Rechtliches
Verantwortungsvolle KI und Datenschutz
Eine kurze, ehrliche Zusammenfassung, wie AskEU mit KI-Risiken und personenbezogenen Daten umgeht. Es ist unsere eigene Einschätzung, kein Rechtsgutachten und keine Zertifizierung.
Als PDF herunterladen (Englisch)
Was AskEU ist und was nicht
AskEU ist ein Informationsdienst zu Gesundheitsrechten. Er stellt keine Diagnosen, empfiehlt keine Behandlung, verarbeitet keine Krankenakten und entscheidet über niemanden. Die Nutzung braucht kein Konto, und nach Gesundheitsdaten wird nie gefragt.
EU-KI-Verordnung: unsere Einschätzung
- Transparenz (Art. 50): Menschen wird gesagt, dass sie mit einer KI sprechen, und jede von der KI geschriebene Antwort ist als KI-generiert gekennzeichnet.
- Risikoklasse: Wir stufen AskEU als System mit begrenztem Risiko ein. Es entscheidet nicht über den Zugang zu Leistungen oder Diensten und triagiert keine Notfälle, fällt also nicht unter die Hochrisiko-Anwendungen in Anhang III.
- Unsere Rolle: Wir setzen ein KI-Modell eines Drittanbieters ein. Regelbibliothek, Anweisungen und Prüfungen stammen von uns.
- Wir prüfen neu, wenn sich der Umfang ändert, zum Beispiel wenn eine Behörde AskEU für Anspruchsentscheidungen nutzen will.
DSGVO: unsere Einschätzung
- Daten, die wir verarbeiten: für den frühen Zugang E-Mail, Land, Statuskategorie, Sprache und optional Organisation und Frage. Gesprächsprotokolle werden pseudonymisiert und 90 Tage aufbewahrt.
- Rechtsgrundlage: Einwilligung, Vertrag und berechtigtes Interesse (Art. 6 Abs. 1 lit. a, b, f). Die Daten liegen in der EU. Auskunft, Berichtigung oder Löschung gibt es unter privacy@ask.eu.com.
- Sensible Daten: Wir fragen nie danach, aber Menschen können sie in eine Freitextfrage schreiben. Wir warnen davor, bewahren Protokolle kurz auf und löschen auf Anfrage.
- DSFA: Wir schätzen ein, dass eine vollständige Datenschutz-Folgenabschätzung (Art. 35) in dieser Phase nicht nötig ist, weil es keine systematische Überwachung und keine umfangreiche Verarbeitung von Gesundheitsdaten gibt. Diese Zusammenfassung ist unsere leichte Fassung. Vor einer Skalierung oder vor Konten oder gesundheitsbezogenen Funktionen machen wir eine vollständige DSFA.
Wichtigste Risiken und unsere Maßnahmen
| Risiko | Was wir tun |
|---|---|
| Falsche oder veraltete Antwort | Antworten dürfen nur eine geschlossene Bibliothek geprüfter Regeln nutzen. Jede Aussage verweist auf eine Regel und ihre amtliche Quelle, nicht belegte Aussagen werden entfernt. Regeln im Wandel tragen eine Warnung. Passt keine Regel, sagt die KI das. |
| Medizinischer Notfall | Ein 112-Hinweis steht auf jeder Seite, und die KI ist angewiesen, bei einem erwähnten Notfall zuerst den Notruf 112 zu nennen. AskEU stellt klar, dass es kein Notdienst ist. |
| Eingegebene sensible Daten | Weder Formulare noch KI fragen danach, ein Hinweis bittet, sie nicht zu teilen, Protokolle werden pseudonymisiert und nach 90 Tagen gelöscht, und eine Löschung ist jederzeit möglich. |
| Schutzbedürftige Nutzer und Missverständnisse | Neuankömmlinge und Geflüchtete könnten eine Antwort falsch verstehen oder sich zu sehr darauf verlassen. Wir nutzen einfache Sprache in vier Sprachen, setzen amtliche Begriffe in Klammern, damit sie zu Formularen passen, nennen stets Ansprechstellen und wiederholen den Hinweis, wo Antworten erscheinen. |
| Abhängigkeit von einem KI-Anbieter | Regelbibliothek und Prüfungen gehören AskEU und sind vom Modell getrennt, das Modell lässt sich also ersetzen. An das Modell geht nur der Fragetext, nicht die Daten des frühen Zugangs. |
| Sicherheitsvorfall | Keine Konten und minimale Daten. Strenge Sicherheits-Header und eine Content-Security-Policy, Hosting in der EU und Ratenbegrenzung beim KI-Dienst. Sind personenbezogene Daten betroffen, melden wir binnen 72 Stunden an die Behörde, wie es die DSGVO verlangt. |
Nächste Schritte
- Unabhängige juristische Prüfung dieser Einschätzung vor dem öffentlichen Start.
- Genauigkeitstests an veröffentlichten Zielwerten vor dem Start.
- Eine vollständige DSFA vor Skalierung oder Konten.
- Fragen: privacy@ask.eu.com