Die Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) Ungarns hat die detailliertesten Vorgaben zu den Datenschutzanforderungen für KI-Systeme von allen zentral- europäischen DPAs veröffentlicht. Im Jahr 2024 gab die NAIH 38 Durchsetzungsentscheidungen bekannt und veröffentlichte detaillierte KI-Richtlinien, die eine explizite Datenschutz-Folgenabschätzung (DPIA) für jedes KI-System verlangen, das personenbezogene Daten verarbeitet — eine umfassendere Anforderung als die Grundanforderungen der DSGVO.
NAIHs KI-erster Durchsetzungsansatz
Während die meisten EU-DPAs allgemeine Leitlinien zu KI und DSGVO veröffentlicht haben, ist die Richtlinie der NAIH von 2024 operationell spezifisch:
DPIA ist für alle KI-Systeme, die personenbezogene Daten verarbeiten, obligatorisch: NAIH verlangt eine abgeschlossene DPIA, bevor ein KI-System, das personenbezogene Daten verarbeitet, eingesetzt wird — unabhängig davon, ob die Verarbeitung gemäß der allgemeinen DPIA-Anforderung der DSGVO als "hochriskant" eingestuft wird. Dies ist anspruchsvoller als der risikobasierte Ansatz des Artikels 35 der DSGVO.
Anforderungen an den DPIA-Bereich: Das Modell-DPIA der NAIH für KI-Systeme muss Folgendes umfassen:
- Technische Beschreibung der Dateninputs und -outputs des KI-Modells
- Nachweis, dass die Trainingsdaten entweder tatsächlich anonymisiert oder auf einer spezifischen rechtlichen Grundlage verarbeitet wurden
- Bewertung des Risikos algorithmischer Diskriminierung
- Mechanismus zur menschlichen Überprüfung automatisierter Entscheidungen
- Aufbewahrungs- und Löschfristen für KI-verarbeitete Daten
Jährliche Neubewertung: NAIH verlangt, dass DPIAs jährlich aktualisiert werden, wenn KI-Systeme neu trainiert oder erheblich modifiziert werden.
Ungarn bearbeitete 2024 über 890.000 DSGVO-Anfragen von betroffenen Personen — ein erhebliches Volumen für ein Land mit 10 Millionen Einwohnern, was auf eine aktive Ausübung von Rechten hinweist und operative Compliance-Anforderungen schafft.
Die Genauigkeitslücke des ungarischen NER
Die technische Bewertung der NAIH von 2024 ergab, dass die Genauigkeit des ungarischsprachigen NER-Modells bei 67% liegt — erheblich unter dem EU-Durchschnitt von 82%. Diese Lücke hat praktische Durchsetzungsimplikationen: Organisationen, die ungarische personenbezogene Daten mit englischen oder deutschen NLP-Tools verarbeiten, machen systematische Erkennungsfehler.
Ungarisch ist morphologisch komplex (agglutinative Sprache mit umfangreicher Suffixierung), was spezifische Herausforderungen für NLP-Modelle schafft, die auf analytischen Sprachen wie Englisch trainiert sind. Namen, Adressen und Identifikatoren, die in ungarischer Prosa eingebettet sind, erfordern Modelle, die auf ungarischsprachigem Text trainiert sind, um eine angemessene Erkennungsgenauigkeit zu erreichen.
Ungarische nationale Identifikatoren
TAJ-szám (Társadalombiztosítási Azonosító Jel): 9-stellige Sozialversicherungsnummer. Wird in allen Gesundheits-, Sozialleistungs- und Rentenunterlagen verwendet. Die Validierung erfolgt mithilfe eines gewichteten Prüfziffernalgorithmus, der von den Standards der ungarischen Sozialversicherungsbehörde definiert wird.
Adóazonosító jel: 10-stellige Steueridentifikationsnummer für Einzelpersonen. Format: 8-stellige Kernzahl + 2 Prüfziffern. Erscheint in Arbeitsverträgen, Steuererklärungen, Lohnunterlagen und Finanzdienstleistungsdokumenten.
Személyi igazolvány Nummer: Ungarische Personalausweisnummer. Format und Prüfziffernstruktur spezifisch für ungarische Ausgabekonventionen.
Útlevél Nummer: Ungarische Reisepassnummer. Format spezifisch für ungarische Ausgaben, mit Prüfziffer.
Die technische Bewertung der NAIH ergab, dass generische NLP-Tools TAJ-szám in 61% der Dokumente aufgrund von Formatvariationen und dem Fehlen validierter Prüfziffernalgorithmen übersehen.
Kontext der Compliance bei der Digitalisierung der ungarischen Regierung
Das Digitalisierungsprogramm der ungarischen Regierung — das öffentliche Dienstleistungen auf der Plattform Ügyfélkapu (Kundenportal) konsolidiert — schafft erhebliche Compliance-Anforderungen. Die Plattform verarbeitet personenbezogene Daten von über 4 Millionen registrierten ungarischen Bürgern in den Bereichen Steuern, Sozialdienste, Gesundheitswesen und Lizenzierung.
Private Organisationen, die sich mit Ügyfélkapu integrieren (für das Management von Mitarbeiterleistungen, Steuererklärungsdienste oder Identitätsüberprüfung), verarbeiten ungarische nationale Identifikatoren in regulierten Kontexten. Die NAIH hat festgestellt, dass private Integratoren häufig internationale PII-Tools ohne Unterstützung für ungarische spezifische Identifikatoren einsetzen — was systematische Compliance-Lücken schafft.
Auswirkungen des KI-Gesetzes
Ungarn gehört zu den ersten EU-Mitgliedstaaten, die die Umsetzung des EU-KI-Gesetzes in ihren DPA-Richtlinien formal ansprechen. Die Position der NAIH:
Hochriskante KI-Systeme (wie im Anhang III des EU-KI-Gesetzes definiert — einschließlich KI in der Beschäftigung, Kreditbewertung und wesentlichen Dienstleistungen) erfordern sowohl eine Konformitätsbewertung gemäß dem KI-Gesetz als auch die erweiterte DPIA der NAIH.
Allzweck-KI-Modelle, die zur Verarbeitung personenbezogener Daten ungarischer Bürger verwendet werden, erfordern eine NAIH-DPIA, selbst wenn sie nicht individuell als hochriskant gemäß dem KI-Gesetz eingestuft werden.
Für Organisationen, die KI-Systeme in Ungarn einsetzen, besteht die praktische Compliance-Anforderung darin: NAIH-DPIA vor dem Einsatz, ungarischsprachige NER-Unterstützung zur Erkennung personenbezogener Daten in Dokumenten und TAJ-szám/adóazonosító jel-Erkennung mit Prüfziffernvalidierung.
Quellen: