Von der DSGVO zum KI-Gesetz: Die Entwicklung der Daten- und KI-Sicherheit in der EU

Der EU-AI-Act ist das weltweit erste umfassende Gesetz zur Regelung künstlicher Intelligenz. Aufbauend auf der DSGVO und anderen digitalen Vorschriften definiert er, wie Organisationen KI-Systeme verantwortungsvoll entwickeln, einsetzen und absichern müssen. Doch um zu verstehen, wie dies gelingen kann, … Einhaltung des EU-KI-Gesetzesund wie diese Compliance-Bemühungen mit Folgendem zusammenhängen KI-DatensicherheitWir müssen seine Entwicklung im Kontext des umfassenderen digitalen Governance-Rahmens der EU nachverfolgen.

Die Stiftung: Der nachhaltige Einfluss der DSGVO auf die Datensicherheit im Bereich KI

Die Datenschutz-Grundverordnung (DSGVO) ist nach wie vor der Eckpfeiler der EU-Digitalregulierung. Ihre Kernprinzipien – wie Transparenz, Datenminimierung sowie Integrität und Vertraulichkeit – legen die grundlegenden Anforderungen fest, auf denen jede nachfolgende Verordnung aufbaut.

Für die Auslegung des KI-Gesetzes sind einige Bestimmungen der DSGVO von besonderer Bedeutung:

Artikel 22 befasst sich mit automatisierter Entscheidungsfindung und Profilerstellung und beeinflusst maßgeblich den Ansatz des KI-Gesetzes hinsichtlich der Anforderungen an die menschliche Aufsicht über Hochrisikosysteme. Trifft ein KI-System Entscheidungen mit erheblichen Auswirkungen auf Einzelpersonen, fordern sowohl die DSGVO als auch das KI-Gesetz Schutzmaßnahmen, darunter eine aussagekräftige menschliche Überprüfung.

Ebenso liefert Artikel 35 der DSGVO zu Datenschutz-Folgenabschätzungen (DSFA) die methodische Vorlage für den Risikomanagementrahmen des KI-Gesetzes. Organisationen, die bereits DSFA für die Verarbeitung risikoreicher Daten durchführen, werden die Konformitätsbewertungsverfahren des KI-Gesetzes wiedererkennen. Beide erfordern eine systematische Bewertung der Risiken für Grundrechte, die Dokumentation von Risikominderungsmaßnahmen und eine fortlaufende Überwachung.

Schließlich hat sich der Grundsatz der DSGVO „Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen“ (Artikel 25) zu „KI-Sicherheit durch Technikgestaltung“ weiterentwickelt. DSPM für KI Diese Strategien setzen dieselben Ideen um: Datenschutz und Zugriffskontrollen werden von Grund auf in die Systeme integriert.

Verbotene Praktiken: Definition ethischer Grenzen für KI

Wie seine Vorgängergesetze enthält auch das KI-Gesetz klare Verbote zum Schutz der Grundrechte. Artikel 5 des KI-Gesetzes verbietet KI-Praktiken, die inakzeptable Risiken bergen, darunter manipulative Systeme, die Schwachstellen ausnutzen, soziale Bewertungssysteme von Regierungen, biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit wenigen Ausnahmen) und biometrische Kategorisierung anhand sensibler Merkmale.

Diese Verbote leiten sich direkt von Artikel 9 der DSGVO ab, der die Verarbeitung besonderer Kategorien personenbezogener Daten, einschließlich biometrischer Daten zur eindeutigen Identifizierung von Personen, einschränkt, sowie von Artikel 28 des Gesetzes über digitale Dienste (DSA), der zielgerichtete Werbung auf Basis sensibler Daten oder die Ansprache von Minderjährigen verbietet. Indem das KI-Gesetz Systeme zur Emotionserkennung in bestimmten Kontexten verbietet oder KI untersagt, die menschliches Verhalten in schädlicher Weise manipuliert, erweitert es die bereits im Datenschutz und in der Plattformregulierung etablierte Schutzlogik.

Artikel 34 des DSA, der sehr große Online-Plattformen zur Bewertung systemischer Risiken, einschließlich der Auswirkungen auf den öffentlichen Diskurs und demokratische Prozesse, verpflichtet, gibt auch Aufschluss darüber, wie die Verbote des KI-Gesetzes hinsichtlich KI-Systemen, die demokratische Werte gefährden, auszulegen sind. Die Einhaltung des EU-KI-Gesetzes erfordert von Organisationen, die von den Regulierungsbehörden gezogenen klaren Grenzen hinsichtlich Praktiken zu respektieren, die die Menschenwürde und die demokratische Gesellschaft bedrohen.

