Australien verschärft KI-Transparenzpflichten

Australien verschärft die Anforderungen an Unternehmen, die automatisierte Entscheidungsprozesse einsetzen. Das Office of the Australian Information Commissioner (OAIC) hat seine endgültige Leitlinie (New resources on transparency for use of AI and automated decision-making) zu den neuen Transparenzpflichten veröffentlicht. Ab dem 10. Dezember 2026 sind Unternehmen verpflichtet, offenzulegen, wenn Computerprogramme Entscheidungen über Personen treffen oder diese maßgeblich beeinflussen. Grundlage sind die Australian Privacy Principles (APP).

Die neuen Vorgaben betreffen nicht nur den Einsatz von KI-Systemen, sondern umfassen auch den Einsatz von gewöhnlichen Softwaresystemen sowie anderen regelbasierten Anwendungen.

Wann greift die Transparenzpflicht?

Die neuen Vorschriften gelten, wenn drei Voraussetzungen erfüllt sind:

1. Ein Unternehmen setzt ein Computerprogramm ein, das eine Entscheidung trifft oder unmittelbar und wesentlich zu ihrem Zustandekommen beiträgt.
2. Die Entscheidung kann die Rechte oder Interessen einer Person erheblich beeinflussen.
3. Weiterhin müssen personenbezogene Daten der betroffenen Personen bei der Nutzung des Programms verarbeitet werden.

Insofern die Voraussetzungen erfüllt sind, sind Unternehmen verpflichtet in ihren Datenschutzerklärungen offenlegen, welche Kategorien personenbezogener Daten verwendet werden, welche Entscheidungen vollständig automatisiert erfolgen und bei welchen Entscheidungen ein Computerprogramm wesentliche Aufgaben übernimmt.

Die entsprechenden Angaben in der Datenschutzerklärung müssen verständlich formuliert sein und die tatsächlichen Abläufe wiedergeben. Allgemeine Hinweise auf den möglichen Einsatz automatisierter Technologien reichen nicht aus. Die Transparenzpflicht soll nachvollziehbar machen, welche Rolle entsprechende Systeme bei Entscheidungen über einzelne Personen spielen.

Auch Standardsoftware betroffen

Die OAIC legt den Begriff Computerprogramm (computer program) weit aus. Neben KI-Anwendungen und Chatbots können auch alltägliche Anwendungen, wie zum Beispiel Textverarbeitungsprogramme oder Tabellenkalkulationen, von den neuen Regelungen umfasst sein.

Entscheidend ist nicht allein die Art der Software, sondern auch ihre Funktion im Entscheidungsprozess. Die Vorschriften umfassen dabei selbst entwickelte Software ebenso wie eingekaufte Software. Die Verantwortung für die Anwendung trägt dabei das Unternehmen stets selbst, auch wenn die Software von einem externen Anbieter stammt und die internen Parameter vom Unternehmen nicht vollständig kontrolliert werden können.

Menschliche Kontrolle schließt die Pflicht nicht automatisch aus

Ein Computerprogramm fällt bereits dann unter die Regelung, wenn es ein wesentlicher Faktor bei einer Entscheidung ist. Dabei spielt es keine entscheidende Rolle, ob es das Ergebnis selbst festlegt, eine Empfehlung abgibt oder den Entscheidungsprozess anderweitig beeinflusst. Auch die Beteiligung eines Menschen schließt die Transparenzpflicht nicht grundsätzlich aus.

Ausgenommen sind lediglich Entscheidungen, die im Rahmen einer umfassenden menschlichen Aufsicht und Kontrolle getroffen werden (extensive human oversight and control). Was genau als ausreichend umfangreiche Kontrolle gilt, definiert die Behörde allerdings nicht abschließend.

Als mögliche Maßnahmen nennt OAIC die kritische Überprüfung von Ergebnissen und Eingangsdaten, die Begrenzung von Systemparametern, die Einbeziehung zusätzlicher Informationen und die Dokumentation von Entscheidungen, die von einer Systemempfehlung abweichen. Unternehmen sollten deshalb nicht nur festhalten, wo KI eingesetzt wird, sondern auch dokumentieren, wie Menschen die Ergebnisse prüfen und in die abschließende Entscheidung einbeziehen.

Beschäftigung, Kredite und personalisierte Preise im Fokus

Die Transparenzpflicht betrifft Entscheidungen, die mehr als nur geringfügige Auswirkungen auf die Lebensumstände einer Person haben können. Dazu zählen insbesondere Entscheidungen in Bezug auf ein Beschäftigungsverhältnis, Wohnraum, Gesundheitsversorgung, Bank- und Kreditdienstleistungen sowie Energie- und Telekommunikationsleistungen.

Auch personalisierte Preise können in den Anwendungsbereich der neuen Regelungen fallen. Als Beispiel nennt die OAIC eine Onlineplattform, die anhand von Postleitzahlen unterschiedliche Preise für lebensnotwendige Produkte verlangt.

Geschäftsgeheimnisse bleiben geschützt

Die neuen Vorschriften berücksichtigen allerdings auch, dass die Offenlegung von kommerziell sensiblen Informationen und Geschäftsgeheimnissen einem Unternehmen schaden können. Daher kann die technische Funktionsweise eines Systems vertraulich bleiben, während sein Einsatz und Zweck transparent gemacht werden müssen. Eine Bank kann zum Beispiel die Gewichtung einzelner Datenpunkte zur Erkennung von Betrugsfällen geheim halten, müsste aber offenlegen, dass personenbezogene Daten zur Betrugserkennung und für Kreditentscheidungen verwendet werden.

Einen Überblick zu den rechtlichen Entwicklungen zum Thema KI bietet die GTAI-Publikation Rechtsatlas KI.

Dieser Inhalt gehört zu