KI-Chatbot statt klassischer FAQs: Was ist zu beachten?

I.           Datenschutzrechtliche Vorgaben

1.          Werden bei „FAQ-Bots“ überhaupt personenbezogene Daten verarbeitet?

Bei den im Zuge der Nutzung des KI-Chatbots verarbeiteten Daten wird es sich im Regelfall jedenfalls um IP-Adressen, Session-Cookies und gegebenenfalls in den Chat eingegebenen Informationen handeln. Zwar werden personenbeziehbare Angaben durch Nutzende nach Möglichkeit gar nicht erst erhoben (Stichwort: „aufgedrängte Daten“). oder schnellstmöglich wieder gelöscht, sobald sie jedoch dennoch eingegeben werden ist eine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO anzunehmen, denn die personenbezogene Zuordnung ist nicht nur theoretisch möglich, sondern ergibt sich aus dem Umstand, dass der Betroffene seine Daten selbst in die Chatmaske einträgt. Die Aufforderung, möglichst keine personenbezogenen Informationen weiterzugeben, mindert zwar erheblich die Wahrscheinlichkeit, dass überhaupt personenbezogene Daten erhoben werden. Eine vollständige Vermeidung ist dennoch nicht garantiert, weshalb für den Fall des tatsächlichen Inputs grundsätzlich vom Vorliegen personenbezogener Daten auszugehen ist.

Bereits die technische Erfassung, kurzfristige Speicherung oder sonstige Verwendung zur Generierung von Chat-Antworten stellt einen Verarbeitungsvorgang dar, der datenschutzrechtlich relevant ist. Ob hierfür eine gesonderte Rechtsgrundlage erforderlich ist, wird in der Literatur unter dem Stichwort der „aufgedrängten Daten“ unterschiedlich beurteilt. Hier ist es naheliegend im Wege teleologischer Reduktion eine Verarbeitung im Sinne der Artt. 2 Abs. 1 , 4 Nr. 2 DS-GVO abzulehnen oder – bei Negation eines voluntativen Elements des Verarbeitungsbegriffs – keine die Verantwortlichkeit im Sinne des Art. 4 Nr. 7 DSGVO begründende „Entscheidung“ über Zwecke und Mittel der Verarbeitung anzunehmen. Nach überwiegender Ansicht ist insoweit keine eigenständige Rechtsgrundlage notwendig.

Jedenfalls die Verarbeitung von IP-Adressen und Session-Cookies ist aber stets datenschutzrechtlich zu rechtfertigen.

2.         Art. 22 DSGVO: Der EuGH, KI und die DSGVO

Im Hinblick auf Art. 22 DSGVO stellt sich die Frage, ob solche KI-Chatbots eine „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung“ im Sinne des Art. 22 Abs. 1 DSGVO trifft, die für den Nutzer rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Der EuGH hat hierzu in der Rechtssache C‑634/21 (Urteil vom 7. Dezember 2023, „SCHUFA Holding (Scoring)“) ausgeführt, dass eine solche automatisierte Entscheidung nicht allein deshalb gegeben ist, weil ein auf personenbezogene Daten gestütztes Modell rein maschinell berechnet wird. Erst wenn diese automatisierte Ermittlung für den Betroffenen eine rechtliche Wirkung nach sich zieht oder ihn in ähnlicher Weise spürbar beeinträchtigt, greift die Schutzwirkung des Art. 22 Abs. 1 DSGVO.

Dient der KI-Chatbot jedoch lediglich dazu, allgemeine Fragen zu beantworten oder, im Rahmen von Support-Anliegen, Hilfestellungen zu geben ist, obwohl hierfür technisch eine automatisierte Verarbeitung stattfindet, weder nach dem Zweck des Systems noch nach dessen Funktionalität vorgesehen, dass der Chatbot über wesentliche Rechtsfolgen für Nutzende entscheidet. Eine rechtliche Wirkung oder eine erhebliche Beeinträchtigung der Nutzenden im Sinne von Art. 22 DSGVO tritt somit nicht ein.

