Leitlinie für KI in der Bundesverwaltung
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat Ende 2025 eine praxisorientierte Handreichung veröffentlicht, die öffentlichen Stellen systematische datenschutzrechtliche Orientierung beim Einsatz Künstlicher Intelligenz (KI), insbesondere großer Sprachmodelle (Large Language Models, LLMs), geben soll. Im Fokus stehen Planung, Entwicklung, Einführung und Betrieb solcher Systeme im öffentlichen Sektor unter Berücksichtigung der DS-GVO und der EU-KI-Verordnung (KI-VO).
Kontext und Herausforderungen
Die Handreichung beginnt mit einer Einordnung der KI-Regulierung: Die KI-VO und die DS-GVO bilden einen kohärenten Rechtsrahmen, in dem datenschutzrechtliche Anforderungen bei KI-Systemen in Ergänzung zu produktsicherheits- und verwaltungsrechtlichen Vorgaben zu beachten sind.
LLMs können personenbezogene Daten in mehreren Lebenszyklusphasen verarbeiten – sowohl im Training als auch im produktiven Einsatz. Durch das abstrakte Einbetten von Trainingsdaten in Modellparameter besteht das Risiko der Memorisierung und reproduktiven Ausgabe personenbezogener Informationen. Zudem stellen der Black-Box-Charakter von KI, potenzielle Bias-Effekte und die Möglichkeit der Inferenz personenbezogener Merkmale in Ausgaben zusätzliche datenschutzrechtliche Herausforderungen dar.
Datenschutzrechtliche Eckpfeiler
Die Handreichung strukturiert die datenschutzkonforme Nutzung von KI entlang zentraler Prinzipien:
- Personenbezug erkennen und definieren: Verantwortliche müssen frühzeitig erfassen, in welchem Umfang personenbezogene Daten im gesamten KI-Lebenszyklus vorkommen – sei es bei Trainingsdaten, Interaktionsdaten oder Ausgaben.
- Verantwortlichkeit klären: Die rollenbasierte Zuordnung datenschutzrechtlicher Verantwortlichkeit nach Art. 4 DSGVO ist für Entwicklung, Training, Fine-Tuning und Betrieb differenziert vorzunehmen.
- Rechtsgrundlagen analysieren: Je nach Phase und Zweck der Verarbeitung müssen geeignete Rechtsgrundlagen geprüft und dokumentiert werden – etwa Erfüllung öffentlicher Aufgaben oder gesetzliche Verpflichtungen.
Technische und organisatorische Maßnahmen
Die Handreichung beschreibt technische und organisatorische Maßnahmen (TOM) zur Minimierung datenschutzrechtlicher Risiken:
- Datenminimierung und Speicherbegrenzung: Modelle sollten so trainiert und betrieben werden, dass nur notwendige personenbezogene Daten verarbeitet werden.
- Datenschutz-Folgenabschätzung: Bei hohem Risikopotenzial, bspw. bei systemischer Verwendung komplexer KI-Modelle ist eine DSFA verpflichtend und sollte die spezifischen Risiken von LLMs adressieren.
- Transparenz und Betroffenenrechte: Verantwortliche müssen geeignete Maßnahmen zur Informationspflicht und zur Wahrung der Betroffenenrechte (Zugriff, Berichtigung, Löschung) etablieren.
Empfehlungen für die Praxis
Abschließend bietet die Handreichung eine lebenszyklusbezogene Übersicht möglicher Maßnahmen – von der Planung über Training bis zum produktiven Einsatz sowie Hinweise zur Rechenschaftspflicht, Monitoring und vertraglichen Absicherung bei Drittanbieterlösungen.
Diese Handreichung kann als operative Grundlage für Datenschutzbeauftragte und Verantwortliche in Behörden dienen, um KI-Projekte rechtskonform zu planen und umzusetzen – unter Berücksichtigung sowohl technischer Eigenheiten großer KI-Modelle als auch der einschlägigen Datenschutzvorgaben.
(Foto: IDOL’foto – stock.adobe.com)
Das könnte Sie auch interessieren
-
LinkedIn-Verrnetzung begründet keine Einwilligung für Werbe‑E‑Mails
Das AG Düsseldorf hat mit Urteil vom 20.11.2025 (Az. 23 C 120/25) klargestellt, dass berufliche Vernetzung in sozialen Netzwerken keine Einwilligung für den Versand werblicher E-Mails begründet. Hintergrund war ein Fall, in dem ein IT-Dienstleister zwei Werbe-E-Mails an eine GmbH sandte, die lediglich über LinkedIn vernetzt war, ohne dass eine ausdrückliche Zustimmung vorlag. LinkedIn-Kontakte ≠ Einwilligung für
Mehr erfahren -
Vergütung für nicht deklariertes „KI-Gutachten“ kann verweigert werden
Das Landgericht Darmstadt hat in einem Beschluss vom November 2025 (19 O 527/16) klargestellt, dass eine erhebliche, nicht gegenüber dem Gericht offengelegte Verwendung von Künstlicher Intelligenz (KI) bei der Erstellung eines gerichtlichen Sachverständigengutachtens zur vollständigen Versagung der Vergütung führen kann. Damit stärkt das Gericht die Anforderungen an Transparenz, persönliche Leistungspflicht und Nachvollziehbarkeit bei Gutachten, die im Rahmen zivilprozessualer
Mehr erfahren -
Gemeinsame Dateiablagen als datenschutzrechtliches Risiko
In der Aktuellen Kurz-Information 65 weist der Bayerische Landesbeauftragte für den Datenschutz auf die erhebliche Gefahr von Datenpannen durch gemeinsam genutzte Dateiablagen hin. Betroffen sind sowohl klassische Netzlaufwerke als auch moderne Kollaborationsplattformen wie Microsoft SharePoint. Diese Systeme dienen zwar der effizienten Zusammenarbeit, können jedoch bei unzureichender Konfiguration und Organisation zu unbeabsichtigten Offenlegungen personenbezogener Daten führen.
Mehr erfahren
