KI a RGPD am Betrib: konform ginn zu Lëtzebuerg

<figure>
  <table>
    <caption>Déi 4 RGPD-Flichten déi en KI-Projet am Betrib ausléist, mat hirem Referenzartikel.</caption>
    <thead>
      <tr>
        <th scope="col">Flicht</th>
        <th scope="col">RGPD-Artikel</th>
        <th scope="col">Wat dat heescht</th>
      </tr>
    </thead>
    <tbody>
      <tr>
        <td>Eng Rechtsgrondlag festleeën</td>
        <td>Artikel 6</td>
        <td>Eng vun de sechs Grondlagen wielen (Aweisung, Kontrakt, gesetzlech Flicht, vital Interêt, Mission am ëffentlechen Interêt, berechtegt Interêt), ier Dir d'KI un d'Donnée uschléisst.</td>
      </tr>
      <tr>
        <td>Déi betraffe Persounen informéieren</td>
        <td>Artikel 13 an 14</td>
        <td>Soen wien traitéiert, firwat, op wéi enger Grondlag, wuer d'Donnéeën ginn an wéi laang: Dateschutzerklärung plus kloeren Hiweis op d'KI.</td>
      </tr>
      <tr>
        <td>De Verarbechtungsregister féieren</td>
        <td>Artikel 30</td>
        <td>De KI-Projet als nei Traitement aschreiwen, mat Zweck, Donnéeëkategorien, Empfänger an Opbewahrungsdaueren.</td>
      </tr>
      <tr>
        <td>Eng AIPD maachen bei héijem Risiko</td>
        <td>Artikel 35</td>
        <td>D'Impaktanalys virum Produktiounsbetrib maachen, wann d'Traitement risikobehaft ass (sensibel Donnéeën am grousse Mooss, Profiling, systematesch Iwwerwaachung).</td>
      </tr>
    </tbody>
  </table>
</figure>

<h3>Flicht 1: eng Rechtsgrondlag festleeën</h3>
<p>Ier Dir eng KI un e Floss vun Donnéeën uschléisst, musst Dir wëssen wéi eng vun de sechs Grondlagen aus dem Artikel 6 vum RGPD gëllt: dacks de Kontrakt oder de berechtegten Interêt fir e Support-Chatbot, d'Aweisung fir de Marketing. Dës Qualifikatioun bestëmmt wat Dir mat der Donnée maachen däerft.</p>

<h3>Flicht 2: déi betraffe Persounen informéieren</h3>
<p>Déi Persounen, deenen hir Donnéeën duerch Är KI lafen, mussen informéiert ginn (Artikel 13 an 14 vum RGPD): iwwer Är Dateschutzerklärung, an duerch e kloeren Hiweis wann e Visiteur mat engem KI-Assistent schwätzt anstatt mat engem Mënsch.</p>

<h3>Flicht 3: de Verarbechtungsregister féieren</h3>
<p>De Register vun den Traitementaktivitéiten (Artikel 30 vum RGPD) lëscht all Traitement vum Betrib op. E KI-Projet ass eng nei: et muss do erschéngen, oder d'Schafung vum Register rechtfäerdegen wann et nach keen gëtt.</p>

<h3>Flicht 4: eng Impaktanalys (AIPD) maachen wann d'Traitement risikobehaft ass</h3>
<p>D'AIPD (Artikel 35 vum RGPD) ass obligatoresch wann eng Traitement e héije Risiko fir d'Persounen mat sech bréngt. D'<a href="https://cnpd.public.lu/fr/professionnels/obligations/AIPD/liste-dpia.html" rel="noopener">CNPD publizéiert d'Lëscht vun den Traitementer fir déi eng AIPD zu Lëtzebuerg gefrot ass</a> (Lëscht aktualiséiert 2019, ergänzt duerch d'Kritären vum Europäeschen Dateschutzcomité). Am Zweiwel ass d'AIPD de virsiichtege Reflex.</p>

<h3>Ass ChatGPT RGPD-konform fir mäi Betrib?</h3>
<p>Dat hänkt vum Asaz of. E Grand-Public-Tool deen op engem amerikaneschen Acteur baséiert wërft zwou Froen op: wuer geet d'Donnée a wien kann drop zougräifen. Op gewéinlechen Donnéeën mat engem kontraktuelle Kueder, léisst sech en encadréierten Asaz envisagéieren. Op sensiblen Donnéeën (juristesch, medizinesch, finanziell) ass eng an Europa vun engem net amerikaneschen Acteur gehost KI de séchersten Wee, well se d'Fro vun den Transferten ausserhalb vun der EU zoumécht.</p>

<h3>Brauch et eng AIPD fir e KI-Chatbot?</h3>
<p>Net systematesch. D'AIPD (Artikel 35 vum RGPD) ass obligatoresch wann d'Traitement e héije Risiko fir d'Persounen duerstellt. E Basis-FAQ-Chatbot op wéineg sensiblen Donnéeën léist net onbedéngt eng aus; e Chatbot deen Profiling mécht, sensibel Donnéeën traitéiert oder am grousse Mooss schafft, jo. D'CNPD publizéiert d'Lëscht vun den Traitementer fir déi eng AIPD zu Lëtzebuerg gefrot ass: dat ass den éischte Reflex fir d'Fro ze klären.</p>

<h3>Wien ass verantwortlech fir d'Traitement, ech oder den Acteur vun der KI?</h3>
<p>Allgemeng sidd Dir et: de Betrib deen iwwer d'Ziler an d'Mëttele vum Traitement entscheet, ass verantwortlech fir d'Traitement. Den Acteur vum KI-Tool ass meeschtens Ënnerveraarbechter am Sënn vum RGPD (Artikel 28), wat e Kontrakt vun der Ënnerveraarbechtung erfuerdert deen seng Flichten encadréiert. D'Verantwortung fir d'Konformitéit léisst sech net voll un d'Tool delegéieren.</p>

<h3>Duergeet d'Hosting an Europa fir RGPD-konform ze sinn?</h3>
<p>Wichteg, mä net duergeet eleng. Fir d'éischt well en Acteur no amerikaneschem Recht och mat europäesche Server dem Cloud Act ënnerleit. Dann well d'RGPD-Konformitéit vill méi wéi d'Plaz ofdeckt: Rechtsgrondlag, Informatioun vun de Persounen, Register, Opbewahrungsdaueren, Rechter vun de Persounen. D'europäescht Hosting duerch en net amerikaneschen Acteur reegelt de schwéiere Punkt vun den Transferten, net d'Ganzt.</p>