3.         Legitimation nach DSGVO

a)         Erforderlichkeit zur Vertragserfüllung nur für Kunden oder bei klarer Anbahnung

Art. 6 Abs. 1 S. 1 lit. b DSGVO greift (nur dann) ein, wenn die Verarbeitung für die Erfüllung eines Vertrages erforderlich ist oder der Erfüllung vorvertraglicher Maßnahmen dient, die auf Anfrage der betroffenen Person erfolgen. Voraussetzung ist also, dass ein konkretes Vertragsverhältnis zwischen den Beteiligten besteht oder unmittelbar angebahnt werden soll und dass die jeweiligen personenbezogenen Daten in einem engen sachlichen Zusammenhang mit der beabsichtigten Leistungserbringung stehen.

Im Kontext von KI-Chatbots zur Beantwortung von Fragen zu Produkten und/oder Dienstleistungen kann eine vertragliche Beziehung angenommen werden, wenn der Chatbot als notwendiger Teil eines bestehenden oder geplanten Vertragsverhältnisses zum Einsatz kommt, etwa wenn Kunden Supportleistungen benötigt und diese Unterstützung via Chatbot erbracht wird. Ist demgegenüber nur ein allgemeiner Informationsservice vorgesehen, ohne eine vertragliche Bindung zwischen Nutzenden und dem jeweiligen Unternehmen, fehlt es an der Erforderlichkeit, die Art. 6 Abs. 1 lit. b DSGVO verlangt. Die Norm kann daher nur zum Tragen kommen, sofern die Chatbot-Dienstleistung unmittelbar der Supportleistung im Rahmen bestehender Vertragsbeziehungen oder der Vorbereitung eines Vertragsabschlusses dient und ohne die Einbeziehung der personenbezogenen Daten eine vertragsgemäße Leistung nicht möglich wäre.

b)         Berechtigte Interessen des Webseitenbetreibers

In Betracht kommt im Regelfall vielmehr eine Berufung auf berechtigte Unternehmensinteressen und die Fruchtbarmachung des Art. 6 Abs. 1 S. 1 lit. f DSGVO als Rechtsgrundlage.

Nach Art. 5 Abs. 1 lit. b DSGVO ist der Zweck festzulegen und für die betroffenen Personen eindeutig erkennbar zu machen. Im Kontext des KI-Chatbots muss gegenüber den Nutzern hinreichend deutlich werden, dass ihre Informationen für den Betrieb des Chatdienstes verarbeitet werden. „Blankettformeln“ reichen nicht aus; kurze, klar verständliche Hinweise, dass die Chat-Interaktion und gegebenenfalls die weitergehende System-Logik (z. B. zum Training in anonymisierter Form) genutzt werden, sind angezeigt. Zugleich gilt es, die Rolle etwaig zum Einsatz kommender Anonymisierungsverfahren zur Adressierung aufgedrängter Daten transparent zu machen, um den Betroffenen die Reichweite der Datenverarbeitung zu verdeutlichen.

aa)      Verbesserter Service ist ein legitimes Ziel!

Das berechtigte Interesse im Sinne des Art. 6 Abs. 1 S. 1 lit. f DSGVO besteht im Fall der hier betrachteten „FAQ-KI-Chatbots“ darin, die Produktkommunikation zu verbessern und den Nutzenden eine bequeme, automatisierte Hilfestellung zu bieten. Dieser zusätzliche Kanal dient zugleich der Effizienzsteigerung, da einfache und häufig gestellte Fragen nicht mehr ausschließlich von menschlichen Supportkräften beantwortet werden müssen. Auch das Ziel die Passgenauigkeit der Antworten und damit den Service insgesamt zu verbessern ist ein berechtigtes Interesse im Sinne der Vorschrift.

bb)      Erforderlichkeit

Das Kriterium der Erforderlichkeit fordert, dass die Datenverarbeitung zur Erreichung des legitimen Zwecks geeignet und auf das Notwendige beschränkt ist; es darf kein milderes Mittel geben, das gleichermaßen effektiv und weniger eingriffsintensiv wäre. Im Fall des KI-Chatbots zielt die Datenverarbeitung darauf ab, Nutzern automatisiert Serviceauskünfte zu geben und dabei – technisch bedingt – in begrenztem Umfang personenbezogene Daten zu erfassen.

