Marcus Belke
CEO de 2B Advice GmbH, moteur de l'innovation dans le domaine de la vie privée conformité et de la gestion des risques, et a dirigé le développement d'Ailance, la nouvelle génération de conformité plateforme.
Avec l'émergence de technologies d'IA performantes, les exigences envers les responsables de la protection des données augmentent également. En effet, les données sont le carburant de l'IA moderne et les responsables de la protection des données se trouvent à l'intersection de l'innovation, de la gouvernance des données et du risque réglementaire. Il en résulte un champ de tensions : les RGPD exige une stricte Minimisation des données, während KI-Systeme oft auf massiven Datenmengen basieren, um bessere Ergebnisse zu erzielen. Organisationen müssen diese gegensätzlichen Anforderungen ausbalancieren. Datenschutzbeauftragte sollten dabei eine Schlüsselrolle spielen und Leitplanken für einen rechtmäßigen, ethischen und vertrauenswürdigen KI-Einsatz setzen.
Des gestionnaires de données aux conseillers stratégiques en IA
Le rôle des responsables de la protection des données et ConformitéLe rôle des responsables de l'IA évolue sur le plan stratégique. Alors qu'ils agissaient auparavant principalement en tant que gestionnaires de données, ils sont désormais appelés à devenir des conseillers en IA à part entière. Le règlement sur l’IA souligne cette évolution : il définit des règles fondées sur les risques pour les systèmes d’IA et oblige les entreprises à mettre en place des structures de gouvernance de l’IA adaptées. Ainsi, l’article 4 du règlement sur l’IA exige expressément que les fournisseurs et les utilisateurs de systèmes d’IA garantissent un „ niveau suffisant de compétences en matière d’IA “ au sein de leur personnel, quel que soit le niveau de risque du système d’IA. Cette obligation de formation concerne non seulement les collaborateurs internes, mais aussi les acteurs externes tels que les sous-traitants ou les prestataires de services. Les délégués à la protection des données (DPD) sont donc chargés de veiller à ce que l’IA-Conformité à les intégrer dans leur champ d'activité et à actualiser en permanence leurs connaissances.
Même si de nombreux délégués à la protection des données pensent qu'ils n'ont pas l'expertise technique nécessaire pour s'impliquer dans les questions d'IA : Des connaissances approfondies en programmation ou en informatique ne sont toutefois pas nécessaires à leur fonction. Il est plus important d'être prêt à reconnaître l'IA comme faisant partie de son domaine de compétence. En effet, presque toutes les applications modernes d'IA traitent des données personnelles, souvent sensibles. Si les délégués à la protection des données ne revendiquent pas activement cet espace de conception, d'autres parties prenantes internes le feront. Dans ce cas, il resterait RGPD son mandat principal, mais elle deviendrait une sous-discipline d'une gouvernance de l'IA plus large, pilotée par d'autres. Son rôle et son influence en tant que DPD diminueraient. Et ce, à une époque où leur participation est plus importante que jamais.
En effet, les autorités de contrôle soulignent que la gouvernance de l'IA n'est pas une question purement technique. Ainsi, l'ICO britannique, avec ses initiatives en matière d'IA,Lignes directrices ciblé sur Responsable dans Conformité- les différents rôles, y compris celui du délégué à la protection des données, même si certains termes techniques nécessitent l'avis d'experts techniques. La direction et les délégués à la protection des données ont la responsabilité de comprendre les questions de protection des données liées à l’IA et ne peuvent pas simplement déléguer cette tâche aux équipes de science des données. Les délégués à la protection des données n’ont donc pas besoin de devenir des ingénieurs en IA, mais doivent en savoir suffisamment pour poser les bonnes questions et remettre en question de manière compétente les décisions prises par les services opérationnels.
KI-Kompetenz + Rechtsexpertise: Schlüssel für zukunftsfähige DSBs
Der zunehmende Einsatz von KI verschärft bestehende Datenschutz- und Sicherheitsrisiken erheblich. Verstöße können folgenschwerer ausfallen, die Auswirkungen sind weitreichender und die Kontrolle wird komplexer, da KI-Systeme oft undurchschaubar agieren. Zwar bietet die Datenschutz-Grundverordnung einen Schutzrahmen, doch allein reicht dieser nicht aus, um die spezifischen KI-Risiken vollumfänglich zu bewältigen. Genau deshalb ist das klassische risikobasierte Denken von Datenschutzbeauftragten heute unverzichtbar.
