Bereich
KI in Kommunen und Behörden
Der zweite Unterabsatz des Art. 6 Abs. 1 DSGVO schließt die Interessenabwägung für Behörden in Erfüllung ihrer Aufgaben aus, sodass die Rechtsgrundlage aus dem Fachrecht kommen muss. Ein Verwaltungsakt darf nach § 35a VwVfG nur vollautomatisch ergehen, wenn eine Rechtsvorschrift das zulässt und weder Ermessen noch Beurteilungsspielraum besteht. Und die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO trifft Einrichtungen des öffentlichen Rechts, während private Betreiber sie überwiegend nicht schulden.
Das System prüft vor, die Sachbearbeitung entscheidet
In einer Kommune soll ein System die Vorprüfung von Anträgen auf eine Sozialleistung übernehmen. Die Sachbearbeitung soll den Vorschlag ansehen und den Bescheid erlassen. Der Anbieter verweist auf eine Prüfung nach der KI-VO, die er für Unternehmenskunden erstellt hat. Drei Punkte sind darin nicht enthalten.
Die Abwägung steht Behörden nicht zur Verfügung
Worauf eine Behörde die Verarbeitung stützt, entscheidet ein Halbsatz, der in Veröffentlichungen für Unternehmen selten vorkommt. Der zweite Unterabsatz des Art. 6 Abs. 1 DSGVO bestimmt, dass Buchstabe f nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung gilt.
Was übrig bleibt und was daraus folgt
Buchstabe c oder e
Rechtliche Verpflichtung oder Aufgabe im öffentlichen Interesse. Eine dritte Möglichkeit gibt es für die Aufgabenerfüllung nicht.
Rechtsgrundlage im Fachrecht
Art. 6 Abs. 3 DSGVO verlangt eine Festlegung durch Unionsrecht oder mitgliedstaatliches Recht, in der auch der Zweck festgelegt ist.
Der Zweck begrenzt das Werkzeug
Deckt das Fachrecht die Vorprüfung von Anträgen, deckt es nicht ohne Weiteres eine Auswertung derselben Daten zur Betrugserkennung.
3 von 3
Praktisch verschiebt das die Arbeit von der Abwägung zur Auslegung. Zu bestimmen ist, welche Vorschrift die Aufgabe zuweist und ob sie den beabsichtigten Einsatz mit umfasst. Wo sie das nicht tut, ist der Einsatz nicht abzuwägen, sondern zu unterlassen oder gesetzlich zu ermöglichen.
Der vollautomatische Bescheid braucht eine eigene Erlaubnis
Ob ein Bescheid vollautomatisch ergehen darf, beantwortet nicht die KI-VO, sondern das Verfahrensrecht. § 35a VwVfG lässt das nur unter zwei Bedingungen zu. Die entsprechenden Vorschriften der Länder sind gleichlautend gefasst.
Zwei Bedingungen, beide eng
| Zulässig | Merkmal | Nicht zulässig |
|---|---|---|
| RechtsvorschriftEine Vorschrift muss den vollautomatischen Erlass ausdrücklich zulassen. Das allgemeine Verfahrensrecht genügt nicht. | Erlaubnis | Ohne Erlaubnis |
| Gebundene EntscheidungWeder Ermessen noch Beurteilungsspielraum. Eine Härtefallklausel im Fachrecht schließt den vollautomatischen Erlass damit regelmäßig aus. | Entscheidungsspielraum | Ermessen oder Spielraum |
| Über Absatz 2 Buchst. bDie Rechtsvorschrift muss angemessene Maßnahmen zur Wahrung der Rechte enthalten. | Daneben Art. 22 DSGVO | VerbotenOhne Ausnahme des Absatzes 2 bleibt es beim Recht, einer solchen Entscheidung nicht unterworfen zu werden. |
| Kein Fall des § 35a VwVfGSofern ein Mensch tatsächlich entscheidet und den Vorschlag verwerfen kann. | Assistenzsystem | AbzeichnungWird ein Vorschlag in nahezu allen Fällen übernommen, liegt im Zweifel keine eigene Entscheidung mehr vor. |
Der praktisch häufigste Fall ist der vierte. Er entscheidet sich nicht am Aufbau des Systems, sondern an der Quote der übernommenen Vorschläge. Diese Quote sollte gemessen werden, bevor sie jemand anders misst.
