Auf einen Blick

Der Garante Privacy hat einem Entwurf einer Verordnung der Autonomen Provinz Trient über den Einsatz künstlicher Intelligenz in der Verwaltungstätigkeit, insbesondere zur Schulung von Modellen, die personenbezogene Daten, einschließlich besonderer Kategorien von Daten und Daten über strafrechtliche Verurteilungen und Straftaten, verarbeiten, unter bestimmten Bedingungen zugestimmt.

Was zu tun ist

Überprüfen Sie die rechtliche Natur der Instrumente (z. B. Verordnungen, allgemeine Verwaltungsakte), die Sie zur Definition der Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten verwenden, und stellen Sie sicher, dass diese einen angemessenen normativen Rang im Verhältnis zum Codice Privacy haben.
Analysieren Sie die internen Verfahren zur Aktualisierung von Systemen der künstlichen Intelligenz, um zu gewährleisten, dass Berichtigungen oder Löschungen personenbezogener Daten sich auch auf bereits trainierte algorithmische Modelle auswirken.
Stellen Sie sicher, dass alle internen spezifischen Merkblätter (wie die in Art. 16 vorgesehenen) lediglich bestätigender und anwendender Natur sind und keine neuen Zwecke oder Datenarten über das hinaus einführen, was bereits in der Verordnung oder dem übergeordneten Rechtsakt definiert ist.

Was zu vermeiden ist

Übertragen Sie die Definition wesentlicher Aspekte der Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten nicht an interne Dokumente mit einem niedrigeren Rang als dem einer Verordnung oder eines allgemeinen Verwaltungsakts, wenn das Gesetz dies vorschreibt.
Gehen Sie nicht davon aus, dass die Ausübung der Berichtigungs- und Löschungsrechte für personenbezogene Daten bei bereits etablierten KI-Modellen automatisch gewährleistet ist; sehen Sie spezifische Mechanismen vor.

Hintergrund

Die Autonome Provinz Trient hat den Garante um eine Stellungnahme zu einem Verordnungsentwurf gebeten. Dieser Entwurf regelt die Umsetzung von Artikel 40-ter.1 des Landesgesetzes Nr. 23/1992, das den Einsatz von Systemen der künstlichen Intelligenz zur Unterstützung der Verwaltungstätigkeit und der internen Organisationsprozesse fördert. Das Landesgesetz vom 7. August 2026, Nr. 6, hat Artikel 40-ter.1 eingeführt und legt fest, dass die Verarbeitung personenbezogener Daten mittels KI der DSGVO und dem Codice Privacy entsprechen muss, wobei Vertraulichkeit, Integrität und Verfügbarkeit der Daten sowie die Grundsätze der Verhältnismäßigkeit und Datenminimierung zu gewährleisten sind. Die Verarbeitungen können besondere Kategorien von Daten und Daten über strafrechtliche Verurteilungen und Straftaten umfassen. Der 16 Artikel umfassende Verordnungsentwurf zielt darauf ab, Zwecke, Datenkategorien, durchführbare Operationen und Schutzmaßnahmen zu definieren, um die Effektivität und Effizienz des Verwaltungshandelns zu verbessern. Er sieht vor, dass KI-Systeme als unterstützende Instrumente fungieren und Entscheidungen, die ausschließlich auf automatisierten Verarbeitungen beruhen, ausgeschlossen sind. Es wird auch auf Artikel 14 des nationalen Gesetzes vom 23. September 2025, Nr. 132, Bezug genommen, das den Einsatz von KI in der öffentlichen Verwaltung zur Steigerung der Effizienz und Qualität der Dienstleistungen legitimiert und die Nachvollziehbarkeit sowie Rückverfolgbarkeit der Funktionsweise gewährleistet.

Die Entscheidung

Der Garante hat dem Verordnungsentwurf der Autonomen Provinz Trient positiv zugestimmt, diese Zustimmung jedoch an zwei Bedingungen geknüpft. Die erste Bedingung erfordert eine Neufassung der Artikel 1 Absatz 4, 3 Absatz 2, 4 Absätze 3 und 4 sowie 13 Absatz 1 des Entwurfs. Diese Artikel delegieren die Regelung wesentlicher Aspekte der Verarbeitung besonderer Datenkategorien oder Daten über strafrechtliche Verurteilungen und Straftaten an ein 'spezifisches Merkblatt'. Der Garante erachtet dieses Merkblatt nicht als gleichwertig mit den geltenden regulatorischen Quellen. Die zweite Bedingung verlangt, den Entwurf um Maßnahmen zu ergänzen, die die Ausübung der Berichtigungs- und Löschungsrechte der betroffenen Personen sowie aller weiteren Rechte gemäß Artikel 15–22 der DSGVO sicher und wirksam gestalten. Diese Ergänzung muss das Risiko überwinden, das sich aus der Datenschutz-Folgenabschätzung ergeben hat, dass solche Rechte sich nicht auf die algorithmischen Parameter bereits trainierter KI-Modelle auswirken.

