47. DAFTA

KI, Gesetzgeber und EuGH – Neue Herausforderungen für den betrieblichen Datenschutz

Die Debatte um GPT-Anwendungen ist in den Unternehmen angekommen. Aktuell wird der Einsatz Künstlicher Intelligenz (KI) auf der EU-Ebene im Trilog zwischen Parlament, Kommission und Mitgliedstaaten verhandelt. Das Ergebnis soll noch in diesem Jahr vorliegen. Im Unternehmensalltag sind Chatbots & Co. allerdings schon jetzt angekommen. Sie werden insbesondere auch unter Verarbeitung von Kundendaten eingesetzt. Das ruft Verbraucher- und Datenschützer auf den Plan, denn die Anforderungen der DS-GVO müssen jetzt und künftig ungeachtet der entstehenden KI-Regularien eingehalten werden. Offen sind Fragen auf allen Ebenen der DS-GVO, vom Anwendungsbereich, über die Zulässigkeit der Datenverarbeitung bis hin zu den Dokumentations- und Transparenzpflichten, der automatisierten Entscheidung und der Datenschutz-Folgenabschätzung.

Virulent ist KI auch im Arbeitsleben. Die Bundesregierung plant kurzfristig ein Gesetz für den Beschäftigtendatenschutz anzustoßen, muss aber mit Blick auf KI die Vorgaben aus der EU abwarten. Handeln ist erforderlich, weil die aktuelle deutsche Regelung zum Beschäftigtendatenschutz vom EuGH kritisch zu sehen ist. Ohne spezifische Regelungen dazu kann die Situation entgleiten, denn es droht großes Streitpotenzial nicht nur mit Betriebsräten. Schließlich ist es möglich, dass etwa ChatGPT Vorschläge zur Zusammenarbeit von Beschäftigten macht, aber auch zur Vorauswahl von Bewerbern. Formulierungen von Bewerberabsagen oder die Abfassung einer Kündigung oder einer Klage kann der Bot auch übernehmen. Ebenso die Haftungsfrage bei Fehlern und Rechtsverletzungen ist offen. Sie stellt sich hier und insgesamt für Anbieter von Foundation Models ebenso, wie für Anwender und Nutzer generativer KI. Haftet der Arbeitgeber, der (nicht) autorisiert den Bot nutzende Arbeitnehmer, der Anbieter des »Foundation Models« oder etwa Microsoft oder SAP, die die Software einbinden?

Auf der 47. DAFTA im November 2023 werden diese Fragen neben vielen anderen aktuellen Fragen, etwa des transatlantischen Datenverkehrs, des Auskunftsrechts, der Bußgeldpraxis der Aufsichtsbehörden und der Datensicherheit mit Blick auf praxisnahe Lösungen erörtert. Wie in jedem Jahr findet am Vortag der DAFTA das 42. RDV-Forum statt. Schwerpunkte sind das Beschäftigtendatenschutzrecht und die Herausforderungen der Datenregulierung der EU, nicht zuletzt vor dem Hintergrund von Data Act und Data Governance Act, die Unternehmen in ihrem Zusammenwirken mit der DS-GVO vor enorme Herausforderungen stellen.