DATEV Informationsbüro Brüssel, Mitteilung vom 05.03.2025
Am 26. Februar 2025 veröffentlichte der Think Tank des EU-Parlaments eine Ausarbeitung, die sich mit den rechtlichen Unsicherheiten zwischen der DSGVO und dem AI Act im Bereich der algorithmischen Diskriminierung befasst.
Spannungsfeld zwischen AI Act und DSGVO
Der AI Act verfolgt einen risikobasierten Ansatz, bei dem KI-Systeme je nach Gefährdung für Grundrechte eingestuft werden. Für Hochrisiko-Systeme erlaubt Artikel 10(5) AI Act unter bestimmten Bedingungen die Verarbeitung sensibler Daten, sofern dies zur Erkennung und Vermeidung von Diskriminierung notwendig ist (z. B. um Verzerrungen in KI-Trainingsdaten zu erkennen und zu korrigieren, wie es bei generativen AI-Systemen, autonomen Autos, Job-Recruiting-Algorithmen und Kreditbewertungssystemen der Fall sein könnte).
Die DSGVO hingegen sei in dieser Hinsicht strenger, denn Artikel 9 DSGVO schränkt die Verarbeitung sensibler Daten stark ein. Dadurch entstünde eine rechtliche Grauzone, da der AI Act zwar eine solche Verarbeitung erlaubt, aber gleichzeitig betont, dass die DSGVO in Konfliktfällen Vorrang hat.
Herausforderungen und mögliche Lösungsansätze
Ein möglicher Lösungsansatz könne die Anwendung des „erheblichen öffentlichen Interesses“ nach Artikel 9(2)(g) DSGVO sein. Demnach wäre die Verarbeitung personenbezogener Daten gerechtfertigt, wenn sie zur Bekämpfung von Diskriminierung dient und durch Unionsrecht – in diesem Fall den AI Act – legitimiert wird.
Ein Bericht der belgischen Datenschutzbehörde aus September 2024 betont, dass die Korrektur von Verzerrungen in KI-Trainingsdaten mit den Grundprinzipien der DSGVO grundsätzlich vereinbar sei. Damit Artikel 10(5) AI Act mit der DSGVO im Einklang steht, müssten jedoch bestimmte Bedingungen erfüllt sein:
- Cybersicherheitsmaßnahmen: Notwendig, um Datenlecks zu verhindern.
- DSGVO-Grundsätze: Datenminimierung, Zweckbindung und Datenschutz durch Technikgestaltung müssten eingehalten werden.
- Klare rechtliche Grundlage: Verarbeitung sensibler Daten müsse gerechtfertigt sein.
Zudem könnten Diskriminierungen auch durch die Verarbeitung „normaler“ personenbezogener Daten (z. B. Alter oder Geschlecht) entstehen, die nicht unter Artikel 9 DSGVO fallen. In diesen Fällen erlaubt Artikel 6 DSGVO eine flexiblere Verarbeitung, etwa auf Basis berechtigter Interessen.
Ausblick
Die Unsicherheit über die praktische Anwendung des AI Act in Verbindung mit der DSGVO bleibt weiterhin groß. Angesichts der zunehmenden Nutzung von KI und der damit verbundenen Datenverarbeitung könnte die Einführung von Leitlinien erforderlich sein, um Rechtssicherheit zu schaffen.
Quelle: DATEV eG Informationsbüro Brüssel