Ratio decidendi Die rechtliche Begründung der Entscheidung des Garante stützt sich auf zwei Hauptaspekte. Erstens ist der Garante der Ansicht, dass der in mehreren Artikeln des Verordnungsentwurfs enthaltene Verweis auf ein 'spezifisches Merkblatt' zur Definition wesentlicher Elemente der Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten nicht vollständig mit den Artikeln 2-sexies und 2-octies des Codice Privacy übereinstimmt. Das 'spezifische Merkblatt' ist seiner Art und seinen Merkmalen nach nicht mit den für solche Verarbeitungen geltenden regulatorischen Quellen (Rechtsakt mit Verordnungsrang oder allgemeiner Verwaltungsakt der Provinz) vergleichbar. Zweitens weist der Garante auf eine kritische Stelle bezüglich der Ausübung der Rechte der betroffenen Personen hin. Die beigefügte Datenschutz-Folgenabschätzung verdeutlicht das Risiko, dass die Berichtigungs- und Löschungsrechte (Artikel 16 und 17 der DSGVO) sich möglicherweise nicht auf die algorithmischen Parameter bereits trainierter Modelle der künstlichen Intelligenz auswirken. Diese Einschränkung stellt eine potenzielle Verletzung der Grundrechte der betroffenen Personen dar und erfordert Maßnahmen, um die effektive Wirksamkeit aller von der DSGVO anerkannten Rechte zu gewährleisten, auch in Bezug auf bereits etablierte KI-Modelle, im Einklang mit den Empfehlungen des Europäischen Datenschutzausschusses.

Verletzte DSGVO-Artikel

Artikel	Beschreibung	Relevanz
2-sexies Codice Privacy	Regelt die Bedingungen für die Verarbeitung besonderer Kategorien personenbezogener Daten.	das im entwurf vorgesehene 'spezifische merkblatt' ist keiner regulierungsquelle von angemessenem rang für die regelung solcher verarbeitungen gleichzusetzen.
2-octies Codice Privacy	Regelt die Bedingungen für die Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten.	das im entwurf vorgesehene 'spezifische merkblatt' ist keiner regulierungsquelle von angemessenem rang für die regelung solcher verarbeitungen gleichzusetzen.
16 DSGVO	Recht auf Berichtigung, sieht das Recht der betroffenen Person vor, die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen.	die datenschutz-folgenabschätzung zeigte das risiko auf, dass sich die berichtigung nicht auf die algorithmischen parameter bereits trainierter ki-modelle auswirken würde, wodurch die wirksamkeit des rechts beeinträchtigt wird.
17 DSGVO	Recht auf Löschung ('Recht auf Vergessenwerden'), sieht das Recht der betroffenen Person vor, die Löschung sie betreffender personenbezogener Daten ohne ungebührliche Verzögerung zu verlangen.	die datenschutz-folgenabschätzung zeigte das risiko auf, dass sich die löschung nicht auf die algorithmischen parameter bereits trainierter ki-modelle auswirken würde, wodurch die wirksamkeit des rechts beeinträchtigt wird.
15-22 DSGVO	Die Artikel, die die Rechte der betroffenen Personen definieren (z. B. Auskunftsrecht, Recht auf Einschränkung der Verarbeitung, Widerspruchsrecht, automatisierte Entscheidungen).	der garante hat eine ergänzung der verordnung gefordert, um die effektive wirksamkeit all dieser rechte zu gewährleisten, insbesondere in bezug auf die algorithmischen parameter bereits trainierter ki-modelle.

Auferlegte Maßnahmen

Die Artikel 1 Absatz 4, 3 Absatz 2, 4 Absätze 3 und 4 sowie 13 Absatz 1 des Entwurfs, wie in der Begründung dargelegt, neu fassen; Den Entwurf um Vorkehrungen und Maßnahmen ergänzen, die die Ausübung der Berichtigungs- und Löschungsrechte der betroffenen Personen sowie aller weiteren Rechte gemäß Artikel 15–22 der DSGVO sicher und wirksam gestalten.

