Kurzfassung für den Datenschutzbeauftragten
Italien schafft die von der KI-Verordnung verlangte nationale Governance. Die Datenschutzbehörde überwacht Hochrisiko-Systeme in fünf sensiblen Sektoren und fordert, das Verbot vollautomatisierter Entscheidungen auf Bewertungen von Leistung, Prämien und Karriereentwicklung auszudehnen. Setzt ein Mandant KI-Werkzeuge im Personalbereich ein, ist dies die Stelle, die zu beobachten ist.
Was der Entwurf vorsieht
Das Vorhaben regelt das nationale System der Governance und Aufsicht über künstliche Intelligenz und benennt die Datenschutzbehörde als Marktüberwachungsbehörde für Hochrisiko-Systeme in den für die Grundrechte sensibelsten Bereichen: Justiz, Strafverfolgung, Migration, Grenzverwaltung und demokratische Prozesse. Es führt außerdem Regeln für den Finanz- und Versicherungssektor ein und fördert digitale Kompetenz sowie Schulungen zum bewussten Umgang mit KI in Schulen, Hochschulen und in der beruflichen Bildung.
Diese Wahl ist nicht selbstverständlich. In vielen Mitgliedstaaten wurde die Aufsicht über Hochrisiko-Systeme neu geschaffenen Behörden oder technischen Agenturen übertragen; hier verbleibt ein erheblicher Teil bei der Datenschutzbehörde, die eine eingespielte Ermittlungspraxis und eine gefestigte Entscheidungslinie mitbringt. Für Datenschutzbeauftragte bedeutet das, dass zumindest in diesen Sektoren der Ansprechpartner für KI-Verordnung und DSGVO derselbe sein wird.
Die Bedingungen der Behörde
- Der Behörde die Befugnis zuerkennen, Leitlinien, Empfehlungen und bewährte Praktiken zu erlassen, gleichrangig mit den übrigen für KI zuständigen Behörden. Das ist die Forderung mit der größten Wirkung auf die tägliche Arbeit: ohne diese Befugnis fehlte die Auslegungsquelle, auf die sich ein Datenschutzbeauftragter stützen kann.
- Die Regeln für die Verhängung der in ihre Zuständigkeit fallenden Bußgelder klarstellen, entsprechend dem italienischen Datenschutzkodex.
- Die Behörde in die Tätigkeiten des italienischen KI-Reallabors einbeziehen.
- Die Rolle der Behörde in den Konformitätsbewertungsverfahren für Hochrisiko-Systeme klarstellen, für die ihr die KI-Verordnung besondere Aufsichtsfunktionen zuweist.
- Das Verbot ausschließlich automatisierter Entscheidungen auf Bewertungen ausdehnen, die das Arbeitsverhältnis erheblich beeinflussen können, etwa zu Leistung, Prämienvergabe oder Karriereentwicklung.
- Die Finanzausstattung der Behörde an die ihr durch das Unionsrecht neu zugewiesenen Aufgaben anpassen.
Die Bedingung, die alle Mandanten betrifft
Die letzte Forderung hat die größte Reichweite. Heute erfasst das Verbot des Art. 22 DSGVO Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung. Griffe das Dekret den Vorschlag der Behörde auf, wären Leistungsbeurteilung, Prämienvergabe und Karriereentwicklung ausdrücklich erfasst. Viele Unternehmen setzen für diese Zwecke bereits interne Scoring-Werkzeuge ein, ohne sie je eingeordnet zu haben: Es lohnt sich, sie jetzt zu erfassen, bevor die Einordnung zur Pflicht wird.
Die zweite Stellungnahme: Biometrie und Polizeibehörden
In einer gesonderten Stellungnahme, ebenfalls vom 14. Juli 2026, äußerte sich die Behörde zu den Abschnitten des Entwurfs über den Einsatz von KI durch Polizeibehörden und zu Grenzen und Garantien für die Verarbeitung biometrischer Daten sowie für die biometrische Fernidentifizierung. Sie hielt den Text insgesamt für vereinbar mit der KI-Verordnung und mit dem Ermächtigungsgesetz Nr. 132/2025, benannte aber nachzubessernde Punkte: die Rolle der menschlichen Aufsicht klarstellen, die Verantwortlichkeiten in Forschungs- und Erprobungsvorhaben präziser fassen und die Garantien zur Qualität der genutzten biometrischen Datenbanken stärken.
Am deutlichsten ist die Aussage zur automatisierten und pauschalen Verarbeitung biometrischer Daten von Personen, die öffentliche Orte oder Veranstaltungen betreten: Sie ist nach Auffassung der Behörde nicht mit der KI-Verordnung vereinbar, die nachträgliche Gesichtserkennung nur für gezielte Suchen zulässt. Die Verarbeitung sollte ausschließlich anhand bereits erfasster Aufzeichnungen und bei konkretem operativem Bedarf erfolgen, ohne massenhafte und vorsorgliche Erhebungen. Schließlich fordert die Behörde ein ausdrückliches Verbot, Datenbanken zu nutzen, die durch ungezieltes Scraping oder unter Verstoß gegen das Datenschutzrecht gewonnen wurden.
Warum das jetzt zählt
Der Zeitplan der KI-Verordnung wurde durch das Digital-Omnibus-Paket geändert: Die Pflichten für Hochrisiko-Systeme des Anhangs III gelten ab dem 2. Dezember 2027, die des Anhangs I ab dem 2. August 2028. Verschoben wurden die Daten, nicht der Inhalt. Ein Durchführungsdekret, das festlegt, wer mit welchen Befugnissen und welchen Sanktionen überwacht, ist genau die Infrastruktur, die vorher und nicht nachher gebraucht wird: Wenn die Pflichten durchsetzbar werden, wird die zuständige Behörde bereits arbeitsfähig sein.
Offizielle Quelle:Italienische Datenschutzbehörde - Newsletter Nr. 550 vom 29. Juli 2026; Stellungnahmen vom 14. Juli 2026 [doc-web 10275626 und 10275606]Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
