Heute veröffentlichte die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit für die Bundesverwaltung eine Handreichung “KI in Behörden - Datenschutz von Anfang an mitdenken”. Stand der Handreichung ist 2025-12-22.
Nicht überraschend: Verantwortlich für die personenbezogenen Daten bei Ein- und Ausgaben ist die das LLM einsetzende Behörde, was ausdrücklich auch memorisierte Daten betrifft. Auch eine Datenschutz-Folgenabschätzung ist laut BfDI in den allermeisten Fällen bei KI-Einsatz erforderlich.
Betroffenenrechte wie Löschung oder Korrektur sind beim Einsatz fremder LLM ohne neues Training kaum umsetzbar. BfDI schlägt hier vor
- Kap. 2.10.1: “Unrichtige personenbezogene Daten in Ausgaben sind zu verhindern, beispielsweise durch Filter, und gegebenenfalls vor ihrer Weiterverwendung zu berichtigen”
- Kap. 2.10.2: “Die sicherste Lösung wäre das regelmäßige Ersetzen des entsprechenden KI-Modells durch ein neues KI-Modell, welches ohne die zu löschenden Trainingsdaten trainiert wurde. Alternativ kommen auch Methoden des Machine Unlearnings in Betracht. […] sind geeignete technische und organisatorische Maßnahmen, z. B. Ein- und Ausgabefilter, als Übergangslösung einzusetzen”
BfDI hält also Filtermechanismen in diesen Fällen für ausreichend. Wie Gerichte dies sehen, insbesondere der EuGH (der sich ja zum Thema “löschen vs ausblenden äußerte”), lasse ich mal dahingestellt. 😉
URLs:
- Downloadseite:https://www.bfdi.bun … ng-KI.html?nn=251944
- pdf-Datei: https://www.bfdi.bun … =publicationFile&v=1