Auf einen Blick

Der italienische Garante Privacy hat einen Gesetzesentwurf geprüft, der der Anwendung der neuen Europäischen Verordnung über künstliche Intelligenz (bekannt als 'KI-Verordnung') in Italien dient. Dieser Entwurf legt fest, welche Behörden in Italien die KI überwachen werden und wie KI, auch in Schulen, eingesetzt werden soll. Der Garante hat zugestimmt, aber wichtige Änderungen gefordert. Insbesondere wünscht er, dass der Garante mehr Befugnisse erhält, um Anweisungen zu KI, die personenbezogene Daten verarbeitet, zu geben und an der Erprobung neuer KI-Technologien beteiligt wird. Er hat auch die Wichtigkeit des Arbeitnehmerschutzes betont und sichergestellt, dass Entscheidungen über deren Beschäftigung nicht ausschließlich von einem Computer getroffen werden und sie stets informiert sind.

Was zu tun ist

Informieren Sie sich, wie die neue KI-Verordnung Ihre Aktivitäten beeinflussen wird
Wenn Sie KI für wichtige Entscheidungen (z.B. Personal betreffend) verwenden, stellen Sie sicher, dass immer eine Person die endgültige Entscheidung trifft
Überprüfen Sie Ihre Datenschutzerklärungen, um den Einsatz von KI und personenbezogenen Daten klar zu erläutern

Was zu vermeiden ist

Ignorieren Sie die neuen KI-Regeln nicht, auch wenn sie sich noch in der Definitionsphase befinden
Lassen Sie die KI keine wichtigen Entscheidungen ohne menschliche Aufsicht treffen
Sammeln oder verwenden Sie keine Daten mit KI, ohne die Personen angemessen zu informieren

Hintergrund

Das Präsidium des Ministerrats – Abteilung für Rechts- und Gesetzgebungsangelegenheiten hat den Garante um eine Stellungnahme zu einem Entwurf eines Gesetzesdekrets gebeten. Dieser Entwurf zielt darauf ab, die italienische interne Gesetzgebung an die Bestimmungen der Verordnung (EU) 2024/1689 (die „KI-Verordnung“) anzupassen, wobei der Schwerpunkt auf den Befugnissen der nationalen Behörden und dem Einsatz von künstlicher Intelligenz im Bildungsbereich liegt. Die Maßnahme wurde den Kammern als Regierungsakt Nr. 421 übermittelt und stellt die Ausübung einer spezifischen Gesetzgebungsdelegation dar (Gesetz vom 23. September 2025, Nr. 132). Das Gesetzesdekret ist in einundfünfzig Artikel unterteilt, die sich auf fünf Abschnitte verteilen und unter anderem die Definitionen von KI-Behörden (AgID, ACN), die nationalen Marktüberwachungsbehörden (einschließlich des Garante gemäß Art. 74 Abs. 8 KI-Verordnung), die Formen der Zusammenarbeit zwischen Behörden, die Registrierung von Hochrisiko-KI-Systemen, das Sanktionssystem, den italienischen Experimentierraum für KI und die Regelungen für Bildungsgänge, Berufe, Arbeit, Gesundheitswesen und die öffentliche Verwaltung regeln.

Die Entscheidung

Der Garante äußert gemäß Artikel 36 Abs. 4 der Verordnung eine positive Stellungnahme zum Entwurf des Gesetzesdekrets, jedoch unter Bedingungen und mit einer Anmerkung. Die Bedingungen betreffen die Ergänzung von Artikel 11, um die Befugnisse des Garante zur Verabschiedung von Leitlinien und Empfehlungen zu erweitern, den Verweis auf Artikel 166 des Codice Privacy für das Sanktionsverfahren im Zuständigkeitsbereich des Garante, die Präzisierung der Verantwortung für die Konformitätsbewertung (Art. 43 Abs. 1 KI-Verordnung) und die Ergänzung von Artikel 26 für die Beteiligung des Garante an Projekten des KI-Experimentierraums, die personenbezogene Daten verarbeiten. Die Anmerkung betrifft die Möglichkeit, das Verbot von Entscheidungen, die ausschließlich auf automatisierten Verarbeitungen beruhen (vorgesehen in Artikel 40), auch auf Entscheidungen mit bewertendem Charakter auszudehnen, die erhebliche Auswirkungen auf das Arbeitsverhältnis haben können.