Ohne diese Basisinformationen könnte der Chatbot die jeweilige Benutzeranfrage weder zuordnen noch eine relevante Antwort in derselben Session anzeigen. Die Verwendung einer Session-ID ist demnach erforderlich, um kontinuierlich auf Nutzereingaben reagieren zu können. Dies stellt auch ein milderes Mittel im Vergleich zu einer umfangreichen Nutzerregistrierung oder dauerhaften Accountanlegung dar, da keine weiterreichende Profilbildung vorgenommen wird, sondern lediglich eine temporäre Zuordnung (Session) erfolgt.

Hinsichtlich eventuell „aufgedrängter Daten“, die unbeabsichtigt oder entgegen der Hinweise eingeben (Name, Geburtsdatum etc.) eingegeben werden, ist eine umgehende Anonymisierung eine besonders interessenwahrende Maßnahme. Auch das bedeutet, dass zur Chat-Verwaltung zwar kurzfristig personenbezogene Daten verarbeitet werden, aber nur insoweit, wie dies für die Bereitstellung der Chatfunktion notwendig ist. Ein alternatives Verfahren, das ohne jegliche Möglichkeit der Kenntnisnahme dieser Daten auskommt, ist praktisch nicht realisierbar, da ein Chat – begriffsnotwendig – Nutzereingaben verarbeitet.

cc)      Abwägung: Auf die konkrete Implementierung kommt es an

Die eigentliche Rechtmäßigkeit einer Verarbeitung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO hängt von einer sorgfältigen Interessenabwägung ab: Das berechtigte Interesse der Verantwortlichen ist dem Schutzbedürfnis der Betroffenen gegenüberzustellen. Diese Abwägung geht hier insbesondere dahin, ob der KI-Chatbot die Privatsphäre der Nutzenden unverhältnismäßig beeinträchtigt oder ob das dargestellte Serviceinteresse überwiegt.

Im Lichte von Erwägungsgrund (47) DSGVO ist dabei zu berücksichtigen, ob Nutzer „vernünftigerweise“ mit dieser Art der Datenverarbeitung rechnen konnten. Wer einen Chatbot aufruft, erwartet typischerweise, dass zur Darstellung einer individuellen Antwort kurzfristig technische Identifikationsmerkmale (etwa Session-Daten, IP-Adresse) genutzt werden. Anders als beim Tracking über mehrere Plattformen oder bei umfassendem Nutzungsprofiling ergibt sich hier kein Szenario, in dem die Anwender zu „gläsernen Kunden“ werden.

Klärt das den Chatbot einsetzende Unternehmend zudem in Erfüllung der Pflichten aus Artt. 13, 14 DSGVO über Datenschutzhinweise und den Disclaimer vor dem Chat-Start auf, welche Daten grundsätzlich erfasst werden und dass personenbezogene Informationen möglichst zu vermeiden sind, prägt dies die vernünftige Erwartung der Nutzenden zusätzlich und führt eher dazu, dass diese Verarbeitung als adäquate Unterstützung – und nicht etwa als unzulässige Ausforschung – empfunden wird.

Hinzu kommt, dass diese Form der Interaktion nicht nur zu einer verbesserten Kommunikation mit Kunden und Interessenten führt, sondern zugleich zu einer Entlastung des herkömmlichen Supportaufwands beiträgt und damit Ausdruck der von Art. 16 GRCh geschützten unternehmerischen Freiheit ist. Auch die Berufsfreiheit (Art. 15 Abs. 1 GRCh) gewährleistet, dass Unternehmen betriebswirtschaftliche und technologische Strategien wählen dürfen, um ihre Leistungen effizient anzubieten.

