KI-Glossar
Besondere Kategorien personenbezogener Daten
Besondere Kategorien personenbezogener Daten sind besonders sensible Informationen, etwa Gesundheitsdaten, biometrische oder genetische Daten, politische Meinungen, religiöse Überzeugungen oder Angaben zur sexuellen Orientierung. Sie unterliegen nach Art. 9 DSGVO einem erhöhten Schutz.
Art. 4a KI-VO enthält für die Erkennung und Korrektur bestimmter Verzerrungen eine eng begrenzte Ausnahme. Die Vorschrift ist keine allgemeine Erlaubnis, sensible Daten für Entwicklung oder Betrieb von KI zu verwenden.
Kategorien besonderer personenbezogener Daten
Zu den Kategorien zählen:
- Genetische, biometrische und Gesundheitsdaten
- Daten über die rassische und ethnische Herkunft
- Politische Meinungen
- Religiöse oder weltanschauliche Überzeugungen
- Angaben über die Gewerkschaftsangehörigkeit
- Daten zum Sexualleben oder der sexuellen Orientierung
Erkennung und Korrektur von Verzerrungen
Anbieter von Hochrisiko-KI-Systemen dürfen besondere Kategorien personenbezogener Daten nach Art. 4a Abs. 1 KI-VO ausnahmsweise verarbeiten, soweit dies für die Erkennung und Korrektur von Verzerrungen im Sinne von Art. 10 Abs. 2 Buchstaben f und g KI-VO unbedingt erforderlich ist.
Nach Art. 4a Abs. 2 KI-VO kann die Ausnahme unter denselben Schutzbedingungen außerdem Anbieter und Betreiber anderer KI-Systeme und KI-Modelle sowie Betreiber von Hochrisiko-KI-Systemen erfassen. Voraussetzung ist insbesondere, dass mögliche Verzerrungen die Gesundheit oder Sicherheit von Personen beeinträchtigen, Grundrechte nachteilig berühren oder zu unionsrechtlich verbotener Diskriminierung führen können. Eine Verpflichtung, solche sensiblen Daten zur Bias-Erkennung zu verarbeiten, wird dadurch nicht begründet.
Strenge Schutzvorkehrungen
Die Verarbeitung ist nur zulässig, wenn die Verzerrungen nicht wirksam mit anderen Daten – beispielsweise synthetischen oder anonymisierten Daten – erkannt und korrigiert werden können. Art. 4a KI-VO verlangt darüber hinaus insbesondere:
- technische Beschränkungen gegen eine Weiterverwendung sowie moderne Sicherheits- und Datenschutzmaßnahmen einschließlich Pseudonymisierung,
- strenge und dokumentierte Zugriffskontrollen, sodass nur befugte und zur Vertraulichkeit verpflichtete Personen Zugang erhalten,
- keine Übermittlung, Übertragung oder anderweitige Zugänglichmachung an Dritte,
- die Löschung, sobald die Verzerrung korrigiert oder die Speicherfrist erreicht ist, und
- eine nachvollziehbare Dokumentation der unbedingten Erforderlichkeit in den Aufzeichnungen über Verarbeitungstätigkeiten.
DSGVO gilt zusätzlich
Art. 4a KI-VO ersetzt die datenschutzrechtlichen Anforderungen nicht. Sind personenbezogene Daten betroffen, müssen zusätzlich die DSGVO beziehungsweise die jeweils anwendbaren europäischen Datenschutzvorschriften eingehalten werden. Weitere Einzelheiten zu Definition, Verarbeitungsverbot und Ausnahmen enthält der Begriff „Besondere Kategorien personenbezogener Daten“ im Datenschutz-Glossar des DSGVO-Portals.
KI-Glossar