Auf den Punkt: Web-Scraping für KI-Training erfasst regelmäßig personenbezogene Daten und unterliegt trotz öffentlicher Zugänglichkeit vollständig den Vorgaben der DSGVO.
Werden Trainingsdaten für generative KI-Systeme aus dem Internet gescrapt, sind darunter regelmäßig auch personenbezogene Daten. Die DSGVO setzt diesem Vorgehen klare Grenzen, die Anbieter und Betreiber von KI-Systemen einhalten müssen.
Web-Scraping bezeichnet das automatisierte Auslesen von Inhalten aus öffentlich zugänglichen Webseiten, Foren, sozialen Netzwerken und anderen Online-Quellen. Generative KI-Modelle benötigen für ihr Training große Datenmengen, die häufig auf diesem Weg beschafft werden. Da im Internet neben rein sachlichen Informationen auch Namen, Fotos, Kontaktdaten, Meinungsäußerungen und andere personenbezogene Informationen frei zugänglich sind, fallen diese beim Scraping regelmäßig mit an. Die Tatsache, dass Daten öffentlich einsehbar sind, ändert nichts daran, dass ihre Verarbeitung den Regeln der DSGVO unterliegt.
Für Verantwortliche, die KI-Systeme einsetzen oder deren Entwicklung beauftragen, ergibt sich daraus eine Prüfpflicht entlang mehrerer datenschutzrechtlicher Grundsätze. Erforderlich ist zunächst eine Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung der gescrapten personenbezogenen Daten, wobei berechtigtes Interesse regelmäßig als Grundlage herangezogen wird, aber eine Interessenabwägung mit den Betroffenenrechten voraussetzt. Hinzu kommen die Grundsätze der Zweckbindung, der Datenminimierung sowie der Transparenz, die bei der Sammlung großer, unstrukturierter Datenmengen aus dem Netz besonders schwer umzusetzen sind, da Betroffene in aller Regel nicht wissen, dass ihre Daten für KI-Training verwendet werden.
Für Compliance-Verantwortliche in Unternehmen, die generative KI-Anwendungen einsetzen oder eigene Modelle trainieren, bedeutet dies, dass Herkunft und Rechtmäßigkeit der Trainingsdaten von Anbietern nachvollziehbar dokumentiert und geprüft werden müssen. Dazu gehört auch die Klärung, wie Betroffenenrechte wie Auskunft, Löschung oder Widerspruch gegenüber gescrapten und ins Modell eingeflossenen Daten technisch und organisatorisch umgesetzt werden können, da ein nachträgliches Entfernen einzelner Datensätze aus einem bereits trainierten Modell praktisch kaum möglich ist. Bei der Beschaffung oder Weiterentwicklung von KI-Systemen sollten Unternehmen daher vertragliche Zusicherungen der Anbieter zur datenschutzkonformen Datenbeschaffung einfordern und im Rahmen einer Datenschutz-Folgenabschätzung dokumentieren.
Quelle: www.computerweekly.com · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.