KI-Anwendungen können Fehler oder Missbräuche in größerem Maßstab produzieren, beispielsweise systematische Diskriminierung durch Bias in Trainingsdaten oder unkontrollierte automatisierte Entscheidungen. So können KI-Modelle bestehende Verzerrungen verstärken und bestimmte Gruppen benachteiligen. Ein Beispiel hierfür sind fehlkalibrierte Gesichtserkennungssysteme. Auch die Black-Box-Natur vieler KI-Algorithmen erschwert es, nachzuvollziehen, warum eine Entscheidung getroffen wurde. Im Zweifel beeinträchtigt dies die Rechenschaftspflicht. Hinzu kommt, dass Modelle nach dem Deployment einem Leistungsverfall (Model Drift) unterliegen können, wenn sich Daten oder Umgebungen ändern. Für Unternehmen bedeutet dies: „Privacy by Design” und Datenschutz-Folgenabschätzungen müssen noch früher ansetzen und umfassender gedacht werden. DSBs sollten die Prinzipien des Datenschutzes von Beginn an in KI-Projekte einbringen, um Risiken proaktiv zu mindern, bevor Systeme produktiv eingesetzt werden.
Diese Notwendigkeit wird durch die EU-Vorgaben unterstrichen. So verlangt die KI-Verordnung für „hochriskante” KI-Systeme strenge Maßnahmen entlang des gesamten Lebenszyklus. Dazu zählen beispielsweise Risikobewertungen, Risikomanagement, die Protokollierung aller Vorgänge und die Benennung einer verantwortlichen Person für die Konformitätsüberwachung. Werden KI-Systeme ohne ausreichende Schulung des Personals oder angemessene Kontrollen eingeführt, kann dies als fahrlässiges Handeln gewertet werden, was im Falle von Verstößen zu höheren Bußgeldern führen kann. Unternehmen, die die Chancen von KI nutzen wollen, sind daher gut beraten, auf die Expertise ihres Datenschutzbeauftragten zu setzen. Dessen klassisches Handwerkszeug – etwa das Bewerten von Risiken, das Implementieren von Privacy by Design und das Durchführen von DSFAs – ist gefragter denn je. Es muss lediglich an die komplexe KI-Umgebung angepasst werden.
Conseil de lecture : Réussir la gouvernance de l'IA
Was DPOs über KI wissen sollten (Auswahl)
Um ihrer erweiterten Rolle gerecht zu werden, müssen Datenschutzbeauftragte über ein grundlegendes Verständnis von KI-Systemen und deren Risiken verfügen. Wichtige Wissensfelder sind unter anderem:
- Funktionsweise und Kategorien von KI-Systemen: Wie KI-Modelle entwickelt, trainiert und eingesetzt werden. Dazu gehört ein Überblick über klassische Machine-Learning-Modelle, Generative KI (z. B. LLMs) sowie Hochrisiko-KI-Systeme, die unter die KI-Verordnung fallen. DSBs sollten die vier Risikostufen der KI-Verordnung kennen und wissen, in welche Kategorie welche Anwendungen fallen.
- Zentrale technische Begriffe: Verständnis von Begriffen wie Datensatz, Training, Modell-Inferenz (Schlussfolgerung ziehen) sowie Input/Output von KI-Systemen. Nur so lassen sich Datenflüsse und Verarbeitungen korrekt bewerten. Wichtig ist beispielsweise zu wissen, wie ein Trainingsdatensatz die Performance und Bias eines Modells beeinflussen kann.
- Lebenszyklus von KI-Systemen: Die Phasen reichen von der Entwicklung und dem Training eines Modells über Deployment und Nutzung bis hin zum laufenden Monitoring. In jeder Phase können unterschiedliche Risiken auftreten, beispielsweise Datenschutzeinstellungen in der Entwicklungsphase, Datenqualität beim Training, Modell-Drift während des Betriebs oder Incident Response beim Monitoring.
- Datenqualität und -ethik: Wie Trainings- und Testdaten das Verhalten von KI-Modellen prägen. DSBs sollten auf die Herkunft, Repräsentativität und Anonymisation von Daten achten, um Risiken wie Diskriminierung oder Re-Identifizierung zu minimieren. Auch Konzepte wie Halluzinationen (von generativen Modellen erfundene Inhalte) oder Datenverzerrung/Bias müssen ihnen geläufig sein.
- Typische KI-bezogene Risiken: Dazu gehören neben Bias und Halluzinationen beispielsweise Modell-Drift (schleichende Verschlechterung), Intransparenz durch komplexe Black-Box-Modelle, (Un-)Fairness der Ergebnisse sowie eine übermäßige Abhängigkeit von automatisierten Entscheidungen (Automation Bias). Diese Risiken gilt es aus datenschutzrechtlicher Perspektive zu kennen und bewerten zu können.