Risikobasierte Regulierung: Der Kern der Einhaltung des EU-KI-Gesetzes

Risikobasierte Regulierung ist wohl das bedeutendste gemeinsame Merkmal der digitalen Gesetze der EU. Die DSGVO basiert implizit auf einem risikobasierten Modell und fordert verstärkte Schutzmaßnahmen (wie Datenschutz-Folgenabschätzungen) für Verarbeitungen, die ein hohes Risiko für die Rechte und Freiheiten von Einzelpersonen bergen. Das DSA macht dies mit seinem gestaffelten Ansatz explizit und legt sehr großen Online-Plattformen, deren Größe systemische Risiken birgt, die strengsten Verpflichtungen auf.

Das AI Act übernimmt diese risikobasierte Architektur am umfassendsten und schafft vier Risikostufen: inakzeptabel (verboten), hoch (stark reguliert), begrenzt (Transparenzanforderungen) und minimal (weitgehend unreguliert).

Für KI-Systeme mit hohem Risiko schreibt das KI-Gesetz Risikomanagementsysteme, Datengovernance-Protokolle, technische Dokumentation, Transparenz, menschliche Aufsicht und Genauigkeitsanforderungen vor. Diese Verpflichtungen entsprechen weitgehend den Anforderungen der DSGVO an die Verarbeitung risikoreicher Daten. Fachleute, die mit der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) vertraut sind, erkennen den systematischen Ansatz: Risiken identifizieren, Schweregrad und Eintrittswahrscheinlichkeit bewerten, Risikominderungsmaßnahmen implementieren, alles dokumentieren und kontinuierlich überwachen.

Eine effektive KI-Sicherheitsplattform kann dazu beitragen, diesen Prozess zu automatisieren und die Transparenz über Modelle, Datensätze und Umgebungen hinweg zu vereinheitlichen, um eine kontinuierliche Risikoüberwachung zu gewährleisten.

Transparenz und Rechenschaftspflicht im KI-Betrieb

Der Grundsatz der Transparenz ist auch in den EU-Digitalvorschriften verankert. Die DSGVO verpflichtet Unternehmen, Einzelpersonen darüber zu informieren, wie ihre personenbezogenen Daten verarbeitet werden, einschließlich Informationen über automatisierte Entscheidungsfindung. Das Gesetz über digitale Märkte (Digital Markets Act, DMA) verpflichtet Gatekeeper zur Transparenz hinsichtlich ihrer Ranking- und Ergebnisdarstellung. Das DSA schreibt vor, dass Plattformen die Funktionsweise ihrer Empfehlungssysteme erläutern und Nutzern mindestens eine nicht-profilbasierte Alternative anbieten müssen.

Das KI-Gesetz fasst diese Transparenzpflichten in einem umfassenden Rahmen zusammen. Die Einhaltung des EU-KI-Gesetzes verpflichtet Anbieter von risikoreichen KI-Systemen zur Transparenz gegenüber Anwendern und Betroffenen. Dies umfasst die Offenlegung, wann Menschen mit KI-Systemen interagieren und wie automatisierte Entscheidungen getroffen werden.

Für allgemeine KI-Modelle (wie große Sprachmodelle) müssen Anbieter die Trainingsdatenquellen, die Rechenressourcen und die Modellbeschränkungen dokumentieren. Dieses Maß an Offenlegung entspricht den Anforderungen der DSA an die Plattformtransparenz und gewährleistet, dass Algorithmen und KI-Modelle der öffentlichen Kontrolle unterliegen.

Daten-Governance: Die Grundlage für sichere und konforme KI-Systeme

KI-Systeme sind grundlegend datengetrieben, weshalb die Schnittstelle zwischen dem KI-Gesetz und den Datenschutzbestimmungen besonders wichtig ist. Das Datenschutzgesetz (Data Governance Act, DGA) und das Datengesetz legen strenge Bedingungen für den Zugriff auf, die Weitergabe und die Verarbeitung von Daten fest, die im KI-Training verwendet werden.

Organisationen, die KI entwickeln oder einsetzen, müssen Folgendes sicherstellen:

• Rechtmäßiger Datenzugriff gemäß dem Datenschutzgesetz für IoT- und vernetzte Geräte.
  
• Transparenzpflichten bei Tätigkeit als Datenintermediäre gemäß DGA.
  
• Einhaltung der DMA-Beschränkungen, wenn sie als Gatekeeper Plattformdaten verarbeiten.
  

