Mit KI werden automatisierte Entscheidungen alltäglicher: Kreditprüfungen, Vorauswahl von Bewerbungen, Tarifierung, Betrugsprüfung. Das Datenschutzrecht kennt dafür seit Langem eigene Regeln, die mit dem Einsatz von KI an Bedeutung gewinnen.
Wann eine Entscheidung erfasst ist
Erfasst sind Entscheidungen, die ausschliesslich auf automatisierter Bearbeitung beruhen, ohne inhaltliche Prüfung durch einen Menschen, und die für die betroffene Person mit einer Rechtsfolge verbunden sind oder sie erheblich beeinträchtigen. Eine automatische Empfehlung, die ein Mensch tatsächlich prüft, ist keine automatisierte Einzelentscheidung; eine formale Bestätigung ohne echte Prüfung schon.
Schweiz: Information und Anhörung
Nach Art. 21 DSG informiert der Verantwortliche die betroffene Person über eine automatisierte Einzelentscheidung. Auf Antrag gibt er ihr Gelegenheit, ihren Standpunkt darzulegen, und sie kann verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird. Ausnahmen gelten unter anderem, wenn die Entscheidung im Zusammenhang mit einem Vertrag steht und dem Begehren der Person entsprochen wird, oder wenn sie ausdrücklich eingewilligt hat.
EU: das Recht, nicht unterworfen zu werden
Art. 22 DSGVO gibt Betroffenen das Recht, keiner ausschliesslich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden, mit Ausnahmen für Vertrag, gesetzliche Grundlage und ausdrückliche Einwilligung. Auch dann sind Schutzmassnahmen nötig, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung. Der Europäische Gerichtshof hat 2023 entschieden, dass bereits die Ermittlung eines Scores eine automatisierte Entscheidung sein kann, wenn ein Dritter seine Entscheidung massgeblich darauf stützt (Rechtssache C-634/21).
Verhältnis zum AI Act
Der AI Act regelt die Eigenschaften der Systeme, das Datenschutzrecht die Rechte der Betroffenen. Bei Hochrisiko-Systemen, etwa zur Kreditwürdigkeitsprüfung, gelten beide nebeneinander: menschliche Aufsicht nach AI Act und die Rechte nach DSG und DSGVO. Zusätzlich gibt der AI Act Betroffenen bestimmter Hochrisiko-Entscheidungen ein Recht auf Erläuterung.
Praktische Umsetzung
Entscheidungsprozesse mit KI daraufhin prüfen, ob ein Mensch tatsächlich inhaltlich entscheidet. Wo nicht, die Information in die Kommunikation mit Betroffenen aufnehmen, einen Weg für Anhörung und menschliche Überprüfung schaffen und die Angabe in der Datenschutzerklärung ergänzen. Die sektorale Einordnung für Kreditentscheidungen beschreibt der Beitrag zum AI Act im Finanzsektor.