Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: ChatGPT

  • KI-Kompetenz nach Art. 4 AI Act: Pflicht seit Februar 2025

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der europäischen KI-Verordnung. Neben den Verboten bestimmter KI-Praktiken ist das vor allem Art. 4 AI Act: die Pflicht, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen. Sie betrifft praktisch jedes Unternehmen, in dem KI-Tools genutzt werden, vom Chatbot über Übersetzungsdienste bis zur KI-Funktion in der Bürosoftware, und auch kleine Betriebe. Einen Überblick über die KI-Verordnung insgesamt gibt unser Beitrag „KI-Verordnung (AI Act) in Kraft“.

    Was verlangt Art. 4 AI Act?

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung der Personen und der Einsatzkontext zu berücksichtigen. „Betreiber“ ist bereits, wer ein KI-System in eigener Verantwortung beruflich nutzt, also auch das Handwerksunternehmen, das einen KI-Chatbot für Kundenanfragen einsetzt.

    Was bedeutet „KI-Kompetenz“?

    Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen. Eine bestimmte Schulungsform oder ein Zertifikat schreibt die Verordnung nicht vor. Die Maßnahmen müssen aber zum Unternehmen und zum Einsatz passen.

    Inhalte einer praxisnahen Schulung

    • wie generative KI-Systeme funktionieren und warum sie falsche Ergebnisse („Halluzinationen“) liefern können,
    • welche Anwendungen im Unternehmen freigegeben sind und welche nicht,
    • keine personenbezogenen Daten in nicht freigegebene Tools; Umgang mit Kunden-, Beschäftigten- und Gesundheitsdaten,
    • Schutz von Geschäfts- und Berufsgeheimnissen,
    • Prüfung von KI-Ergebnissen, bevor sie verwendet oder an Kunden weitergegeben werden,
    • Urheberrecht und Kennzeichnung KI-generierter Inhalte,
    • Meldewege bei Fehlern oder Vorfällen.

    Datenschutz und KI-Kompetenz verbinden

    Viele Unternehmen schulen ihre Beschäftigten ohnehin regelmäßig im Datenschutz. Es bietet sich an, die KI-Kompetenz in diese Schulungen zu integrieren. Grundlage sollte eine KI-Nutzungsrichtlinie sein, wie wir sie in unserer ChatGPT-Checkliste für Arbeitgeber beschrieben haben. Bei KI-Systemen, die personenbezogene Daten in größerem Umfang verarbeiten, sollte zudem geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

    Dokumentation

    Halten Sie fest, welche KI-Systeme im Einsatz sind, welche Beschäftigten damit arbeiten, welche Schulungen wann durchgeführt wurden und welche Richtlinien gelten. Eine solche Dokumentation hilft, gegenüber Behörden und im Haftungsfall nachzuweisen, dass das Unternehmen seiner Pflicht nachgekommen ist.

    Ein KI-Inventar, eine klare Nutzungsrichtlinie und eine kurze Schulung, die Datenschutz und Vertraulichkeit einbezieht, reichen in vielen Unternehmen aus. Richtlinie und Schulungskonzept erarbeiten wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • ChatGPT im Unternehmen: Datenschutz-Checkliste für Arbeitgeber

    Seit Ende 2022 hat ChatGPT einen beispiellosen Boom ausgelöst. Texte entwerfen, E-Mails formulieren, Dokumente zusammenfassen: Viele Beschäftigte nutzen KI-Chatbots bereits im Arbeitsalltag, oft ohne Wissen des Arbeitgebers. Datenschutzrechtlich ist das nicht ohne Risiko. Ende März 2023 hat die italienische Datenschutzbehörde die Verarbeitung von Daten italienischer Nutzer durch ChatGPT vorläufig beschränkt; das Thema steht damit auch bei anderen europäischen Aufsichtsbehörden auf der Agenda. Unternehmen sollten den Umgang mit KI-Chatbots deshalb jetzt aktiv regeln.

    Wo liegen die Risiken?

    • Wer Kundenanfragen, Bewerbungen oder Gesprächsnotizen in einen Chatbot kopiert, übermittelt personenbezogene Daten an den Anbieter. Dafür braucht es eine Rechtsgrundlage, und die fehlt in vielen Fällen.
    • Je nach Einstellungen und Vertragsbedingungen können Eingaben vom Anbieter zur Verbesserung seiner Modelle verwendet werden. Die Kontrolle über die Daten geht dann verloren.
    • Die bekanntesten Anbieter sitzen in den USA. Seit dem Schrems-II-Urteil ist eine Übermittlung dorthin nur mit zusätzlichen Garantien möglich.
    • Neben dem Datenschutz sind Vertraulichkeitspflichten betroffen, also Geschäfts- und Berufsgeheimnisse. Für Ärzte, Anwälte oder Steuerberater ist das sogar strafrechtlich bewehrt.
    • KI-Systeme können falsche Aussagen über Personen erzeugen. Werden diese übernommen, kann das Persönlichkeitsrechte verletzen.

    Checkliste für Unternehmen

    1. Erheben Sie, welche KI-Tools im Unternehmen bereits genutzt werden, von wem und wofür.
    2. Legen Sie in einer Richtlinie fest, welche Tools für welche Aufgaben zugelassen sind. Die Grundregel lautet: keine personenbezogenen Daten und keine vertraulichen Informationen in frei zugängliche Chatbots.
    3. Prüfen Sie Unternehmenslizenzen. Business-Angebote bieten teils vertragliche Zusicherungen, etwa zum Ausschluss der Nutzung für Training, und einen Auftragsverarbeitungsvertrag.
    4. Deaktivieren Sie Chatverlauf und Trainingsnutzung, soweit möglich.
    5. Schulen Sie die Beschäftigten: Sie müssen wissen, was sie eingeben dürfen und dass Ergebnisse geprüft werden müssen.
    6. Sollen personenbezogene Daten in größerem Umfang verarbeitet werden, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
    7. Binden Sie den Betriebsrat ein. Wird die Nutzung technisch gesteuert oder ausgewertet, können Mitbestimmungsrechte bestehen.

    Verbieten oder gestalten?

    Ein pauschales Verbot ist schwer durchzusetzen und verschenkt Potenzial. Erfolgversprechender ist ein kontrollierter Einsatz mit freigegebenen Tools, klaren Regeln und geschulten Beschäftigten. Für viele Aufgaben, etwa das Formulieren allgemeiner Texte ohne Personenbezug, lassen sich KI-Werkzeuge risikoarm nutzen.

    Regulatorischer Ausblick

    Auf europäischer Ebene wird derzeit über eine KI-Verordnung verhandelt, die Pflichten für Anbieter und Nutzer von KI-Systemen festlegen soll. Unabhängig davon gilt schon heute: Sobald personenbezogene Daten verarbeitet werden, ist die DSGVO anwendbar.

    Die wichtigste Regel bleibt einfach: keine personenbezogenen oder vertraulichen Daten in öffentliche KI-Dienste. Für Ihre KI-Richtlinie, die Verträge mit Anbietern und die Risikobewertung stehen wir Ihnen zur Verfügung. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.