Sanktion

[object Object]

Praktische Auswirkungen

Diese Stellungnahme schafft einen wichtigen Präzedenzfall für öffentliche Verwaltungen, die KI-Systeme implementieren möchten, welche personenbezogene Daten, einschließlich sensibler und strafrechtlicher Daten, verarbeiten. Sie zeigt auf, dass Durchführungsbestimmungen einen angemessenen rechtlichen Rang haben müssen, wie eine Verordnung oder ein allgemeiner Verwaltungsakt, und nicht nur einfache interne 'spezifische Merkblätter' sein dürfen, insbesondere wenn wesentliche Aspekte besonders sensibler Verarbeitungen definiert werden. Die Entscheidung unterstreicht zudem die Notwendigkeit, KI-Systeme so zu gestalten, dass die Rechte der betroffenen Personen, insbesondere Berichtigung und Löschung, vollumfänglich wirksam sind. Dies bedeutet, dass Datenänderungen nicht nur in den Originaldokumenten, sondern auch in bereits trainierten algorithmischen Modellen reflektiert werden müssen – ein technischer und organisatorischer Aspekt, der eine sorgfältige Planung erfordert. Der Ansatz muss den Grundsätzen der Rechenschaftspflicht und des Datenschutzes durch Technikgestaltung entsprechen und sicherstellen, dass KI stets ein unterstützendes Werkzeug für menschliche Tätigkeiten und kein Ersatz für Entscheidungen ist, mit Garantien für Transparenz, Überprüfbarkeit und Kontrolle.

Empfohlene Maßnahmen

Sicherstellen, dass die normativen oder administrativen Akte, die die Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten durch KI regeln, den entsprechenden rechtlichen Rang haben (z. B. Verordnung oder allgemeiner Verwaltungsakt) und nicht an interne Instrumente niedrigerer Ebene delegiert werden.
Systeme der künstlichen Intelligenz so gestalten und implementieren, dass die effektive Ausübung der Rechte der betroffenen Personen, einschließlich Berichtigung und Löschung, ermöglicht wird, indem sichergestellt wird, dass sich Datenänderungen auch auf bereits trainierte algorithmische Modelle auswirken.
Datenschutz-Folgenabschätzungen (DPIA) durch eine detaillierte Analyse der Risiken bezüglich der Ausübung der Rechte der betroffenen Personen im Bereich der KI ergänzen und spezifische Maßnahmen zur Minderung dieser Risiken vorsehen.

Zu vermeidende Fehler

Die Definition wesentlicher Elemente der Verarbeitung sensibler oder strafrechtlicher Daten nicht an interne Dokumente (wie 'spezifische Merkblätter') delegieren, die gemäß dem Codice Privacy keinen angemessenen normativen Rang haben.
Nicht davon ausgehen, dass KI-Systeme die Rechte der betroffenen Personen automatisch verwalten; darauf achten, Mechanismen zu implementieren, die sicherstellen, dass Berichtigungen oder Löschungen die trainierten algorithmischen Modelle beeinflussen.
Nicht die Gesamtheit der Rechte der betroffenen Personen (Zugang, Erklärbarkeit, Einschränkung der Verarbeitung, Widerspruch, automatisierte Entscheidungen) bereits in der Design- und Entwicklungsphase von KI-Systemen berücksichtigen.

Fragen zur Selbsteinschätzung

Welches normative Niveau haben die internen Akte, die den Einsatz von KI und die Verarbeitung personenbezogener Daten, insbesondere sensibler und strafrechtlicher Daten, regeln?
Sehen unsere KI-Systeme Mechanismen vor, die gewährleisten, dass eine Berichtigung oder Löschung von Daten durch die betroffene Person auch bei bereits etablierten algorithmischen Modellen wirksam ist?
Hat unsere DPIA für KI-Systeme die Auswirkungen auf die Ausübung aller Rechte der betroffenen Personen (Artikel 15-22 DSGVO) und die entsprechenden Minderungsmaßnahmen angemessen bewertet?

Verweise

EDPB-Leitlinien: Parere n. 28/2024 sui modelli di intelligenza artificiale

Nationales Recht: D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) · Legge provinciale 30 novembre 1992, n. 23 · Legge provinciale 7 agosto 2026, n. 6 · Legge 23 settembre 2025, n. 132 (Disposizioni e deleghe al Governo in materia di intelligenza artificiale) · d.P.R. 31 agosto 1972, n. 670

Anmerkungen

Die Maßnahme analysiert eine Stellungnahme zu einem Entwurf einer Landesverordnung über den Einsatz von KI, noch bevor diese vollständig umgesetzt ist. Sie bietet somit eine wichtige präventive Orientierung für öffentliche Verwaltungen. Das Datum der Maßnahme (7. Oktober 2026) und der zitierten Gesetze (7. August 2026, Nr. 6; 23. September 2025, Nr. 132) deuten darauf hin, dass der Text zukunftsgerichtet ist und das Inkrafttreten dieser Normen annimmt.