Dem stehen die Grundrechte der Nutzenden auf Schutz ihrer personenbezogenen Daten aus Art. 8 GRCh sowie auf Vertraulichkeit ihrer Kommunikation gegenüber. So allerdings die IP-Adresse und Session-Daten nur in pseudonymisierter Form eingang in das KI-Sytsem finden und die gegebenenfalls aufgedrängten Daten sofort anonymisiert werden, bleibt die Eingriffsintensität vergleichsweise gering. Limitierte Datenerhebungen durch umfassende Schutzmechanismen verringern das Risiko eines tieferen Eingriffs in die Privatsphäre. Werden Nutzende zudem schon zu Beginn des Chats klar darauf hingewiesen, möglichst keine persönlichen Informationen einzugeben, wahrt dies die Selbstbestimmung und schwächt die Schwere des Eingriffs nochmals ab.

Darüber hinaus sind in die Abwägung weitere Faktoren einzubeziehen, wie die Natur der betroffenen Personen, nämlich typischerweise Webseitenbesucher auf freiwilliger Basis, die Sphäre, in die eingegriffen wird, mögliche Pflichten des Verantwortlichen zur Leistungserbringung und die umfassenden Datensicherheitsmaßnahmen. Auch die Freiheit der Meinungsäußerung aus Art. 11 Abs. 1 GRCh spielt insofern eine Rolle, als Nutzende frei entscheiden, welche Fragen sie stellen; es gibt naturgemäß keine Verpflichtung zur Nutzung eines Chatbots.

Ist dies gewährleistet, überwiegt das Interesse des verantwortlichen Unternehmens an einem automatisierten und effektiven Kundenservice gegenüber den vergleichsweise geringfügigen Beeinträchtigungen, die für Nutzende mit der sehr eingeschränkten Datenerhebung verbunden sind. Die Wahrung der datenschutzrechtlichen Grundsätze durch Datenminimierung, Privacy by Design und Erteilung der Pflichtinformationen gemäß Artt. 13, 14 DSGVO gewährleistet, dass das Recht auf Schutz personenbezogener Daten aus Art. 8 GRCh so wenig wie möglich beeinträchtigt wird. Die Verarbeitung ist folglich nach Art. 6 Abs. 1 S. 1 lit. f DSGVO gerechtfertigt, weil das berechtigte Interesse der Verantwortlichen das Interesse der Nutzer an einem umfassenden Ausschluss der Datenverarbeitung in diesem Rahmen überwiegt.

4.         Vorgaben der KI-Verordnung

a)         Einstufung des KI-Chatbot als KI-System

Voraussetzung für die Anwendung der KI-VO auf die hier in Rede stehenden Chatbots ist zunächst, dass es sich dabei um ein KI-System im Sinne der KI-VO handelt. Ausweislich der Legaldefinition im Sinne des Art. 3 Nr. 1 KI-VO ist ein KI-System ein

„maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie betrieben werden kann, das nach der Einführung Anpassungsfähigkeit zeigen kann und das für explizite oder implizite Ziele aus den Eingaben, die es erhält, ableitet, wie es Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugen kann, die physische oder virtuelle Umgebungen beeinflussen können.“

KI-Chatbots sind fraglos maschinengestützt in diesem Sinne. Auch handelt es sich bei der zum Einsatz kommenden KI um ein System, das in seiner Tätigkeit gerade nicht allein von natürlichen Personen vorgegebenen Mustern oder definierten Regeln für das automatische Ausführen von Operationen folgt (vgl. Erwägungsgrund 12 KI-VO), sondern das hinsichtlich der Kommunikation mit Nutzenden auf Basis der hinterlegten Datenbanken bis zu einem gewissen Grad unabhängig agiert und in der Lage ist, ohne menschliches Eingreifen zu arbeiten (vgl. zur entsprechenden Definition und zum möglichen Umfang der Autonomie auch Ziffer 5.13 der ISO/IEC 22989:2022). Bei Einsatz der vorgenannten KI-Modelle verfügen die darauf basierenden Anwendungen regelmäßig über ein ausreichendes Maß an Autonomie Sinne des Art. 3 Nr. 1 KI-VO.

