UK-ICO-KI-Leitlinien: Was Organisationen 2026 wissen müssen

Das Information Commissioner's Office (ICO) ist die zentrale Aufsichtsbehörde des Vereinigten Königreichs für KI, soweit personenbezogene Daten betroffen sind. Das Vereinigte Königreich verfügt zwar über kein eigenständiges KI-Gesetz, doch die Durchsetzungsbefugnisse des ICO nach der UK-DSGVO und dem Data Protection Act 2018 verleihen ihm in Verbindung mit den Reformen des Data (Use and Access) Act 2025 weitreichende Befugnisse gegenüber KI-Systemen, die personenbezogene Daten verarbeiten.

Wichtige Entwicklungen 2025 und 2026

DUAA-Reformen (5. Februar 2026). Section 80 ersetzte Artikel 22 durch die Artikel 22A bis 22D und erweiterte die Umstände, unter denen ausschließlich automatisierte Entscheidungsfindung zulässig ist. Für besondere Kategorien personenbezogener Daten (Gesundheit, ethnische Herkunft, biometrische Daten) bleibt das strengere Regime erhalten. Der ICO erhielt erweiterte Untersuchungs- und Durchsetzungsinstrumente, darunter Anordnungen zur Dokumentenvorlage.

Konsultation zum ADM-Leitfaden (31. März bis 29. Mai 2026). Der ICO leitete eine Konsultation zum Entwurf des aktualisierten Leitfadens zur automatisierten Entscheidungsfindung ein. Der Entwurf betont, verantwortungsvolle automatisierte Entscheidungsfindung (ADM) zu ermöglichen, anstatt sie als Ausnahmefall zu behandeln. Der endgültige Leitfaden wird für den Sommer 2026 erwartet. Organisationen sollten sich an der Konsultation beteiligen und die Einhaltung des endgültigen Leitfadens planen.

ICO-KI-Toolkit. Der veröffentlichte Leitfaden des ICO zu KI und Datenschutz umfasst: Fairness bei KI; Transparenz bei KI; Rechenschaftspflicht und Governance bei KI; sowie Rechtmäßigkeit und Zweckbindung bei KI. Dieses Toolkit bleibt die wichtigste praktische Referenz für britische Organisationen, die KI zur Verarbeitung personenbezogener Daten einsetzen.

Durchsetzungspraxis. Der ICO kann nach der UK-DSGVO Geldbußen von bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes verhängen. Mit dem DUAA wurden die Bußgelder nach PECR auf das Niveau der UK-DSGVO angehoben. Der ICO war bei der KI-Durchsetzung aktiv; die gemeinsame Untersuchung von Clearview AI, Untersuchungen KI-bezogener Beschwerden und die Auseinandersetzung mit KI-spezifischen Bedenken zeigen die Handlungsbereitschaft der Aufsichtsbehörde.

Was der ICO von Organisationen erwartet

Rechtsgrundlage. KI, die personenbezogene Daten verarbeitet, benötigt eine Rechtsgrundlage nach Artikel 6 der UK-DSGVO. Für das Training von KI mit personenbezogenen Daten räumen die durch den DUAA reformierten Regelungen zur Zweckbindung (Artikel 5 Abs. 1 lit. b) mehr Spielraum für die Weiterverwendung von Daten ein, doch die Anforderungen an Rechtsgrundlage, Transparenz und Fairness bleiben bestehen.

Datenschutz-Folgenabschätzung. Erforderlich bei Verarbeitungen mit hohem Risiko, wozu die systematische Bewertung von Personen, automatisierte Entscheidungsfindung mit erheblichen Auswirkungen, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten und die innovative Nutzung von Technologien zählen. Die meisten folgenreichen KI-Einführungen lösen die Pflicht zu einer Datenschutz-Folgenabschätzung (DSFA) aus.

Transparenz. Betroffene Personen müssen über den Einsatz von KI bei Entscheidungen informiert werden, die sie betreffen. Datenschutzhinweise sollten die automatisierte Verarbeitung, die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen offenlegen.

Rechte der betroffenen Personen. Auskunftsrecht (Artikel 15), einschließlich aussagekräftiger Informationen über die bei automatisierten Entscheidungen involvierte Logik. Recht auf Berichtigung, wenn KI unrichtige Daten verarbeitet. Recht auf Löschung, sofern anwendbar. Recht auf Widerspruch gegen Profiling.

DRCF-Koordinierung

Der ICO ist Teil des Digital Regulation Cooperation Forum, gemeinsam mit Ofcom, FCA (Financial Conduct Authority) und CMA, unter dem Vorsitz von CMA-CEO Sarah Cardell für 2025/26. Das DRCF veröffentlichte im Oktober 2025 einen Aufruf zur Stellungnahme zu agentischer KI. Für Organisationen, die von mehreren britischen Aufsichtsbehörden reguliert werden, stellt das DRCF koordinierte Leitlinien bereit, die widersprüchliche Erwartungen reduzieren.

Primärquellen: ICO, ADM Rights Guidance · ICO, AI and Data Protection Guidance · Data (Use and Access) Act 2025

Weiterführende Lektüre