Auslegungssache – der c't-Datenschutz-Podcast

KI-Verordnung und Datenschutz - ein schwieriges Verhältnis

Apr 18, 2025

Prof. Rolf Schwartmann ist ein führender Experte für Medienrecht an der Technischen Hochschule Köln und Vorsitzender der Gesellschaft für Datenschutz und Datensicherheit (GDD). Er beleuchtet das Spannungsfeld zwischen der EU-KI-Verordnung und der DSGVO. Interessante Themen sind der Konflikt zwischen generativer KI und dem Grundsatz der Zweckbindung, sowie die Haftung für falsche Ergebnisse. Zudem werden Herausforderungen bei automatisierten Entscheidungen und die rechtlichen Implikationen im Beruf thematisiert, inklusive der Compliance-Anforderungen für Unternehmen.

Ask episode

AI Snips

Chapters

Transcript

Episode notes

INSIGHT

Unterschied AI-Verordnung & DSGVO

Die KI-Verordnung ist eine Produktregulierung, die den Betrieb von KI-Systemen regelt und ist systematisch von der DSGVO zu trennen.
Die DSGVO schützt personenbezogene Daten, die KI-Verordnung hingegen reguliert die Risiken beim Einsatz von KI als Produkt.

INSIGHT

Öffnungsklauseln der KI-Verordnung

Die KI-Verordnung enthält zwei Öffnungsklauseln zur DSGVO für die Nutzung sensibler Daten zur Verzerrungskorrektur und für Reallabore.
Abseits davon bleibt die DSGVO unberührt und ist für die Datenverarbeitung eigenständig anzuwenden.

INSIGHT

Datenschutz bleibt DSGVO-Angelegenheit

Die KI-Verordnung nimmt bewusst keine umfassende Datenschutzregelung auf, da Datenschutz im Kern Sache der DSGVO ist.
Eine separate KI-Datenschutzverordnung könnte systematisch sinnvoller sein, wird aber aktuell nicht verfolgt.

Get the Snipd Podcast app to discover more snips from this episode

Get the app

Mit Prof. Rolf Schwartmann, Holger Bleich und Joerg Heidrich

Der KI-Verordnung der EU soll Künstliche Intelligenz und deren Einsatz umfassend regulieren. Doch wie passt dieses Gesetz zu den bestehenden Datenschutzregeln, insbesondere der Datenschutz-Grundverordnung (DSGVO)? In der aktuellen Folge des c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit Prof. Dr. Rolf Schwartmann, dem Vorsitzenden der Gesellschaft für Datenschutz und Datensicherheit (GDD).

Schwartmann weist zunächst die unterschiedlichen Ziele beider Regelwerke hin. Während die DSGVO klare Vorgaben für den Umgang mit personenbezogenen Daten macht, ist die KI-Verordnung eine Produktregulierung. Sie definiert, unter welchen Bedingungen Anbieter und Nutzer von KI-Systemen agieren dürfen. Beide Gesetze haben zwar den Schutz von Grundrechten im Blick, verfolgen aber gänzlich unterschiedliche Ansätze.

Ein zentrales Problem sieht die Runde im Zusammenspiel der beiden Gesetze bei der generativen KI, also Systemen wie ChatGPT. Diese KI-Modelle sind grundsätzlich nicht zweckgebunden, sondern flexibel einsetzbar, was mit dem Grundsatz der Zweckbindung aus der DSGVO nur schwer vereinbar ist. Es bestehe die Gefahr, dass viele die KI rechtswidrig, aber sanktionslos einsetzen. Schwartmann betont, dass Nutzer generativer KI für Schäden durch falsche Ergebnisse haften könnten.

Hinzu kommen Herausforderungen wie die automatisierte Entscheidungsfindung: Die DSGVO verbietet automatisierte Entscheidungen mit erheblichen rechtlichen Folgen oder wesentlichen Beeinträchtigungen, während die KI-Verordnung solche Systeme unter strengen Voraussetzungen durchaus erlaubt. Allerdings knüpft sie dies an umfangreiche Compliance-Pflichten.

Die Diskussion offenbart, dass die KI-Verordnung nur wenige datenschutzrechtliche Ausnahmen enthält, beispielsweise bei der Nutzung sensibler Daten zur Korrektur von Verzerrungen in KI-Modellen oder in sogenannten Reallaboren, geschützten Testumgebungen für neue KI-Anwendungen. Heidrich kritisiert, dass der Gesetzgeber hier Chancen verpasst habe, grundlegende datenschutzrechtliche Konflikte bei der Nutzung moderner KI-Systeme zu regeln.