Auch wird das zum Einsatz kommende System dann regelmäßig über die für die Anwendbarkeit der KI-VO notwendige Anpassungsfähigkeit verfügen, die über die einfache Datenverarbeitung hinaus, eigene, auf entsprechendes Training zurückzuführende Lern-, Schlussfolgerungs- und Modellierungsprozesse ermöglicht. Genau auf diese Fähigkeiten zielt der Einsatz des KI-Chatbots ab, der sich anders als ein bloßer Navigationschat auf der Webseite gerade dadurch auszeichnen soll, mit einer steigenden Anzahl von Anfragen die Passgenauigkeit der gezeigten Antworten zu verbessern, um die Zufriedenheit der Nutzenden im Ergebnis zu steigern.

b)         Risikoeinstufung nach KI-VO

Bei den solchen Chatbots zugrunde liegenden Systemen handelt es sich im Regelfall nicht um ein grundrechtsbedrohendes System, so dass Kapitel 2 der KI-VO dann nicht anwendbar ist. Anders als KI-Systeme im medizinischen Sektor, die Diagnosen erstellen oder unmittelbar therapeutische Entscheidungen treffen, stellen „KI-FAQ-Chatbots“ keine automatisierten Entscheidungen mit gravierenden Auswirkungen für die Nutzer bereit. Ein für die Einstufung als Hochrisiko-KI relevantes Szenario besteht somit nicht, da die bloße Beantwortung genereller Fragen zu Produkten oder Supportanliegen keine erheblichen Risiken für Leib, Leben, fundamentale Rechte oder soziale Teilhabe bedeutet. Es liegt folglich keine Einordnung in den Katalog verbotener KI-Praktiken (Art. 5 KI-VO) oder in die in Art. 6 ff. KI-VO genannten Bereiche vor. Vielmehr handelt es sich um eine (verglichen mit den einschlägigen Hochrisikokategorien) moderate Anwendungsform, bei der allenfalls ein begrenztes Risiko im Sinne der KI-VO auftreten kann.

Vielmehr interagiert der Chatbot direkt mit Endanwendern, um deren Fragen automatisch zu beantworten. Damit fällt er gemäß Art. 50 Abs. 1 KI-VO unter jene KI-Systeme, die zwar potenzielle Risiken für die Rechte und Freiheiten der Betroffenen aufweisen (insbesondere hinsichtlich der Transparenz), jedoch keine weitreichende Entscheidungsfunktion oder stark eingriffsintensive Wirkung entfalten. Der Charakter als Chatbot zur Kundenkommunikation sorgt somit für eine Einstufung in die Kategorie der „KI-Systeme mit begrenztem Risiko“.

c)         Unterstützende Funktion bei der Standardbearbeitung?

Je nach Ausgestaltung kann der Ausnahmetatbestand des Art. 50 Abs. 2 S. 3 KI-VO greifen. Danach fallen Anbieter von KI-System mit begrenztem Risiko dann nicht unter die normierten Transparenzpflichten, wenn das KI-System lediglich eine unterstützende Funktion „für die Standardbearbeitung“ ausführt oder die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändert werden.

Erwägungsgrund 133 S. 7 KI-VO nimmt auf derartige Ausnahmetatbestände der KI-VO Bezug. Danach sollen diese vorgesehen werden, um die Verhältnismäßigkeit zu wahren. Bezugspunkt sind dabei die Sätze 1 bis 3 von Erwägungsgrund 133 KI-VO:

