Ablauf

Rollen und Freigabe beim Einsatz von KI

Die Rollen sind nicht frei zu verteilen, weil mehrere Vorschriften ihren Adressaten selbst benennen. Art. 26 Abs. 2 KI-VO verlangt die Übertragung der menschlichen Aufsicht an Personen mit Kompetenz, Ausbildung und Befugnis. Art. 38 Abs. 6 DSGVO schließt eine Freigabeentscheidung durch die Datenschutzbeauftragte aus. Der Freigabeweg hat vier Pflichten abzuarbeiten, die alle vor der Inbetriebnahme liegen.

Drei Einführungen ohne benannte Entscheidung

Drei Fachabteilungen wollen im selben Quartal je ein Werkzeug einführen. Die Datenschutzbeauftragte soll prüfen und freigeben, die IT-Abteilung soll betreiben. Wer die Entscheidung trifft, steht nirgends. Zwei der Rollen sind allerdings schon durch Vorschriften vergeben.

Drei Rollen sind vergeben, bevor jemand sie verteilt

Wie Rollen und Zuständigkeiten zu verteilen sind, ist nicht in vollem Umfang eine Frage der Aufbauorganisation. Drei Vorschriften benennen ihren Adressaten selbst. Eine verbietet eine bestimmte Zuordnung.

Was vorgegeben ist und was frei bleibt

Vorgegeben	Merkmal	Frei zu bestimmen
Kompetenz, Ausbildung, BefugnisArt. 26 Abs. 2 KI-VO. Die Aufsicht ist natürlichen Personen zu übertragen, die alle drei mitbringen und Unterstützung erhalten.	Menschliche Aufsicht	Die Auswahl der Person
Beim VerantwortlichenArt. 5 Abs. 2 DSGVO. Die Pflicht lässt sich nach innen aufteilen, aber nicht abgeben.	Nachweis der Einhaltung	Die Aufteilung im Betrieb
Beraten und überwachenArt. 39 Abs. 1 DSGVO. Nach Art. 38 Abs. 6 DSGVO darf eine weitere Aufgabe nicht zu einem Interessenkonflikt führen. Eine eigene Freigabeentscheidung führt dazu.	Rolle der Datenschutzbeauftragten	Umfang der Einbindung
Nicht bei der Datenschutzbeauftragten	Freigabeentscheidung	Sonst freiFachbereich, IT, Leitung oder ein Gremium. Entscheidend ist, dass die Stelle benannt ist und über Mittel entscheiden darf.

Aus der dritten Zeile folgt die häufigste Umstellung. Die Datenschutzbeauftragte prüft, dokumentiert und widerspricht. Die Freigabe erteilt eine Stelle, die für das Vorhaben einsteht.

Diese Trennung ist keine Formalie, sondern der Grund, weshalb eine Überwachung später etwas wert ist. Eine Stelle, die ihre eigene Entscheidung überwacht, kann sie nicht mehr beanstanden.

Vier Pflichten liegen vor der Inbetriebnahme

Was der Freigabeprozess klären muss, ergibt sich aus den Zeitpunkten und nicht aus einer Reihenfolge, die sich das Vorhaben selbst gibt. Vier Pflichten haben einen gesetzlich bestimmten Zeitpunkt. Alle vier liegen vor der Inbetriebnahme.

Vier Zeitpunkte, die der Freigabeweg abbilden muss

Bei der Planung
Unterrichtung des Betriebsrats
§ 90 Abs. 1 Nr. 3 BetrVG nennt den Einsatz künstlicher Intelligenz ausdrücklich und knüpft an die Planung an, also an einen Zeitpunkt vor der Auswahl.
Bei Festlegung der Mittel
Datenschutz durch Technikgestaltung
Art. 25 Abs. 1 DSGVO. Mit der Auswahl des Erzeugnisses sind die Mittel festgelegt. Die wirksamen Stellschrauben sind danach vergeben.
Vor der Verarbeitung
Folgenabschätzung
Art. 35 Abs. 1 DSGVO verlangt sie vorab. Bei einem Hochrisikosystem sind dafür nach Art. 26 Abs. 9 KI-VO die Angaben des Anbieters zu verwenden.
Vor der Inbetriebnahme
Information der Beschäftigten
Art. 26 Abs. 7 KI-VO verlangt bei einem Hochrisikosystem am Arbeitsplatz die Information der Arbeitnehmervertreter und der betroffenen Beschäftigten.

Sechs Angaben, mit denen eine Freigabe entschieden werden kann

Der Zweck des Einsatzes in einem Satz, denn daraus folgt die Rechtsgrundlage
Die Einordnung nach der KI-VO, also Anbieter oder Betreiber und Hochrisiko oder nicht
Die Rolle, die die menschliche Aufsicht übernimmt, mit Namen und Befugnis
Die Antwort auf die vier Zeitpunkte, je mit Datum und verantwortlicher Stelle
Die Aufbewahrung der Protokolle, mit Frist und Speicherort
Die Stelle, die entscheidet, wenn zwei Beteiligte sich nicht einigen

So unterstützen wir Sie beim Aufbau der KI-Governance

Der Freigabeweg braucht keine Verfahrensordnung, sondern ein Formblatt mit den sechs Angaben und eine benannte Stelle, die es entgegennimmt. Die Datenschutzbeauftragte erhält es zur Prüfung, nicht zur Entscheidung. Ihr Votum wird dokumentiert. Bleibt einer der vier Zeitpunkte ohne Datum, ist die Freigabe noch nicht möglich. Genau diese Wirkung soll das Formblatt haben.

Häufige Fragen

Kann die Datenschutzbeauftragte den Freigabeprozess verantworten?

Die Entscheidung nicht. Art. 39 Abs. 1 DSGVO weist ihr Unterrichtung, Beratung und Überwachung zu. Art. 38 Abs. 6 DSGVO verlangt, dass zusätzliche Aufgaben nicht zu einem Interessenkonflikt führen. Wer selbst freigibt, überwacht später seine eigene Entscheidung. Die Einbindung nach Art. 38 Abs. 1 DSGVO ist dagegen zwingend und früh.

Wie lange sind Protokolle aufzubewahren?

Bei einem Hochrisikosystem nach Art. 26 Abs. 6 KI-VO für einen der Zweckbestimmung angemessenen Zeitraum von mindestens sechs Monaten, soweit die Protokolle der eigenen Kontrolle unterliegen. Anderes Unions- oder nationales Recht kann abweichen, insbesondere das Datenschutzrecht mit dem Grundsatz der Speicherbegrenzung.

Braucht ein Werkzeug ohne Hochrisikoeinordnung einen Freigabeweg?

Die Pflichten des Art. 26 KI-VO greifen dann nicht. Die datenschutzrechtlichen greifen gleichwohl, also Art. 25 und Art. 35 DSGVO, ebenso die Mitbestimmung und die Pflicht aus Art. 4 KI-VO. Der Freigabeweg wird dadurch kürzer und nicht entbehrlich.

Wer entscheidet, wenn zwei Stellen sich nicht einigen?

Die Leitung, festgelegt vorab. Ein Freigabeweg ohne benannte Eskalationsstufe endet regelmäßig damit, dass die Fachabteilung ohne Freigabe beginnt. Die Festlegung ist zugleich eine Maßnahme nach Art. 24 Abs. 1 DSGVO und damit Teil des Nachweises.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.