Ratio decidendi Die zentrale rechtliche Begründung basiert auf der Notwendigkeit, die volle Kohärenz des Gesetzesdekretentwurfs mit der Verordnung (EU) 2024/1689 (KI-Verordnung) und den Kriterien des Delegationsgesetzes Nr. 132 von 2025 sicherzustellen, sowie die Garantien für die Verarbeitung personenbezogener Daten im Kontext des KI-Einsatzes zu stärken. Ziel ist es, die Funktionsfähigkeit des Verwaltungshandelns, insbesondere des Garante, zu gewährleisten, indem ihm angemessene Befugnisse und eine effektive Beteiligung an den KI-Regulierungs- und Experimentierprozessen eingeräumt werden, insbesondere dort, wo Auswirkungen auf personenbezogene Daten und Grundrechte bestehen.

Auferlegte Maßnahmen

Nicht zutreffend, da es sich um eine Stellungnahme zu einem Entwurf eines Gesetzesdekrets handelt. Die vom Garante gegebenen Hinweise sind Empfehlungen zur Ergänzung und Änderung des Gesetzesentwurfs, nicht Maßnahmen, die einer sanktionierten Partei auferlegt werden.

Sanktion

Nicht zutreffend, da es sich um eine Stellungnahme zu einem Entwurf eines Gesetzesdekrets und nicht um eine Sanktionsmaßnahme handelt.

Praktische Auswirkungen

Diese Stellungnahme ist entscheidend, um zu verstehen, wie Italien die KI-Verordnung (EU) 2024/1689 umsetzen will. Sie verdeutlicht die Notwendigkeit einer sorgfältigen Integration zwischen der KI-Gesetzgebung und der Datenschutzgesetzgebung. Unternehmen, die KI-Systeme entwickeln oder nutzen, insbesondere solche, die als Hochrisikosysteme gelten oder in Kontexten wie Arbeit, Bildung oder dem Finanzsektor eingesetzt werden, müssen die Entwicklung dieses Gesetzesdekrets genau verfolgen. Die Hinweise des Garante unterstreichen die Bedeutung, die Würde und Vertraulichkeit der Arbeitnehmer beim Einsatz von KI zu gewährleisten, Entscheidungen nicht ausschließlich auf automatisierten Verarbeitungen zu basieren und Transparenz und Verständlichkeit der Begründungen sicherzustellen. Darüber hinaus müssen Unternehmen die Befugnisse der verschiedenen nationalen Behörden (AgID, ACN, Garante, Banca d'Italia, CONSOB, IVASS) sowie deren Formen der Zusammenarbeit und Überwachung beachten, insbesondere in Bezug auf die Konformität von KI-Systemen und die Verwaltung personenbezogener Daten.

Fragen zur Selbsteinschätzung

Nutzt unsere Organisation KI-Systeme? Wenn ja, gelten sie als Hochrisikosysteme?
Wie werden sich die KI-Verordnung und die nationale Gesetzgebung auf unsere aktuellen und zukünftigen KI-Anwendungen auswirken?
Haben wir Prozesse, um menschliches Eingreifen bei kritischen KI-basierten Entscheidungen zu gewährleisten?
Umfasst unsere Datenschutzerklärung den Einsatz von KI und die damit verbundene Verarbeitung personenbezogener Daten ausreichend?
Sind uns die Befugnisse und Zuständigkeiten der verschiedenen nationalen Behörden im Bereich KI bekannt?

Verweise

Nationales Recht: Decreto legislativo 30 giugno 2003, n. 196 · Legge 23 settembre 2025, n. 132 · Legge 7 agosto 1990, n. 241 Art. 15 · Decreto legislativo 18 agosto 1997, n. 152 Art. 1-bis

Anmerkungen

Der Garante betont die Unzureicheheit der derzeitigen Mittel, um die aus der KI-Verordnung resultierenden zusätzlichen Kompetenzen effektiv auszuüben, und fordert eine umfassende Überprüfung.

Der italienische Garante Privacy hat einen Gesetzesentwurf geprüft, der der Anwendung der neuen Europäischen Verordnung über künstliche Intelligenz (bekannt als ‘KI-Verordnung’) in Italien dient