Die Grundrechte-Folgenabschätzung trifft die öffentliche Hand
Welche Pflicht öffentliche Stellen zusätzlich trifft, steht in Art. 27 KI-VO. Diese Vorschrift fehlt in fast jeder Darstellung für Unternehmen. Sie verpflichtet Betreiber, bei denen es sich um Einrichtungen des öffentlichen Rechts oder um private Einrichtungen mit öffentlichen Diensten handelt.
Sechs Angaben, die Art. 27 Abs. 1 KI-VO verlangt
Liste zu erledigender Punkte
- Die Verfahren des Betreibers, bei denen das System entsprechend seiner Zweckbestimmung verwendet wird
- Zeitraum und Häufigkeit der Verwendung
- Die Kategorien natürlicher Personen und Personengruppen, die betroffen sein könnten
- Die spezifischen Schadensrisiken für diese Kategorien
- Die Umsetzung der menschlichen Aufsicht entsprechend den Betriebsanleitungen
- Die Maßnahmen beim Eintreten der Risiken, einschließlich Beschwerdemechanismen
Drei Zeitpunkte des Art. 27 KI-VO
Vor der Inbetriebnahme
Die Abschätzung
Absatz 1 verlangt sie vor der Inbetriebnahme. Absatz 2 stellt klar, dass die Pflicht die erste Verwendung betrifft.
Nach der Abschätzung
Die Mitteilung
Absatz 3 verlangt die Mitteilung des Ergebnisses an die Marktüberwachungsbehörde, über ein Muster des Büros für Künstliche Intelligenz.
Bei Änderung
Die Aktualisierung
Gelangt der Betreiber während der Verwendung zu der Auffassung, dass ein Element nicht mehr auf dem neuesten Stand ist, hat er die Angaben zu aktualisieren.
So unterstützen wir Sie in der Verwaltung
Die drei Punkte gehören in die Leistungsbeschreibung und nicht in die Abnahme. Vor der Vergabe ist zu bestimmen, welche Vorschrift die Aufgabe zuweist und ob sie den Einsatz deckt. Danach ist festzulegen, ob ein Mensch entscheidet und woran sich das später zeigen lässt. Und für ein System aus Anhang III ist die Abschätzung nach Art. 27 KI-VO einzuplanen, mit dem Zeitpunkt der Mitteilung an die Marktüberwachungsbehörde. Alle drei lassen sich als Anforderungen formulieren. Dann prüft der Anbieter sie mit.
Häufige Fragen
Welche Anwendungsfälle der Verwaltung stehen in Anhang III?
Unter anderem Systeme, die über den Zugang zu grundlegenden öffentlichen Diensten und Leistungen und deren Inanspruchnahme entscheiden, Systeme der Strafverfolgung sowie Systeme in Migration, Asyl und Grenzkontrolle. Für Kommunen ist die erste Gruppe die praktisch bedeutsamste, weil sie Leistungsbescheide erfasst.
Ersetzt die Datenschutz-Folgenabschätzung die Grundrechte-Folgenabschätzung?
Nein. Nach Art. 27 Abs. 4 KI-VO ergänzt die Grundrechte-Folgenabschätzung eine bereits nach Art. 35 DSGVO durchgeführte Abschätzung, soweit einzelne Pflichten dadurch schon erfüllt sind. Beide bleiben eigenständig. Die Ergebnisse der zweiten sind der Marktüberwachungsbehörde mitzuteilen.
Was bedeutet menschliche Aufsicht in der Sachbearbeitung?
Nach Art. 26 Abs. 2 KI-VO ist sie natürlichen Personen zu übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Eine Abzeichnung ohne Möglichkeit, den Vorschlag zu verwerfen, erfüllt das nicht. Dieselbe Frage stellt sich datenschutzrechtlich bei Art. 22 Abs. 1 DSGVO.
Gilt das auch für Assistenzsysteme ohne Entscheidungsbefugnis?
Für die Rechtsgrundlage ja, denn auch die Unterstützung ist eine Verarbeitung. Für Art. 22 DSGVO und § 35a VwVfG kommt es darauf an, ob die Entscheidung tatsächlich von einem Menschen getroffen wird. Wird ein Vorschlag in nahezu allen Fällen übernommen, ist das im Zweifel keine eigene Entscheidung mehr.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.