KI-Verordnung und Datenschutz - ein schwieriges Verhältnis

Der KI-Verordnung der EU soll Künstliche Intelligenz und deren
Einsatz umfassend regulieren. Doch wie passt dieses Gesetz zu den
bestehenden Datenschutzregeln, insbesondere der
Datenschutz-Grundverordnung (DSGVO)? In der aktuellen Folge des
c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit Prof. Dr.
Rolf Schwartmann, dem Vorsitzenden der Gesellschaft für Datenschutz
und Datensicherheit (GDD). Schwartmann weist zunächst die
unterschiedlichen Ziele beider Regelwerke hin. Während die DSGVO
klare Vorgaben für den Umgang mit personenbezogenen Daten macht,
ist die KI-Verordnung eine Produktregulierung. Sie definiert, unter
welchen Bedingungen Anbieter und Nutzer von KI-Systemen agieren
dürfen. Beide Gesetze haben zwar den Schutz von Grundrechten im
Blick, verfolgen aber gänzlich unterschiedliche Ansätze. Ein
zentrales Problem sieht die Runde im Zusammenspiel der beiden
Gesetze bei der generativen KI, also Systemen wie ChatGPT. Diese
KI-Modelle sind grundsätzlich nicht zweckgebunden, sondern flexibel
einsetzbar, was mit dem Grundsatz der Zweckbindung aus der DSGVO
nur schwer vereinbar ist. Es bestehe die Gefahr, dass viele die KI
rechtswidrig, aber sanktionslos einsetzen. Schwartmann betont, dass
Nutzer generativer KI für Schäden durch falsche Ergebnisse haften
könnten. Hinzu kommen Herausforderungen wie die automatisierte
Entscheidungsfindung: Die DSGVO verbietet automatisierte
Entscheidungen mit erheblichen rechtlichen Folgen oder wesentlichen
Beeinträchtigungen, während die KI-Verordnung solche Systeme unter
strengen Voraussetzungen durchaus erlaubt. Allerdings knüpft sie
dies an umfangreiche Compliance-Pflichten. Die Diskussion
offenbart, dass die KI-Verordnung nur wenige datenschutzrechtliche
Ausnahmen enthält, beispielsweise bei der Nutzung sensibler Daten
zur Korrektur von Verzerrungen in KI-Modellen oder in sogenannten
Reallaboren, geschützten Testumgebungen für neue KI-Anwendungen.
Heidrich kritisiert, dass der Gesetzgeber hier Chancen verpasst
habe, grundlegende datenschutzrechtliche Konflikte bei der Nutzung
moderner KI-Systeme zu regeln.