„Eine Vielzahl von KI-Systemen kann große Mengen synthetischer Inhalte erzeugen, bei denen es für Menschen immer schwieriger wird, sie vom Menschen erzeugten und authentischen Inhalten zu unterscheiden. Die breite Verfügbarkeit und die zunehmenden Fähigkeiten dieser Systeme wirken sich erheblich auf die Integrität des Informationsökosystems und das ihm entgegengebrachte Vertrauen aus, weil neue Risiken in Bezug auf Fehlinformation und Manipulation in großem Maßstab, Betrug, Identitätsbetrug und Täuschung der Verbraucher entstehen. Angesichts dieser Auswirkungen, des raschen Tempos im Technologiebereich und der Notwendigkeit neuer Methoden und Techniken zur Rückverfolgung der Herkunft von Informationen sollten die Anbieter dieser Systeme verpflichtet werden, technische Lösungen zu integrieren, die die Kennzeichnung in einem maschinenlesbaren Format und die Feststellung ermöglichen, dass die Ausgabe von einem KI-System und nicht von einem Menschen erzeugt oder manipuliert wurde.“

Legt man dies zugrunde, sollen die Transparenzpflichten des Art. 50 KI-VO vor allem auf solche synthetisch erzeugten Audio-, Bild-, Video- oder Textinhalte Anwendung finden, die nicht von menschlich erzeugten Inhalten unterscheidbar sind und daher potentiell zu Fehlinformation und Manipulation in großem Maßstab, Betrug, Identitätsbetrug und Täuschung von Verbrauchern führen können. Zu denken ist hier etwa an Deepfakes, eben realistisch wirkende Medieninhalte (Foto, Audio, Video), die durch Techniken der künstlichen Intelligenz abgeändert, erzeugt oder verfälscht worden sind.

Am anderen Ende der denkbaren Risiko-Skala sieht Art. 50 Abs. 2 S. 3 KI-VO zur Wahrung des Verhältnismäßigkeitsgrundsatzes solche Inhalte, die lediglich durch eine unterstützende Funktion für die Standardbearbeitung erzeugt wurden oder die im Vergleich zu den Eingabedaten nicht wesentlich verändert wurden. Hier lassen sich als Beispiel Textergänzungs- oder einfache Bildbearbeitungsfunktionen anführen. Die Ausnahme für standardisierte Bearbeitungen von Inhalten soll unter Verhältnismäßigkeitsgesichtspunkten dem geringeren Schutzbedürfnis in Fällen Rechnung tragen, in denen das KI-System die authentischen Inhalte lediglich marginal verändert.

Wendet man diese Erwägungen auf KI-Chatbots mit Service- und FAQ-Funktion an, indem auf spezifische, zuvor freigegebene Informationsquellen zugegriffen wird, beschränkt sich der Output im Wesentlichen darauf, bestehende Inhalte abzurufen, zusammenzufassen und den Nutzenden in natürlicher Sprache zu präsentieren. Die Semantik der ursprünglichen Informationen wird dann nicht maßgeblich verfremdet: Der Chatbot gibt im Kern das wieder, was ohnehin durch öffentliche Dokumente oder freigegebene Artikel verfügbar ist, wenn auch in leicht „neutralisierter“ bzw. zusammengefasster Sprachform.

Dann erfüllt der Chatbot überwiegend eine unterstützende Funktion für die Standardbearbeitung im Sinne des Art. 50 Abs. 2 S. 3 KI-VO, nämlich das Beantworten gängiger Fragen zu den jeweiligen Produkten beziehungsweise Dienstleistungen, ohne eigenständig neue, synthetische Inhalte zu erzeugen, die zu relevanten Täuschungen oder Fälschungen führen könnten. Ausgehend von Erwägungsgrund 133 KI-VO, wonach die Pflicht zur Kennzeichnung sich speziell auf das Risiko großflächiger Manipulation oder Fehlinformation bezieht, fehlt es auch an dem typischen Deepfake-Potenzial. Der Chatbot kreiert keine realitätsnahen Tonaufnahmen, Videos oder Bildinhalte, sondern liefert textbasierte Antwortvorschläge, die inhaltlich eng an die hinterlegten FAQ-Informationen geknüpft sind.

