1.2.3 KI-Einsatz

Die datenschutzrechtlichen Pflichten treffen in der Anwendungsphase im Regelfall den KI-Betreiber.

Nr	Frage	Antwortoptionen	Erläuterung
1	Wird die KI auf natürliche Personen angewendet oder werden auf andere Weise personenbezogene Daten verarbeitet? Art 4 Z 1 DSGVO	ja nein	Wird die KI auf keine natürlichen Personen angewendet und werden keine personenbezogenen Daten verarbeitet, kann die Prüfung für den KI-Einsatz beendet werden. Wird die KI auf natürliche Personen angewendet, ist dafür die Verarbeitung der personenbezogenen Daten dieser Personen erforderlich.
2	Werden mit der KI-Anwendung personenbezogene Daten generiert? Art 4 Z 1 DSGVO	ja nein	Für neu generierte Daten trifft den Betreiber des KI-Systems die Informationspflicht gemäß Art 14 DSGVO. Diese Informationspflicht kann unter den Voraussetzungen des Art 14 Abs 5 DSGVO entfallen, insb wenn die Information der betroffenen Personen einen unverhältnismäßigen Aufwand erfordern würde.
3	Ist für den KI-Betreiber nachvollziehbar, wie das KI-System funktioniert und welche Daten verarbeitet werden?	ja nein	Die Informationen über das KI-System können den Verträgen und der Betriebs- oder Bedienungsanleitung entnommen werden. Gegebenenfalls sind vom KI-Anbieter zusätzliche Informationen einzuholen.
4	Werden durch das KI-System automatisierte Entscheidungen getroffen? Art 22 Abs 1 DSGVO	ja nein	Wird ein KI-System verwendet, um automatisierte Entscheidungen zu treffen, die rechtliche oder ähnlich beeinträchtigende Auswirkungen entfalten, sind die betroffenen Personen darüber zu informieren; siehe Register 4, Kapitel 3.
5	Sofern Frage 4 positiv beantwortet wurde: Wird den betroffenen Personen ermöglicht, ihre besonderen Betroffenenrechte hinsichtlich der automatisierten Entscheidung auszuüben? Art 22 Abs 3 DSGVO	ja nein	Siehe Register 4, Kapitel 3.
6	Sind die Ausgaben eines im Anhang III der KI-VO aufgeführten Hochrisiko-KI-Systems in die Entscheidungsfindung eingeflossen? Art 86 KI-VO	ja nein	Wird diese Frage bejaht, haben betroffene Personen ein Recht auf Erläuterung der Entscheidungsfindung; siehe Register 4, Kapitel 3.
7	Wurde eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt? Art 35 DSGVO	ja Nein, weil trotz Verwendung des KI-Systems kein hohes Risiko für die betroffenen Personen besteht.
8	Wurde die Datenschutzbehörde konsultiert? Art 36 DSGVO	ja Nein, zB weil die Risiken der Verarbeitung durch angemessene Sicherheitsmaßnahmen und die DSFA ausgeglichen werden konnten.	Die so genannte vorherige Konsultation der Datenschutzbehörde ist nur bei einem hohen Risiko der Datenverarbeitung erforderlich.

Maßgeschneidert für Ihren Erfolg: Profitieren Sie von der FORUM Media Online-Welt mit fundiertem Fachwissen, Top Suchergebnissen und vielen aktuellen Themenschwerpunkten.

Als Abonnent melden Sie sich bitte mit Ihren Zugangsdaten an, um auf den Inhalt zuzugreifen.
Oder bestellen Sie jetzt das OnlineBuch Künstliche Intelligenz in der Praxis in unserem Shop! Zum Shop