1.2.3 KI-Einsatz
Die datenschutzrechtlichen Pflichten treffen in der Anwendungsphase im Regelfall den KI-Betreiber.
Nr | Frage | Antwortoptionen | Erläuterung |
1 | Wird die KI auf natürliche Personen angewendet oder werden auf andere Weise personenbezogene Daten verarbeitet? Art 4 Z 1 DSGVO | ja nein | Wird die KI auf keine natürlichen Personen angewendet und werden keine personenbezogenen Daten verarbeitet, kann die Prüfung für den KI-Einsatz beendet werden. Wird die KI auf natürliche Personen angewendet, ist dafür die Verarbeitung der personenbezogenen Daten dieser Personen erforderlich. |
2 | Werden mit der KI-Anwendung personenbezogene Daten generiert? Art 4 Z 1 DSGVO | ja nein | Für neu generierte Daten trifft den Betreiber des KI-Systems die Informationspflicht gemäß Art 14 DSGVO. Diese Informationspflicht kann unter den Voraussetzungen des Art 14 Abs 5 DSGVO entfallen, insb wenn die Information der betroffenen Personen einen unverhältnismäßigen Aufwand erfordern würde. |
3 | Ist für den KI-Betreiber nachvollziehbar, wie das KI-System funktioniert und welche Daten verarbeitet werden? | ja nein | Die Informationen über das KI-System können den Verträgen und der Betriebs- oder Bedienungsanleitung entnommen werden. Gegebenenfalls sind vom KI-Anbieter zusätzliche Informationen einzuholen. |
4 | Werden durch das KI-System automatisierte Entscheidungen getroffen? Art 22 Abs 1 DSGVO | ja nein | Wird ein KI-System verwendet, um automatisierte Entscheidungen zu treffen, die rechtliche oder ähnlich beeinträchtigende Auswirkungen entfalten, sind die betroffenen Personen darüber zu informieren; siehe Register 4, Kapitel 3. |
5 | Sofern Frage 4 positiv beantwortet wurde: Wird den betroffenen Personen ermöglicht, ihre besonderen Betroffenenrechte hinsichtlich der automatisierten Entscheidung auszuüben? Art 22 Abs 3 DSGVO | ja nein | Siehe Register 4, Kapitel 3. |
6 | Sind die Ausgaben eines im Anhang III der KI-VO aufgeführten Hochrisiko-KI-Systems in die Entscheidungsfindung eingeflossen? Art 86 KI-VO | ja nein | Wird diese Frage bejaht, haben betroffene Personen ein Recht auf Erläuterung der Entscheidungsfindung; siehe Register 4, Kapitel 3. |
7 | Wurde eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt? Art 35 DSGVO | ja Nein, weil trotz Verwendung des KI-Systems kein hohes Risiko für die betroffenen Personen besteht. |
|
8 | Wurde die Datenschutzbehörde konsultiert? Art 36 DSGVO | ja Nein, zB weil die Risiken der Verarbeitung durch angemessene Sicherheitsmaßnahmen und die DSFA ausgeglichen werden konnten. | Die so genannte vorherige Konsultation der Datenschutzbehörde ist nur bei einem hohen Risiko der Datenverarbeitung erforderlich. |