d)         Augen auf bei Implementierung eines KI-Systems mit allgemeinem Verwendungszweck

Gegebenenfalls können sich jedoch Transparenzpflichten ergeben, wenn der KI-Chatbot als KI-System mit allgemeinem Verwendungszweck anzusehen wäre. Ein KI-System mit allgemeinem Verwendungszweck ist gemäß Art. 3 Nr. 66 KI-VO

„ein KI-System, das auf einem KI-Modell mit allgemeinem Verwendungszweck beruht und in der Lage ist, einer Vielzahl von Zwecken sowohl für die direkte Verwendung als auch für die Integration in andere Systeme zu dienen“.

Hinsichtlich der Integration von Systemen mit allgemeinem Verwendungszweck führt Erwägungsgrund 100 KI-VO weiter aus:

„Wenn ein KI-Modell mit allgemeinem Verwendungszweck in ein KI-System integriert oder Teil davon ist, sollte dieses System als KI-System mit allgemeinem Verwendungszweck gelten, wenn dieses System aufgrund dieser Integration in der Lage ist, einer Vielzahl von Zwecken zu dienen“.

Wenn sich das genutzte System in der Praxis auf ein KI-Modell stützt, das vielfältige Funktionen bietet (wie etwa ChatGPT, welches über große Mengen von Sprach- und Wissensdaten trainiert wurde) und dieses Modell unverändert oder nur leicht angepasst in den Chatbot eingebunden wird, stellt sich die Frage, ob hieraus die Fähigkeit resultiert, eine Vielzahl von Zwecken im Sinne des Art. 3 Nr. 63 KI-VO abzudecken. Nach der KI-VO handelt es sich nur dann um ein KI-System mit allgemeinem Verwendungszweck, wenn das resultierende System tatsächlich nicht bloß eine spezifische, eng umrissene Funktion erfüllt, sondern auch für zahlreiche andere Anwendungen oder Zielsetzungen eingesetzt werden kann.

So der zum Einsatz kommende Chatbot einzig zur Beantwortung von FAQ dient und durch entsprechende Konfiguration auf diesen engen Zweck beschränkt bleibt, sprechen die besseren Argumente dafür, dass keine umfassende Mehrzweckfähigkeit gegeben ist. Das zugrunde liegende Modell mag zwar allgemein nutzbar sein, doch beschränkt sich die konkrete Chatbot-Anwendung auf eine einzige Domäne. Daher ist das System selbst nicht als allgemeines KI-System einzustufen, sondern lediglich als ein spezielles KI-System, das ein allgemeines Modell im Hintergrund einsetzt.

Obwohl die zugrundeliegenden KI-Modelle (z. B. LLMs) an sich eine breite Palette an Anwendungsmöglichkeiten bieten könnten, begrenzt die konkrete Systemausführung ihre Nutzung auf den Kundenservice und das Beantworten von Produktfragen. Eine allgemeine Mehrzweckfähigkeit ist nicht ersichtlich, wenn das System ausschließlich über das jeweilige Konfigurationsumfeld funktioniert und „ohne die Integration in die Systemumgebung nicht nutzbar“ ist. Selbst wenn die LLM-Technologie an sich vielseitig wäre, wird sie dann nicht in einer Weise bereitgestellt, die es Nutzenden oder anderen Dritten ermöglichen würde, das Modell für beliebige Zwecke frei zu verwenden. Somit mögen zwar zugrundeliegende KI-Modelle solche mit einem allgemeinem Verwendungszweck im Sinne des Art. 3 Nr. 63 KI-VO sein, das darauf in der konkret vorliegenden Ausprägung erstellte KI-System ist jedoch aufgrund der konkret implementierten Integration entlang der Wertung aus Erwägungsrund 100 KI-VO nicht in der Lage, einer Vielzahl von Zwecken zu dienen.