DSPM für KI spielt hier eine entscheidende Rolle, indem es Einblick in den Speicherort sensibler Daten, die Zugriffsberechtigten und deren Weg in KI-Modelle bietet. Dies stärkt nicht nur die Compliance, sondern beugt auch Datenlecks und -missbrauch vor.

Praktische Implikationen: Das KI-Gesetz ganzheitlich lesen

Für Praktiker erfordert das Verständnis des KI-Gesetzes, dass es als Teil dieses umfassenderen regulatorischen Ökosystems betrachtet wird. Um die EU-KI-Gesetzgebung vollständig zu erfüllen, müssen Organisationen mehrere regulatorische Verpflichtungen aufeinander abstimmen:

• DSGVO: Rechtmäßige Datenverarbeitung und Datenschutzmaßnahmen
  
• DSA: Inhaltsmoderation und algorithmische Transparenz
  
• DMA: Plattformverantwortung und kartellrechtliche Datennutzung
  
• DGA & Data Act: Faire Datenweitergabe und Zugriffsrechte
  

Die einzelnen Gesetze verstärken sich gegenseitig und bilden so einen kohärenten Rahmen für digitale Rechte, der Innovation mit Vertrauen und Sicherheit in Einklang bringt.

Fazit: Die Zukunft der KI-Datensicherheit in der EU

Der Ansatz der EU zur digitalen Regulierung, von der DSGVO bis zum KI-Gesetz, spiegelt eine kohärente Vision wider: Technologie muss der Menschenwürde, den Grundrechten und den demokratischen Werten dienen. Jede Verordnung befasst sich mit einem anderen Aspekt der digitalen Wirtschaft, doch sie alle basieren auf gemeinsamen Prinzipien: Transparenz, Rechenschaftspflicht und risikobasierte Verhältnismäßigkeit.

Für Organisationen, die KI-Systeme im EU-Markt einsetzen oder diesen beeinflussen, bedeutet diese Vernetzung, dass Compliance nicht isoliert betrachtet werden kann. Die Einhaltung des EU-KI-Gesetzes erfordert Kenntnisse der Verarbeitungsgrundsätze der DSGVO, der Plattformverpflichtungen des DSA, der Gatekeeper-Beschränkungen des DMA sowie der Bestimmungen des Data Act, die Ihre Datenquellen regeln. Im Zusammenspiel bilden diese Gesetze einen integrierten Rahmen, in dem sich die einzelnen Regelungen gegenseitig verstärken und präzisieren.

Moderne KI-Sicherheitsplattformen wie Cyera ermöglichen es Unternehmen, diese Prinzipien in die Praxis umzusetzen, indem sie sensible Daten abbilden, den Zugriff nach dem Prinzip der minimalen Berechtigungen durchsetzen und die Compliance-Automatisierung in KI-Workflows integrieren.

Häufig gestellte Fragen

Was ist der EU-KI-Gesetzentwurf?
Es handelt sich um die umfassende EU-Verordnung zur Regelung von KI-Systemen, die diese nach Risiko einstuft und strenge Regeln für Anwendungen mit hohem Risiko vorsieht.

In welchem ​​Verhältnis steht die DSGVO zum KI-Gesetz?
Das KI-Gesetz baut auf den Datenschutzgrundsätzen der DSGVO auf und erweitert sie auf algorithmische Entscheidungsfindung, KI-Risikomanagement und Transparenz.

Was ist DSPM für KI?
Das Data Security Posture Management (DSPM) für KI überwacht kontinuierlich, wie sensible Daten in und durch KI-Modelle fließen, um die Einhaltung der Vorschriften zu gewährleisten und das Offenlegungsrisiko zu reduzieren.

Wer muss das KI-Gesetz einhalten?
Jede Organisation, die KI-Systeme in der EU entwickelt oder einsetzt oder KI-gestützte Dienstleistungen für EU-Bürger anbietet, fällt unter ihre Gerichtsbarkeit.

Sind Sie bereit, Ihre KI-Sicherheits- und Compliance-Strategie zu stärken?

Die Einhaltung des EU-KI-Gesetzes erfordert Transparenz, Governance und Kontrolle über Ihr gesamtes Datenökosystem. Die KI-Sicherheitsplattform von Cyera unterstützt Sie bei der Integration von DSGVO, KI-Gesetz und Datenschutzgesetz und schützt sensible Daten bei gleichzeitiger Förderung von Innovationen. 👉 Demo anfordern Erfahren Sie, wie Cyera Ihrem Unternehmen helfen kann, sicher, gesetzeskonform und zukunftsfähig zu bleiben.