Am 12. November 2026 hat das Iberoamerikanische Datenschutznetzwerk (RIPD) die Iberoamerikanischen Standards zur Verwendung personenbezogener Daten in KI-Systemen einstimmig verabschiedet; die spanische Datenschutzbehörde (AEPD) gab dies noch am selben Tag bekannt. Das Dokument gilt für mehr als 600 Millionen Menschen in Lateinamerika, Spanien und Portugal und ist das erste internationale Instrument, das den Schutz personenbezogener Daten im KI-Kontext systematisch regelt. Es schafft kein neues Gesetz, sondern fasst die gemeinsame Haltung der Datenschutzbehörden der Region zur KI in einem Text zusammen, der Punkt für Punkt geprüft werden kann.
Öffentliche Daten sind kein kostenloses Trainingsmaterial
Die direkteste Regel lautet: Personenbezogene Daten, die im Netz öffentlich zugänglich sind, dürfen deswegen noch lange nicht automatisch zum Training von KI verwendet werden. Wer sie nutzen will, braucht eine Rechtsgrundlage und muss berücksichtigen, womit die betroffene Person bei der Veröffentlichung vernünftigerweise rechnen konnte. Beiträge, Lebensläufe und Fotos, die im Netz sichtbar sind, werden nicht automatisch zu Trainingsdaten. Auch von KI abgeleitete Daten sind personenbezogene Daten: Wenn ein System aus scheinbar neutralen Informationen auf Gesundheitszustand, politische Ansichten oder sexuelle Orientierung schließt, gilt der verstärkte Schutz für sensible Daten; Schlussfolgerungen sind mit Unsicherheit behaftet und dürfen nicht als gesicherte Erkenntnisse behandelt werden.
Kundendaten zum Modelltraining? Erst fragen, ob das erlaubt ist
Die Standards zerlegen die Verantwortungskette sehr genau: Ein Anbieter, der Kundendaten zum Trainieren oder Verbessern seiner eigenen Modelle nutzt, braucht dafür zuerst eine ausreichende rechtliche Grundlage; ein Unternehmen, das ein KI-System eines Dritten einsetzt, kann die Verantwortung nicht auf den Anbieter abwälzen — wer Zweck und wesentliche Mittel bestimmt, trägt die Verantwortung. Auch die Transparenz wird verschärft: Ein einziger Satz in einer Seitenecke wie „Wir nutzen KI" erfüllt die Informationspflicht nicht; Unternehmen müssen in einer Sprache, die gewöhnliche Menschen verstehen, erklären, wozu das System dient und welche Folgen es hat, und Geschäftsgeheimnisse sind kein Grund zu schweigen. Bei bereits trainierten Modellen haben Betroffene das Recht zu erfahren, ob ihre Daten verwendet wurden, automatisierte Entscheidungen anzufechten und ein echtes menschliches Eingreifen zu verlangen — eine Prüfung, die den Vorschlag der KI nur abnickt, ist kein wirksames Eingreifen. Lassen sich personenbezogene Daten technisch nicht vollständig löschen, muss das Unternehmen die Gründe erklären, die betroffene Person informieren und die Daten aus künftigem Training ausschließen.
KI-Geschäft in Lateinamerika? Diese vier Punkte zuerst prüfen
Erstens: die Herkunft der Trainingsdaten inventarisieren — welche Daten stammen aus dem öffentlichen Netz, gibt es eine Rechtsgrundlage, womit konnte die betroffene Person bei der Veröffentlichung vernünftigerweise rechnen? Zweitens: die Verträge mit Anbietern durchgehen und klären, ob Kundendaten zum Training der eigenen Modelle des Anbieters verwendet werden dürfen; ohne klare Erlaubnis zuerst stoppen und neu verhandeln. Drittens: automatisierte Entscheidungsprozesse prüfen — können menschliche Prüfer in Kreditvergabe, Einstellung und Kundenservice-Triage die Schlussfolgerung der KI wirklich kippen, oder ist das nur Formsache? Viertens: Datenschutzerklärung und Produkthinweise anpassen und „Wozu wird die KI verwendet, welche Folgen hat das?" dorthin schreiben, wo Nutzer es verstehen.
Die Standards selbst sind nicht unmittelbar verbindlich und schaffen keine neuen Pflichten parallel zu den nationalen Gesetzen; sie geben die gemeinsame Auslegung der Aufsichtsbehörden der Region wieder. Genau darin liegt das Risiko: Wenn die Datenschutzbehörden Lateinamerikas Gesetze durchsetzen und neue erlassen, werden sie sich an diesen Standards orientieren — die heutige „Empfehlung" kann morgen die Grundlage einer Strafe sein. Auch der Anwendungsbereich ist begrenzt: Er gilt nur für die iberoamerikanischen Mitgliedstaaten und lässt sich nicht auf die EU oder die USA übertragen; innerhalb der EU gelten weiterhin die DSGVO und der AI Act. Die Durchsetzung in Europa ist bereits weiter: Scale AI wurde von noyb wegen eines mutmaßlichen DSGVO-Verstoßes angezeigt. Unternehmen, die KI-Produkte für Lateinamerika entwickeln, sollten diese Standards als ihre Compliance-Untergrenze heranziehen, statt auf nationale Gesetze zu warten.