Sobald jedoch eine Integration der zugrundeliegenden KI-Modells vorgenommen wird, bei der die universellen Fähigkeiten erhalten bleiben und der Chatbot faktisch für eine Vielzahl weiterer Anwendungsfälle genutzt oder missbraucht werden kann, spricht Art. 3 Nr. 66 KI-VO für die Qualifikation als KI-System mit allgemeinem Verwendungszweck. Entscheidend ist, ob im konkreten Deployment eine breite Multi-Funktionalität besteht oder ob das System gezielt auf die Supportfunktion als Chatbot beschränkt wird.

5.         Fazit

Unternehmen, die mithilfe KI-basierter Chatbots anstelle klassischer FAQs Produkt- oder Serviceanfragen beantworten, können erheblich von einer effizienteren und nutzerfreundlicheren Kundenkommunikation profitieren. Die Einbindung solcher Chatbots wirft jedoch datenschutzrechtliche Fragen auf, insbesondere hinsichtlich der Erhebung und Verarbeitung von IP-Adressen, Session-Cookies und potenziellen „aufgedrängten Daten“. Nach bisheriger Rechtsprechung und den Vorgaben der DSGVO ist das berechtigte Interesse an einem verbesserten, automatisierten Kundenservice in vielen Fällen eine taugliche Rechtsgrundlage, sofern keine umfangreichen Nutzerprofile entstehen und alle Daten nur im erforderlichen Maß erhoben werden. Die zügige Anonymisierung oder Löschung personenbezogener Eingaben durch den Chat reduziert das Risiko unzulässiger Zugriffe. Gleichzeitig müssen Unternehmen die Pflicht zur transparenten Information der Endnutzenden ernst nehmen und sollten klarstellen, dass keine für den Nutzer rechtlich nachteiligen Entscheidungen automatisiert getroffen werden.

Im Hinblick auf die künftige KI-Verordnung sind Chatbots zur Beantwortung von Standardfragen regelmäßig eher in die Kategorie „KI-Systeme mit begrenztem Risiko“ einzuordnen. Solche Systeme müssen dennoch die Transparenzanforderungen einhalten. Häufig ist aber keine besonders weitgehende Kennzeichnung nach Art. 50 KI-VO erforderlich, wenn das System keine neuen Inhalte generiert, sondern lediglich vorhandene Informationen zusammenfasst. Zu prüfen bleibt, ob es sich um ein KI-System mit allgemeinem Verwendungszweck handelt, wenn dahinter ein sehr universell nutzbares Modell zum Einsatz kommt. In den meisten Szenarien ist jedoch eine Spezialisierung auf eine konkrete Servicerolle gegeben, was die Einhaltung der relevanten Vorgaben erheblich vereinfacht.

6.         Handlungsempfehlungen

• Bei der Planung frühzeitig datenschutzrechtliche Rollen festlegen und sicherstellen, dass keine „aufgedrängten Daten“ dauerhaft im System verbleiben.
• Die Rechtsgrundlage für die Datenverarbeitung in der Dokumentation und den Datenschutzhinweisen eindeutig benennen, in aller Regel Art. 6 Abs. 1 lit. f DSGVO bei allgemeiner Nutzung und Art. 6 Abs. 1 lit. b DSGVO bei Kunden-Support.
• Ein entsprechendes Informationskonzept vorhalten: vor Chat-Beginn auf eine sparsame Dateneingabe hinweisen und eine verständliche Datenschutzerklärung bereitstellen.
• Darauf achten, dass durch schnelle Löschung oder Anonymisierung die Session-Daten möglichst kurz verarbeitet werden.
• Die Einstufung des Systems nach der KI-VO realistisch prüfen: Handelt es sich lediglich um ein KI-System mit begrenztem Risiko, sind meist nur Transparenz- und Informationspflichten zu beachten.
• Im Zuge der Implementierung sicherstellen, dass dem System zugrundeliegende KI-Modelle, deren Fähigkeiten weit über FAQ-Antworten hinausgehen, auf den Chat-Einsatz beschränken und des dokumentieren und überwachen, um die Vorgaben für KI-Systeme mit allgemeinem Verwendungszweck nicht zu verletzen.