Automatisierte Entscheidungen: Art. 22 DSGVO und EU AI Act zusammen verstehen

Art. 22 DSGVO greift, wenn drei Voraussetzungen erfüllt sind: ausschließliche Automatisierung (kein bedeutsamer menschlicher Einfluss), rechtliche oder ähnlich weitreichende Wirkung für die betroffene Person, Einzelfallentscheidung (keine generellen Regeln). Typische Fälle: automatische Kreditablehnung, KI-basierte Jobabsage ohne menschliche Überprüfung, algorithmische Preisdifferenzierung mit großem Einfluss, automatische Sperrung eines Kontos durch KI. Profilbildung alleine fällt nicht unter Art. 22 – erst die automatisierte Entscheidung auf Basis des Profils.

Art. 22 Abs. 2 DSGVO nennt drei Ausnahmen, unter denen automatisierte Entscheidungen erlaubt sind: Vertragserfüllung (Art. 22 Abs. 2 lit. a), ausdrückliche Einwilligung (Art. 22 Abs. 2 lit. c), gesetzliche Erlaubnis (Art. 22 Abs. 2 lit. b). Selbst in diesen Fällen müssen Unternehmen: geeignete Maßnahmen zum Schutz der betroffenen Person ergreifen, das Recht auf Einschaltung einer menschlichen Person gewähren, das Recht auf Anfechtung der Entscheidung einräumen.

Für KI-Systeme in Hochrisiko-Bereichen (Anhang III) verschärft der EU AI Act die Schutzpflichten: menschliche Aufsicht muss tatsächlich wirksam sein (Art. 14), Betreiber müssen Betroffene über den KI-Einsatz informieren (Art. 26 Abs. 6), Art. 86 EU AI Act gibt Betroffenen das Recht auf Erklärung von KI-gestützten Entscheidungen. Die Kombination aus Art. 22 DSGVO und Art. 14/86 EU AI Act bedeutet: Rein automatisierte Hochrisiko-Entscheidungen sind de facto verboten.

Die Anforderung "bedeutsamer menschlicher Einfluss" (Art. 22 DSGVO) und "effektive menschliche Aufsicht" (Art. 14 EU AI Act) werden oft missverstanden. Es reicht nicht: ein Mensch nickt maschinell alle KI-Vorschläge durch (Rubber Stamping), ein Mensch wird informiert aber nicht einbezogen, ein Mensch kann theoretisch eingreifen aber nie Zeit hat. Erforderlich ist: der Mensch prüft die KI-Empfehlung kritisch, er hat die Möglichkeit und das Wissen, sie abzulehnen, er ist tatsächlich in den Entscheidungsprozess eingebunden.