Am 2. August lief die Pflicht ab, ein nationales KI-Reallabor zu haben, und in diesen Reallaboren dürfen für anderes erhobene Daten verarbeitet werden

Was ein Reallabor ist

Es ist eine kontrollierte Umgebung, in der ein KI-System für begrenzte Zeit entwickelt, trainiert, getestet und validiert wird, unter Aufsicht der zuständigen Behörde und nach einem vereinbarten Plan. Es ist keine Freizone: die Regeln gelten weiter, aber der Austausch mit der Behörde findet vor dem Inverkehrbringen statt und nicht danach, und wer teilnimmt, geht mit einer Dokumentation heraus, die die Behörde bereits gesehen hat.

Absatz 3 desselben Artikels fügt etwas hinzu, das oft übersehen wird: Auch der Europäische Datenschutzbeauftragte kann ein Reallabor für Organe, Einrichtungen und sonstige Stellen der Union einrichten und dabei die Rollen und Aufgaben der zuständigen nationalen Behörden wahrnehmen.

Warum das jeden angeht, der mit personenbezogenen Daten arbeitet

Wegen Artikel 59. Im Reallabor dürfen rechtmäßig zu anderen Zwecken erhobene personenbezogene Daten ausschließlich zum Zweck der Entwicklung, des Trainings und des Testens bestimmter KI-Systeme verarbeitet werden. Das ist eine ausdrückliche Weiterverwendungsregel, und davon gibt es im Unionsrecht nicht viele. Sie gilt aber nur, wenn alle aufgeführten Bedingungen erfüllt sind, nicht einige.

Das System muss einem erheblichen öffentlichen Interesse in einem dieser Bereiche dienen

• Öffentliche Sicherheit und öffentliche Gesundheit, einschließlich Erkennung, Diagnoseprävention, Kontrolle und Behandlung von Krankheiten sowie Verbesserung der Gesundheitssysteme.
• Hohes Schutzniveau und Verbesserung der Umweltqualität, Schutz der Biodiversität, Schutz vor Verschmutzung, Maßnahmen des grünen Wandels, Maßnahmen zur Eindämmung des Klimawandels und zur Anpassung daran.
• Nachhaltigkeit der Energieversorgung.
• Sicherheit und Resilienz der Verkehrssysteme und der Mobilität, kritischer Infrastrukturen und Netze.
• Effizienz und Qualität der öffentlichen Verwaltung und öffentlicher Dienste.

Und dann müssen auch alle übrigen Bedingungen erfüllt sein

• Die Daten müssen für die Erfüllung der Anforderungen des Kapitels III Abschnitt 2 erforderlich sein, und diese Anforderungen dürfen sich nicht wirksam mit anonymisierten, synthetischen oder sonstigen nicht personenbezogenen Daten erfüllen lassen.
• Es müssen wirksame Überwachungsmechanismen bestehen, um hohe Risiken für die Rechte und Freiheiten der betroffenen Personen im Sinne des Artikels 35 DSGVO zu erkennen, sowie Reaktionsmechanismen, um sie umgehend zu mindern und die Verarbeitung erforderlichenfalls zu beenden.
• Die Daten müssen sich in einer funktional getrennten, isolierten und geschützten Verarbeitungsumgebung unter der Kontrolle des zukünftigen Anbieters befinden, zugänglich nur für befugte Personen.
• Die ursprünglich erhobenen Daten dürfen nur nach dem Datenschutzrecht der Union weitergegeben werden, und im Reallabor erzeugte personenbezogene Daten dürfen es nicht verlassen.
• Die Verarbeitung darf weder zu Maßnahmen oder Entscheidungen führen, die die betroffenen Personen betreffen, noch die Ausübung ihrer Rechte beeinträchtigen.

Was jetzt zu fragen ist

• Ob das Reallabor des eigenen Staates einsatzbereit ist und zu welchen Bedingungen man hineinkommt: die Frist steht in der Verordnung, die Umsetzung ist von Staat zu Staat verschieden und bei der eigenen Behörde zu prüfen.
• Ob der Kunde ein KI-Vorhaben in einem der fünf Bereiche erwägt, denn dann ist das Reallabor keine Zierde, sondern der am besten vertretbare Weg.
• Ob jemand im Unternehmen bereits geschrieben hat, man werde auf vorhandenen Daten trainieren, und sich dabei auf die KI-Verordnung beruft: dann ist es Zeit, Artikel 59 Zeile für Zeile nachzulesen.