Art. 22 DSGVO und AI Act: Rechtliche Steuerung automatischer Entscheidungen

Das Wichtigste in Kuerze

• Art. 22 DSGVO verbietet Entscheidungen, die ausschließlich automatisiert und rechtlich wirksam sind.
• Der AI Act verlangt für Hochrisiko‑KI eine wirksame menschliche Aufsicht.
• Eine echte Prüfungsfunktion ist nötig, um die Vorgaben beider Regelwerke zu erfüllen.

Art. 22 DSGVO und der AI Act bilden zusammen den rechtlichen Rahmen für automatisierte Entscheidungen in Unternehmen. Während die Datenschutz‑Verordnung den Schutz einzelner Personen bei konkreten Entscheidungen sicherstellt, ergänzt der KI‑Regulierungsrahmen die Vorgaben um systemische Risikosteuerung.

Art. 22 DSGVO im Detail

Der erste Absatz von Art. 22 DSGVO gewährt Betroffenen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Die Norm setzt drei kumulative Voraussetzungen voraus, von denen die reine Automatisierung am schwierigsten zu prüfen ist. Gerichte haben bereits betont, dass bereits die Erstellung eines Wahrscheinlichkeits‑Scores durch eine Auskunftei als automatisierte Einzelentscheidung gelten kann, sofern dieser Score für die finale Entscheidung eines Dritten maßgeblich ist.

AI Act als ergänzender Ansatz

Im Gegensatz zur DSGVO richtet sich der AI Act präventiv an Anbieter und Betreiber von Hochrisiko‑KI‑Systemen. Artikel 14 verpflichtet sie, eine wirksame menschliche Aufsicht zu implementieren. Diese Aufsicht geht über eine formale Kontrolle hinaus und verlangt, dass die verantwortliche Person befugt und kompetent ist, das Ergebnis zu korrigieren. Der AI Act definiert damit, wann eine Beteiligung als substanziell gilt, ohne die eigenständige Schutzfunktion von Art. 22 DSGVO aufzuheben.

Was bedeutet substanzielle Aufsicht in der Praxis?

Der Europäische Datenschutzausschuss (EDPB) beschreibt, dass eine bloße Bestätigung („Rubber Stamping“) nicht ausreicht. Stattdessen muss die prüfende Instanz die Plausibilität der automatisierten Resultate eigenständig bewerten und bei Bedarf eingreifen können. Beispiele zeigen, dass im Bewerbungsprozess häufig nur ein Klick auf „Bestätigen“ erfolgt, obwohl die Entscheidung technisch vom Algorithmus stammt. Eine echte menschliche Aufsicht würde hier eine inhaltliche Prüfung und mögliche Korrektur des Scores erfordern.

Integration beider Regelwerke im Unternehmen

Für Unternehmen bedeutet die Koexistenz beider Vorgaben eine doppelte Compliance‑Pflicht. Zunächst sollten alle Prozesse identifiziert werden, die unter Art. 22 DSGVO fallen, etwa Kreditwürdigkeitsprüfungen oder automatisierte Risikobewertungen. Anschließend ist zu prüfen, welche eingesetzten KI‑Systeme als Hochrisiko‑Systeme nach dem AI Act eingestuft werden. Auf dieser Basis lässt sich ein integriertes Aufsichtsmodell entwickeln, das die Datenschutz‑Folgenabschätzung nach Art. 35 DSGVO mit der technischen Dokumentation des AI Acts verknüpft. Entscheidend ist dabei die enge Zusammenarbeit von Datenschutz‑, Rechts‑ und IT‑Abteilungen sowie die Schulung der Aufsichtspersonen, um die geforderte Kompetenz sicherzustellen.

Fazit

Art. 22 DSGVO bleibt ein zentraler Schutz gegen rein automatisierte Entscheidungen, doch seine Wirksamkeit hängt zunehmend von einer technologisch informierten Auslegung der menschlichen Beteiligung ab. Der AI Act liefert die systemische Ergänzung, indem er Transparenz, Datenqualität und bedeutsame menschliche Kontrolle auf Systemebene fordert. Die Kombination beider Regelwerke schafft einen umfassenden Rahmen, der Unternehmen dabei unterstützt, KI‑gestützte Prozesse rechtskonform zu gestalten.

Was die Quelle offen lässt

Die Quelle liefert keine konkreten Zahlen zu bereits betroffenen Unternehmen, keine detaillierten Checklisten für die Umsetzung und keine verbindlichen Fristen für die Erfüllung der AI‑Act‑Pflichten.