Leitlinie für KI in der Bundesverwaltung
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat Ende 2025 eine praxisorientierte Handreichung veröffentlicht, die öffentlichen Stellen systematische datenschutzrechtliche Orientierung beim Einsatz Künstlicher Intelligenz (KI), insbesondere großer Sprachmodelle (Large Language Models, LLMs), geben soll. Im Fokus stehen Planung, Entwicklung, Einführung und Betrieb solcher Systeme im öffentlichen Sektor unter Berücksichtigung der DS-GVO und der EU-KI-Verordnung (KI-VO).
Kontext und Herausforderungen
Die Handreichung beginnt mit einer Einordnung der KI-Regulierung: Die KI-VO und die DS-GVO bilden einen kohärenten Rechtsrahmen, in dem datenschutzrechtliche Anforderungen bei KI-Systemen in Ergänzung zu produktsicherheits- und verwaltungsrechtlichen Vorgaben zu beachten sind.
LLMs können personenbezogene Daten in mehreren Lebenszyklusphasen verarbeiten – sowohl im Training als auch im produktiven Einsatz. Durch das abstrakte Einbetten von Trainingsdaten in Modellparameter besteht das Risiko der Memorisierung und reproduktiven Ausgabe personenbezogener Informationen. Zudem stellen der Black-Box-Charakter von KI, potenzielle Bias-Effekte und die Möglichkeit der Inferenz personenbezogener Merkmale in Ausgaben zusätzliche datenschutzrechtliche Herausforderungen dar.
Datenschutzrechtliche Eckpfeiler
Die Handreichung strukturiert die datenschutzkonforme Nutzung von KI entlang zentraler Prinzipien:
- Personenbezug erkennen und definieren: Verantwortliche müssen frühzeitig erfassen, in welchem Umfang personenbezogene Daten im gesamten KI-Lebenszyklus vorkommen – sei es bei Trainingsdaten, Interaktionsdaten oder Ausgaben.
- Verantwortlichkeit klären: Die rollenbasierte Zuordnung datenschutzrechtlicher Verantwortlichkeit nach Art. 4 DSGVO ist für Entwicklung, Training, Fine-Tuning und Betrieb differenziert vorzunehmen.
- Rechtsgrundlagen analysieren: Je nach Phase und Zweck der Verarbeitung müssen geeignete Rechtsgrundlagen geprüft und dokumentiert werden – etwa Erfüllung öffentlicher Aufgaben oder gesetzliche Verpflichtungen.
Technische und organisatorische Maßnahmen
Die Handreichung beschreibt technische und organisatorische Maßnahmen (TOM) zur Minimierung datenschutzrechtlicher Risiken:
- Datenminimierung und Speicherbegrenzung: Modelle sollten so trainiert und betrieben werden, dass nur notwendige personenbezogene Daten verarbeitet werden.
- Datenschutz-Folgenabschätzung: Bei hohem Risikopotenzial, bspw. bei systemischer Verwendung komplexer KI-Modelle ist eine DSFA verpflichtend und sollte die spezifischen Risiken von LLMs adressieren.
- Transparenz und Betroffenenrechte: Verantwortliche müssen geeignete Maßnahmen zur Informationspflicht und zur Wahrung der Betroffenenrechte (Zugriff, Berichtigung, Löschung) etablieren.
Empfehlungen für die Praxis
Abschließend bietet die Handreichung eine lebenszyklusbezogene Übersicht möglicher Maßnahmen – von der Planung über Training bis zum produktiven Einsatz sowie Hinweise zur Rechenschaftspflicht, Monitoring und vertraglichen Absicherung bei Drittanbieterlösungen.
Diese Handreichung kann als operative Grundlage für Datenschutzbeauftragte und Verantwortliche in Behörden dienen, um KI-Projekte rechtskonform zu planen und umzusetzen – unter Berücksichtigung sowohl technischer Eigenheiten großer KI-Modelle als auch der einschlägigen Datenschutzvorgaben.
(Foto: IDOL’foto – stock.adobe.com)
Das könnte Sie auch interessieren
-
Folge 96: Legal AI zwischen Vollkornbrot und Burger: Warum generative KI nicht alles ist
„Es kommt darauf an.“ Das ist eine Lieblingsantwort von Juristen. Sie ist oft unbefriedigend, aber ebenso oft richtig.Bei der Frage, ob und wofür man in der Rechtsberatung ein digitales Hilfsmittel einsetzt – etwa ein sogenanntes deterministisches Expertensystem, das sich mit Vollkornbrot vergleichen lässt, oder eine generative KI, die eher einem „AI-Burger“ entspricht –, kommt es
Mehr erfahren -
Umgang mit E-Mail-Postfächern bei Abwesenheit und Ausscheiden von Beschäftigten
Der Umgang mit personalisierten E-Mail-Konten ausgeschiedener oder länger abwesender Mitarbeitender zählt zu den häufig nachgefragten Beratungsthemen im Beschäftigtendatenschutz. Im Zentrum steht die Frage, ob und unter welchen Voraussetzungen Arbeitgeber:innen auf betroffene Postfächer zugreifen dürfen. Prävention durch klare Prozesse Verantwortliche sollten datenschutzrechtlichen Konflikten bereits durch organisatorische Weichenstellungen vorbeugen. Zu prüfen ist zunächst, ob personalisierte Postfächer überhaupt
Mehr erfahren -
Auskunftsrecht nach Art. 15 DS-GVO gegenüber Rechtsanwält:innen
Beschwerden über unbeantwortete oder unvollständig beantwortete Auskunftsersuchen gegenüber Kanzleien und Einzelanwält:innen gehören zu den regelmäßig auftretenden Fallkonstellationen der Aufsichtspraxis. Im Fokus steht zumeist die Frage der Reichweite des Auskunftsrechts betroffener Personen gegenüber Berufsgeheimnisträger:innen. Grundsatz: DS-GVO gilt auch für Rechtsanwält:innen Rechtsanwält:innen unterliegen als Verantwortliche im Sinne der DS-GVO grundsätzlich uneingeschränkt deren Vorgaben und müssen geeignete Maßnahmen
Mehr erfahren
