Einwilligung für EU-gehostete LLMs (Mistral, Aleph Alpha)

Brauche ich eine Nutzereinwilligung, um personenbezogene Daten an ein EU-gehostetes LLM zu senden?

Das hängt von der Rechtsgrundlage ab. Die Übermittlung personenbezogener Daten an ein LLM — auch an EU-gehostete Modelle wie Mistral oder Aleph Alpha — ist eine Verarbeitung nach Artikel 4 Absatz 2 DSGVO. Einwilligung ist eine mögliche Rechtsgrundlage (Artikel 6 Absatz 1 Buchstabe a); berechtigtes Interesse (6 Absatz 1 Buchstabe f) oder Vertragserfüllung (6 Absatz 1 Buchstabe b) können ebenfalls in Betracht kommen. EU-Hosting reduziert Transferrisiken, ersetzt aber nicht die Prüfung der Rechtsgrundlage.

• EU-Hosting (Mistral in Paris; Aleph Alpha in Heidelberg) reduziert Risiken aus Kapitel V für Drittlandtransfers, ändert aber nichts am Bedarf einer Rechtsgrundlage nach Artikel 6
• Bei Einwilligung: Sie muss freiwillig, spezifisch, informiert und eindeutig sein; der Widerruf muss so einfach sein wie die Erteilung (Artikel 7)
• Bei berechtigtem Interesse: Führen und dokumentieren Sie vor Beginn der Verarbeitung die dreistufige Interessenabwägung (Zweck, Erforderlichkeit, Abwägung)
• KI-Verordnung Artikel 50 Transparenz: Betreiber generativer KI müssen Nutzer informieren, wenn sie mit KI-generierten Inhalten interagieren — getrennt von der DSGVO-Einwilligung