KI-Verordnung ≠ GDPR: zwei Rechtsakte, zwei Risiken

Die KI-Verordnung und die GDPR sind getrennte Rechtsrahmen, die unterschiedliche Arten von Schäden behandeln. Die KI-Verordnung konzentriert sich auf Risiken, die von KI-Systemen selbst ausgehen – etwa Verzerrungen, Sicherheitsrisiken oder mangelnde Transparenz –, während die GDPR Rechte in Bezug auf personenbezogene Daten schützt, darunter Einwilligung, Auskunft und Löschung. Ein konkreter Vergleich: Ein KI-Werkzeug für die Personalauswahl, das Lebensläufe verarbeitet, muss hinsichtlich der Datenverarbeitung die GDPR und hinsichtlich der Einstufung als Hochrisikosystem sowie der Konformitätsbewertung die KI-Verordnung einhalten. Kein Rechtsakt verdrängt den anderen; beide können gleichzeitig gelten.

Um die Falle zu vermeiden, beide für austauschbar zu halten, merken Sie sich: Verstöße gegen die GDPR betreffen häufig Datenschutzverletzungen oder eine fehlende Einwilligung, während Verstöße gegen die KI-Verordnung beispielsweise ein unzureichendes Risikomanagement oder fehlende Dokumentation betreffen können. Wenn in einer Multiple-Choice-Frage eine Antwort lautet, die Einhaltung der KI-Verordnung erfülle automatisch die GDPR, schließen Sie diese sofort aus. Ein weiterer Trick: Betrachten Sie die GDPR als das Gesetz über „Datenrechte“ und die KI-Verordnung als das Gesetz über „Systemsicherheit“ – sie überschneiden sich, sind aber nicht identisch.

Eine schnelle Selbstprüfung: Fragen Sie sich: „Gilt die GDPR, wenn ein KI-System keine personenbezogenen Daten verwendet?“ Die Antwort lautet nein, doch die KI-Verordnung könnte trotzdem gelten, wenn es sich um ein Hochrisikosystem handelt. Dieser Gegensatz zeigt, dass beide Rechtsakte unabhängig voneinander gelten. Prägen Sie sich den Satz ein: „GDPR für Daten, KI-Verordnung für Systeme – beide können greifen.“