KI und Datenschutz

Eine KI verarbeitet alle Daten, die sie erhält, gegebenenfalls also auch personenbezogene Daten. Damit unterliegt diese Verarbeitung selbstverständlich den Regeln des Datenschutzes. KI gewinnt mehr oder minder autonom Erkenntnisse, indem sie Datenbestände durchforstet und Muster erkennt. Daraus entsteht das bereits geschilderte Black-Box-Problem: In der Regel lässt sich nicht nachvollziehen oder begründen, wie die KI zu ihren Erkenntnissen gekommen ist. Das widerspricht dem Transparenzgebot des Datenschutzes.

[…] g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Art. 14 Abs. 2 lit. g DSGVO

Die DSGVO verlangt also in Art. 14, dass bei automatisierten Entscheidungen im Sinne von Art. 22 DSGVO einschließlich Profiling aussagekräftige Informationen über die involvierte Logik gegeben werden. Das ist technisch oft gar nicht möglich und widerspricht zudem häufig dem Interesse der Anbieter, ihre Algorithmen und Modelle vor Wettbewerbern zu schützen. Die Folge ist, dass der Arbeitgeber als Verantwortlicher der Datenverarbeitung seinen Pflichten meist gar nicht gerecht werden kann.

Das betrifft auch die Auftragsverarbeitung. Nach Art. 28 Abs. 3 lit. a DSGVO darf ein Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten:

Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter a) die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen […] verarbeitet […] Art. 28 Abs. 3 lit. a DSGVO

Verarbeitet eine KI personenbezogene Daten, entzieht sie sich möglicherweise den Weisungen des Verantwortlichen, ohne dass man das beeinflussen kann. Datenschutz ist vor allem eine Herausforderung für den Arbeitgeber. Ein ausdrückliches Mitbestimmungsrecht über den Datenschutz ist ebenso wenig vorgesehen wie über die KI.