datenschutz.
Dr. Sebastian Hartmann
Dr. Sebastian Hartmann, LL. M. Eur. ist Volljurist und Datenschutzberater bei der atarax Unternehmensgruppe, einem Dienstleister für strategische Unternehmenssicherheit und Haftungsmanagement.
