GDPR & AI — 理解数据保护

DSGVO 和 AI — 基础知识

什么是个人数据？

个人数据 = 所有与可识别个人相关的信息。

不仅仅是姓名和电子邮件。还包括： IP地址、位置信息、购买行为、点击模式、设备标识符— 以及所有可能导致识别的组合。

AI 系统几乎总是处理个人数据。 DSGVO 适用。

六大原则 — 简要概述

您作为数据主体的权利

Art. 22 对 AI 特别重要： 对个人有重大影响的自动化决策（如贷款拒绝、工作拒绝、保险价格）必须可申诉。

特殊数据类别 — 增强保护

这些数据原则上不得处理 — 除非有明确同意：

• 健康数据
• 种族或民族出身
• 政治观点
• 宗教信仰
• 工会会员身份
• 生物特征数据
• 性取向

对于 AI 开发者： 如果训练数据即使只是隐含地允许推断这些类别 — 风险增加。

继续阅读： 运营者的义务 →

DSGVO 在 AI 应用中的义务

启动前：三项义务

1. 确定法律依据

没有依据不得进行数据处理。AI 的主要依据：

注意： “我们想改进 AI” 并不是自动适用的合法利益。 需要记录利益权衡。

2. 检查 DPIA — 何时是义务？

根据 Art. 35 DSGVO，数据保护影响评估 (DPIA) 在以下情况下是强制性的：

• 系统性地对个人进行分析
• 处理特殊数据类别 (→ 模块 1)
• 自动化决策具有重大影响
• 基于 AI 的员工监控

评估范围？ DPIA 记录：处理什么？为什么？产生哪些风险？采取了哪些保护措施？

3. 通知相关人员

在处理之前，相关人员必须知道：

1. 谁在处理数据（名称，联系方式）
2. 为什么（目的和法律依据）
3. 多久
4. 向谁披露
5. 是否进行自动化决策 (Art. 13 Abs. 2 f)

运营中：两项关键义务

报告数据泄露 (Art. 33)

在数据丢失、被盗或未经授权访问时：

• 72 小时内向数据保护监督机构报告
• 对相关人员有高风险时：也需直接通知相关人员 (Art. 34)

AI 系统没有例外。 AI 系统的数据泄露触发相同的义务。

遵守保留政策

AI 训练数据与所有其他个人数据一样，须遵守删除义务。 “我们需要数据进行再训练”不是无限期保留的理由。

实践案例：学习型聊天机器人

一个客户服务聊天机器人记录所有对话“以便改进”。 在对话中偶尔提到健康数据。

DSGVO 违规：

1. 缺乏健康数据的同意 (Art. 9 — 特殊类别)
2. 目的绑定违反：对话用于客户服务 ≠ 同意用于 AI 训练
3. 未通知相关人员 AI 使用情况

需要采取的措施：

• 立即从训练数据中删除健康数据
• 通知数据保护机构（如有重大风险）
• 调整流程：在用于训练前获得同意

总结：AI 的 DSGVO 检查清单

使用前：
  ☐ 记录法律依据
  ☐ 检查 DPIA（并在必要时进行）
  ☐ 通知相关人员
  ☐ 检查数据类别（特殊类别？）

运营中：
  ☐ 定义并实施保留政策
  ☐ 启用访问控制
  ☐ 存在数据泄露处理流程（72 小时期限！）
  ☐ 定义相关人员权利流程

返回： DSGVO 基础 | 开始评估 →