DSFA Vorlage KI: Datenschutz-Folgenabschätzung

Datenschutz-Folgenabschätzung für KI

Die DSFA Vorlage KI bereitet eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für ein KI-System vor. Eine DSFA ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt. Die Schwellwertprüfung nutzt die neun Kriterien der europäischen Datenschutzbehörden (Leitlinien WP 248): Treffen zwei oder mehr zu, ist eine DSFA in den meisten Fällen erforderlich. Zusätzlich gelten die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO.

Der Entwurf folgt dem Mindestinhalt aus Art. 35 Abs. 7 DSGVO: systematische Beschreibung und Zweck, Notwendigkeit und Verhältnismäßigkeit, Risikobewertung und Abhilfemaßnahmen. Für jedes gewählte Risiko stufen Sie Eintrittswahrscheinlichkeit und Schwere ein; das Werkzeug bildet daraus eine Stufe niedrig, mittel oder hoch und schlägt passende Maßnahmen vor. Bleibt nach den Maßnahmen ein hohes Restrisiko, ist vor Beginn die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO). Beim KI-System Datenschutz geht es oft um Training mit Eingaben, Drittlandübermittlung und die Richtigkeit von Ergebnissen.

Betreiber von Hochrisiko-KI-Systemen nutzen für ihre DSFA die Informationen des Anbieters nach Art. 13 KI-Verordnung (Art. 26 Abs. 9). Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Die Vorlage ist ein Arbeitsentwurf: Beteiligen Sie Ihren Datenschutzbeauftragten (Art. 35 Abs. 2 DSGVO) und dokumentieren Sie Ihre Begründungen.