Strafverfolgung & Justiz: AI Act, Data Act & DSGVO-Pflichten

Art. 5 Abs. 1 lit. h AI Act verbietet die Echtzeit-Fernidentifizierung biometrischer Daten im öffentlichen Raum durch Strafverfolgungsbehörden — Ausnahmen gelten nur zur Suche nach Opfern bestimmter Verbrechen, zur Abwehr konkreter Lebensgefahr oder Terroranschläge sowie zur Lokalisierung Verdächtiger bei Katalog-Straftaten, jeweils mit vorab erteilter behördlicher (regelmäßig richterlicher) Autorisierung (Art. 5 Abs. 1 lit. h i.V.m. Abs. 2–5). Verboten ist zudem die Risikobewertung einer Person zur Vorhersage der Begehung von Straftaten allein aufgrund von Profiling oder Persönlichkeitsmerkmalen (Art. 5 Abs. 1 lit. d). Diese Verbote gelten seit dem 2. Februar 2025.

Anhang III Nr. 6 AI Act stuft als hochriskant ein: KI zur polyglotten Textanalyse großer Mengen natürlichsprachlicher Texte, zur Beurteilung der Zuverlässigkeit von Beweismitteln im Verlauf von Ermittlungen oder Strafverfahren, zur Beurteilung der Gefahr einer Person, Straftäter oder Opfer zu werden (ohne ausschließlich auf Profiling zu beruhen), sowie zur Profilbildung von natürlichen Personen oder Gruppen im Zusammenhang mit Strafverfolgung. Anhang III Nr. 8 erfasst Systeme, die die Ausübung des Wahlrechts beeinflussen oder Wahlergebnisse/Teilnahme vorhersagen. Diese Systeme unterliegen dem vollen Pflichtenbündel aus Art. 8–15, gültig spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026).

Der AI Act ist nicht das letzte Wort. In Deutschland setzen Grundgesetz und das Polizei- und Sicherheitsrecht der Länder eigene Schranken, etwa für die Verarbeitung biometrischer Daten; das BVerfG hat den automatisierten Einsatz von Gesichtserkennung (hessisches Polizei-HSG) verfassungsrechtlich eng begrenzt. In Österreich gelten das DSG und polizeiliche Sondergesetze; in der Schweiz das NDG und kantonales Polizeirecht. Ein AI-Act-konformes System kann daher verfassungsrechtlich dennoch unzulässig sein — die nationale Ebene muss stets mitgeprüft werden.

Anbieter hochriskanter Justiz-/Polizei-KI erfüllen Art. 8–15, Konformitätsbewertung, CE-Kennzeichnung und Registrierung (spätestens 2. Dezember 2027 (AI Omnibus 2026)). Besonders streng sind die Transparenz-, Aufzeichnungs- und Aufsichtspflichten, weil Betroffenenrechte (Art. 86 AI Act: Recht auf Erläuterung individueller Entscheidungen) starkes Gewicht haben. Aufsichtlich wirken die Marktüberwachungsbehörden, das EU AI Office (für grenzüberschreitende Durchsetzung), die Justiz- und Innenministerien sowie die Datenschutz-Aufsichten und Verfassungsgerichtsbarkeit. Vorhaben sollten früh mit den jeweiligen Aufsichten und Datenschutzbeauftragten abgestimmt werden.