Welche Daten darf Künstliche Intelligenz verarbeiten?

In der Fachzeitschrift PUBLICUS erläutern Fabio Costanza und Dr. Jessica Hawighorst welche datenschutzrechtlichen Anforderungen beim Einsatz von Künstlicher Intelligenz in der öffentlichen Verwaltung zu beachten sind. Im Mittelpunkt steht die Frage, welche personenbezogenen Daten in KI-Systemen verarbeitet werden dürfen – und wo klare Grenzen verlaufen.

Die Autoren zeigen auf, dass die Datenschutz-Grundverordnung (DSGVO) immer dann greift, wenn personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet werden. Das betrifft insbesondere KI-Anwendungen im Bürgerkontakt, im Personalbereich oder bei der Auswertung personenbezogener Informationen. Für jede Verarbeitung ist eine tragfähige Rechtsgrundlage erforderlich, etwa nach Art. 6 Abs. 1 lit. e DSGVO. Entscheidend ist dabei, dass die konkrete KI-gestützte Verarbeitung vom gesetzlichen Aufgabenrahmen gedeckt und für die Aufgabenerfüllung erforderlich ist. Reine Arbeitserleichterung genügt nicht. Besonders sensibel ist der Umgang mit besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, deren Verarbeitung nur unter engen Voraussetzungen zulässig ist.

Ein weiterer Schwerpunkt liegt auf dem Einsatz von Large Language Models wie ChatGPT. Nicht das Tool selbst ist datenschutzrechtlich problematisch, sondern die Frage, welche Daten eingegeben werden. Öffentliche Stellen tragen die volle Verantwortung für eine DSGVO-konforme Ausgestaltung – insbesondere bei der Nutzung externer Anbieter. Dabei sind Rollenverteilung, Auftragsverarbeitung, vertragliche Absicherungen und Transparenzpflichten sorgfältig zu prüfen. Der Beitrag gibt praxisnahe Handlungsempfehlungen zu Datenminimierung, internen KI-Richtlinien, Dokumentation und Schulungen und zeigt, wie KI rechtssicher und verantwortungsvoll in der Verwaltung eingesetzt werden kann.

Lesen Sie den vollständigen Beitrag hier