IHK AP2 Kaufleute für Digitalisierungsmanagement

LF 12: Datenschutz-Folgenabschätzung (DSFA) & EU AI Act

Art. 35 DSGVO Schwellwertanalyse, k-Anonymität & Risikoklassen von KI-Systemen

📚 Fachwissen & IHK-Prüfungsrelevanz

Beim Einsatz disruptiver Technologien (KI, Big Data Analytics) müssen rechtliche und ethische Leitplanken gewahrt bleiben.

1. Datenschutz-Folgenabschätzung (DSFA nach Art. 35 DSGVO)

Zwingend vorgeschrieben bei Technologien mit voraussichtlich hohem Risiko für die Rechte von Betroffenen (z.B. automatisierte Profiling-Entscheidungen, Videoüberwachung im öffentlichen Raum, Verarbeitung von Gesundheitsdaten). Ablauf: 1. Systematische Beschreibung der Verarbeitung, 2. Notwendigkeit & Verhältnismäßigkeit, 3. Risikobewertung, 4. Abhilfemaßnahmen (TOMs).

2. Der EU AI Act (KI-Verordnung)

Risikoklasse	Beispiele	Rechtliche Konsequenz
Unannehmbares Risiko	Social Scoring durch Staaten, biometrische Massenüberwachung	Streng verboten!
Hohes Risiko	KI im HR-Recruiting, Bonitätsbewertung, kritische Infrastruktur	Strenge Konformitätsbewertung, CE-Kennzeichnung, Dokumentationspflicht
Transparenzrisiko	Chatbots, Deepfakes, generative KI	Transparenzpflicht (Kennzeichnung als KI)
Minimales Risiko	Spam-Filter, KI in Videospielen	Freie Nutzung ohne Zusatzauflagen

📝 Original-Prüfungsaufgaben (ZPA Nord-West)

Datenschutz-Folgenabschätzung (DSFA) & EU AI Act 8 Punkte

Ein Einzelhändler plant den Einsatz von KI-gestützter Videoanalyse und Gesichtserkennung in seinen Filialen, um personalisierte Werbung auf Kundenmonitoren auszuspielen.

a) Prüfen Sie, ob für dieses Vorhaben eine Datenschutz-Folgenabschätzung (DSFA nach Art. 35 DSGVO) zwingend erforderlich ist, und begründen Sie Ihre Entscheidung. b) In welche Risikoklasse nach dem EU AI Act (KI-Verordnung) fällt biometrische Identifikation und Emotionserkennung im öffentlichen Raum? c) Was versteht man im Rahmen von Analytics unter dem Konzept 'k-Anonymität'?

💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung

a) Ja, zwingend erforderlich. Gemäß Art. 35 Abs. 3 DSGVO ist eine DSFA vorgeschrieben bei systematischer und umfassender Überwachung öffentlich zugänglicher Bereiche sowie beim Einsatz neuer Technologien mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen. b) Hochrisiko-KI-System (bzw. in Teilen unzulässige/verbotene KI-Praxis bei biometrischer Echtzeit-Fernidentifikation ohne strenge richterliche Ausnahme). c) Ein Datensatz erfüllt k-Anonymität, wenn die quasi-identifizierenden Merkmale (z.B. PLZ, Alter, Geschlecht) jedes Individuums nicht von mindestens k-1 anderen Personen im Datensatz unterschieden werden können (Gruppengröße >= k).