Künstliche Intelligenz wird zunehmend im Unternehmensalltag eingesetzt. Häufig laufen die zugrunde liegenden Systeme jedoch über Cloud-Dienste, hinter denen US-amerikanische Anbieter oder Unternehmensgruppen stehen.
Dabei reicht es datenschutzrechtlich nicht aus, lediglich auf den Serverstandort zu schauen. Auch wenn Daten in der EU gespeichert werden, können Supportmitarbeiter, Administratoren, Unterauftragnehmer oder Konzerngesellschaften außerhalb der EU Zugriff erhalten.
Zwei Prüfungen sind erforderlich
Beim Einsatz solcher KI-Dienste müssen zwei Fragen getrennt geprüft werden.
Zunächst ist zu klären, ob die Verarbeitung der personenbezogenen Daten überhaupt zulässig ist. Dafür ist eine entsprechende Rechtsgrundlage erforderlich. Bei Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten gelten zusätzliche Anforderungen.
Erst danach stellt sich die zweite Frage: Darf der jeweilige Anbieter oder Empfänger in den USA die Daten erhalten?
Das bedeutet:
Die Rechtsgrundlage beantwortet zwar die Frage: „Darf ich die Daten verarbeiten?“, jedoch nicht die Frage: „Dürfen die Daten in die USA gelangen?“. Diese Frage beantwortet das Transferinstrument. Beide Voraussetzungen müssen erfüllt sein, nicht nur eine.
Möglichkeiten für Datentransfers in die USA
Für Übermittlungen in die USA kommt insbesondere das EU-US Data Privacy Framework in Betracht. Voraussetzung ist, dass die konkret empfangende US-Gesellschaft wirksam zertifiziert ist und die jeweilige Übermittlung von der Zertifizierung erfasst wird.
Ist dies nicht der Fall, können insbesondere Standardvertragsklauseln eingesetzt werden. Dabei ist regelmäßig zusätzlich zu prüfen, ob die vorgesehenen Garantien im konkreten Fall tatsächlich wirksam sind. Diese Prüfung wird als Transfer Impact Assessment bezeichnet.
Datenstandort allein genügt nicht
Unternehmen sollten daher insbesondere prüfen:
· welche Daten verarbeitet werden,
· welche Gesellschaft tatsächlich Vertragspartner und Empfänger ist,
· welche Unterauftragnehmer eingesetzt werden,
· aus welchen Ländern Zugriffe möglich sind,
· ob Daten gespeichert oder zum Training verwendet werden,
· welcher Transfermechanismus eingesetzt wird.
Gerade bei KI-Diensten ist daher nicht allein entscheidend, wo die Daten gespeichert werden, sondern vielmehr, wer tatsächlich auf sie zugreifen kann und wie die gesamte Verarbeitungskette ausgestaltet ist.