Vorbereitung auf die EU-KI-Verordnung
Was unterscheidet den AI Act von der DSGVO?
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Der AI Act regelt KI-Systeme nach Einsatz, Risiko und Ihrer Rolle. Ein Werkzeug kann unter beide Regelwerke fallen. Prüfen Sie die Pflichten getrennt.
Daten oder Risiko: Wo liegt der Unterschied?
Bei der DSGVO beginnen Sie mit den personenbezogenen Daten, dem Verarbeitungszweck sowie dem sachlichen und räumlichen Anwendungsbereich. Ein Name, eine E-Mail-Adresse oder ein Foto können personenbezogene Daten sein. Ihr Vorhandensein beantwortet aber nicht jede Frage zur Anwendbarkeit. Es gibt auch Ausnahmen.
Beim AI Act prüfen Sie die Zweckbestimmung des Systems und die Rolle Ihrer Organisation. Ein System kann auch ohne personenbezogene Daten erfasst sein. Eine Sicherheitskomponente in der Strom- oder Wasserversorgung kann unter den gesetzlichen Voraussetzungen als hochriskant gelten. Das macht nicht jede Infrastruktursoftware zum Hochrisikosystem.
Bei Personalauswahl oder Kreditwürdigkeitsprüfung betrachten Sie beide Regelwerke. Die Einhaltung des einen belegt nicht die Einhaltung des anderen.
Wie unterscheiden sich die Bußgeldobergrenzen?
Artikel 83 DSGVO sieht je nach Verstoß Obergrenzen von 10 Millionen Euro oder 2 % sowie 20 Millionen Euro oder 4 % vor. Für ein Unternehmen gilt der höhere Betrag aus der festen Summe und dem Prozentsatz des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres.
Artikel 99 AI Act unterscheidet mehrere Obergrenzen: 35 Millionen Euro oder 7 % für verbotene Praktiken, 15 Millionen Euro oder 3 % für die anderen aufgeführten Verstöße, 7,5 Millionen Euro oder 1 % für bestimmte Verstöße bei der Bereitstellung von Informationen. Grundsätzlich gilt der höhere Wert; bei KMU, die die Voraussetzungen erfüllen, der niedrigere. Die Erleichterung für kleine Unternehmen mittlerer Kapitalisierung (SMC) gilt nicht für die Obergrenze bei verbotenen Praktiken. Auch hier bezieht sich der Prozentsatz auf den gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres.
Das sind Höchstbeträge, keine automatischen Bußgelder. Verstoß, Umstände, Unternehmenskategorie und Verfahren müssen gesondert geprüft werden. Die Prozentsätze zu addieren ergibt keine fertige Berechnung Ihrer Haftung.
Wie unterscheiden sich DSFA und FRIA?
Die DSFA ist die Datenschutz-Folgenabschätzung, auf Englisch DPIA. Artikel 35 DSGVO verlangt sie vor einer Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Der Einsatz von KI ist nicht das einzige Kriterium.
Die FRIA ist die Grundrechte-Folgenabschätzung nach Artikel 27 AI Act. Sie betrifft bestimmte Betreiber und Hochrisikoeinsätze: öffentlich-rechtliche Stellen, private Organisationen mit öffentlichen Dienstleistungen sowie die ausdrücklich erfassten Kredit- und Versicherungsanwendungen. Anhang III Nummer 2 ist von diesem Anwendungsbereich ausgenommen. Nicht jede Versicherung und jedes KI-System erfordern eine FRIA.
Sind Pflichten bereits durch eine DSFA erfüllt, ergänzt die FRIA diese. Die vorhandene Prüfung ersetzt die Prüfung nach dem AI Act nicht automatisch. Gleichen Sie die abgedeckten Fragen und Lücken ab. Prüfen Sie das Anwendungsdatum und die Übergangsregeln für den konkreten Einsatz.
Welche Behörde ist für Ihren Fall zuständig?
Für die DSGVO gibt es nationale Datenschutzaufsichtsbehörden und Regeln für grenzüberschreitende Fälle. Beim AI Act richtet sich die Zuständigkeit nach System, Rolle und dem einschlägigen nationalen oder europäischen Verfahren. Gehen Sie nicht davon aus, dass dieselbe Behörde für beide Regelwerke zuständig ist.
Für einen konkreten Fall prüfen Sie die geltenden nationalen Regeln und die zuständige Behörde in Ihrem Mitgliedstaat.
Fragen
Bedeutet DSGVO-Bereitschaft auch Bereitschaft für den AI Act?
Nein. Ihre Datenschutzdokumentation kann helfen. Prüfen Sie Rolle, Einsatz und Pflichten aus dem AI Act dennoch getrennt. Halten Sie fest, was abgedeckt ist und was noch geprüft werden muss.
Verbietet die DSGVO alle automatisierten Entscheidungen?
Artikel 22 betrifft Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Auswirkungen auf eine Person haben. Es gelten bedingte Ausnahmen und Schutzvorkehrungen. Die Einhaltung des AI Act ersetzt diese Prüfung nicht.
Kann der AI Act ohne personenbezogene Daten gelten?
Ja. Prüfen Sie Zweckbestimmung, Rolle und die gesetzlichen Voraussetzungen für die Systemkategorie. Ohne personenbezogene Daten zu arbeiten befreit nicht allgemein vom AI Act.
Quellen
Weiterführende Artikel
Nächster Schritt
Ordnen Sie jedem Werkzeug eine Pflicht und eine Quelle zu.
Die Vorbereitung auf die EU-KI-Verordnung ordnet Werkzeuge, Einsätze und anwendbare Pflichten mit Quellen und Datumsangaben. Fragen zur Abdeckung durch die DSGVO werden für die rechtliche Prüfung festgehalten. Das ist keine Bescheinigung der DSGVO-Konformität.
Vorbereitung auf die EU-KI-Verordnung anfragen
oder schreiben Sie an contact@ergostrat.com