- Obligations de documentation et de preuve : Le règlement sur les IC exige de nombreuses Documentation et Transparence. Les DPD doivent savoir quels enregistrements doivent être conservés pour les systèmes d'IA (par exemple, les journaux d'événements, les rapports techniques, les rapports de sécurité, etc. Documentation) und welche Auskunfts- und Erklärungspflichten gegenüber Betroffenen bestehen. Beispielsweise haben Personen das Recht, informiert zu werden, wenn sie mit KI interagieren, und Entscheidungen durch KI anzufechten.
Erste Schritte: Wie DPOs KI-Kompetenz aufbauen können
Niemand erwartet, dass man über Nacht zum KI-Experten wird. Es gibt jedoch praxisnahe Wege, wie sich Datenschutzbeauftragte sich schrittweise das nötige Rüstzeug aneignen können:
- Utiliser des démonstrations internes d'IA : Nehmen Sie an hausinternen KI-Demonstrationen oder Onboarding-Sessions für neue KI-Tools teil. So bekommen Sie ein Gespür für Anwendungsfälle und können frühzeitig Fragen stellen, etwa zu Datenquellen, eingesetzten Modellen und Vorbeugung von Bias.
- Ateliers avec des équipes de spécialistes : Suchen Sie den Austausch mit Data-Science-, IT- oder Security-Teams in Ihrem Unternehmen. Gemeinsame Workshops oder Brown-Bag-Meetings können dabei helfen, gegenseitig Wissen zu vermitteln. Stellen Sie technische Grundlagenfragen (z.B. „Wie wird unser KI-Modell trainiert und welche Daten fließen ein?“).
- Obtenir des informations de la part des fabricants : Profitez des sessions proposées par les fournisseurs ou les éditeurs d'IA (par exemple, les webinaires organisés par les éditeurs d'outils d'IA, Cloud-fournisseurs, etc.) afin d'en savoir plus sur l'architecture des systèmes utilisés. Comprenez d'où proviennent les données, comment elles circulent, où elles sont stockées et quelles sont les interfaces existantes.
- Eigene KI-Anwendungsfälle analysieren: Schauen Sie sich die bereits laufenden KI-Projekte in Ihrer Organisation genauer an. Wo gibt es kritische Datenflüsse? Welche Art von personenbezogenen Daten wird genutzt und sind das wirklich die minimal erforderlichen? Treten bestimmte Risikotypen (Bias, Ungenauigkeiten, fehlende Erklärbarkeit) wiederholt auf?
- Rejoindre les organes de gouvernance : Wenn Ihr Unternehmen bereits ein internes KI-Steuerungsgremium oder ein AI-Governance-Board hat, versuchen Sie dort mitzuwirken oder zumindest die Protokolle zu verfolgen. So sind Sie bei wichtigen Entscheidungen eingebunden und können die Datenschutzperspektive früh einbringen.
- Früh in Projekte einsteigen: Bestehen Sie darauf, bereits bei der Problemdefinition eines KI-Vorhabens dabei zu sein. Klären Sie gemeinsam mit den Fachbereichen, welches Geschäftsproblem gelöst werden soll bevor die Datenbeschaffung und Modellwahl erfolgen. Bringen Sie die Frage ein, ob dasselbe Ziel vielleicht mit weniger personenbezogenen Daten erreicht werden kann und welche Datenfelder wirklich unverzichtbar sind. Diese Privacy-by-Design-Impulse am Anfang sparen später viel Aufwand.
DPD en tant que responsable de l'intelligence artificielle
Zwar sieht die KI-Verordnung keine verpflichtende Rolle eines „KI-Beauftragten” vor, doch Unternehmen müssen interne Zuständigkeiten schaffen, um den Pflichten der Verordnung nachzukommen. Einige Organisationen berufen daher freiwillig einen AI Officer, der die Einhaltung der KI-Regeln koordiniert. Ein gut informierter Datenschutzbeauftragter kann diese Funktion jedoch oft mitübernehmen oder eng mit einem AI Officer zusammenarbeiten, was sich positiv auf eine integrierte Governance auswirkt.
In jedem Fall gilt es, die Brücke zwischen Recht und Technik zu schlagen. Datenschutzbeauftragte mit Datenschutz- und KI-Know-how werden für ihre Organisation unentbehrlich, da sie juristische Anforderungen in den technischen Kontext einordnen und so Risiken frühzeitig identifizieren können.
Sie möchten Ihre Daten fit für KI machen und schützen?
Avec Ailance DSB nous mettons à votre disposition des délégués à la protection des données certifiés qui, non seulement RGPD- sûr, mais aussi posséder les compétences appropriées en matière d'IA et vous accompagner activement à travers les exigences du règlement IA.
Marcus Belke est CEO de 2B Advice ainsi que juriste et expert en IT pour Protection des données et numérique Conformité. Il écrit régulièrement sur la gouvernance de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French