Frankreich: RGPD, CNIL und KI

Welches Recht gilt in Frankreich für KI?

Die DSGVO, in Frankreich „Règlement général sur la protection des données“ (RGPD), gilt unmittelbar. Das Gesetz Nr. 78-17 „Informatique et Libertés“ ergänzt sie, unter anderem für Gesundheitsdaten. Die Aufsicht führt die Commission nationale de l’informatique et des libertés (CNIL). Für KI-Systeme kommt die europäische KI-Verordnung hinzu.

Für zwei Bereiche hat Frankreich eigene Regeln, die über die DSGVO hinausgehen:

Bereich	Regel	Für wen
Gesundheitsdaten	Wer sie für andere hostet, braucht die Zertifizierung HDS	Krankenhäuser, Praxen, Pflege, ihre Dienstleister
Sensible Daten des Staates	Cloud-Dienste müssen vor Zugriff von außerhalb der EU geschützt sein, nach dem Referenzrahmen SecNumCloud	Ministerien, Behörden und Einrichtungen des Staates

HDS-Zertifizierung → · SecNumCloud →

Was empfiehlt die CNIL für den Einsatz von KI?

Im Juli 2024 hat die CNIL Fragen und Antworten zum Einsatz generativer KI in Organisationen veröffentlicht. Die wichtigsten Punkte:

• Mit einem Bedarf beginnen: KI für eine konkrete Aufgabe einführen, nicht ohne Ziel.
• Betrieb nach Art der Daten wählen: Für personenbezogene Daten oder vertrauliche Dokumente bevorzugt die CNIL in der Regel den Betrieb im eigenen Haus, weil er das Risiko senkt, dass Daten zu Dritten gelangen. Ein Cloud-Dienst ist möglich, braucht aber einen Auftragsverarbeitungsvertrag, der Zuständigkeiten und Zugriffe regelt; außerhalb der EU zusätzlich Garantien für die Übermittlung.
• Rollen klären: Wer der Anbieter ist, Auftragsverarbeiter oder gemeinsam Verantwortlicher, gehört in den Vertrag. Wer eigene Dokumente mit personenbezogenen Daten an die KI anbindet, ist für diese Verarbeitung selbst verantwortlich.
• Risiken vorab prüfen: Den Datenschutzbeauftragten früh einbinden und bei Bedarf eine Datenschutz-Folgenabschätzung erstellen (in Frankreich „AIPD“).
• Regeln und Schulung: Erlaubte und verbotene Nutzungen festlegen, etwa in einer internen Charta. Beschäftigte schulen und Antworten immer prüfen lassen.
• Kein Training mit Ihren Daten: Wo möglich, der Weiterverwendung der Eingaben durch den Anbieter widersprechen.

Für Entwickler von KI-Systemen hat die CNIL seit April 2024 eine Reihe „fiches pratiques IA“ veröffentlicht, mit Empfehlungen etwa zur Rechtsgrundlage, zur Information der Betroffenen und zur Sicherheit.

Was gilt für den öffentlichen Dienst in Frankreich?

Behörden brauchen wie in Deutschland eine gesetzliche Aufgabe als Rechtsgrundlage (Art. 6 Abs. 1 lit. e DSGVO). Für besonders sensible Daten von Verwaltungen und Einrichtungen des Staates verlangt Art. 31 des Gesetzes SREN geschützte Cloud-Dienste; ein Dekret vom 14. April 2026 setzt das um. Kommunen nennt Art. 31 nicht; für sie gelten DSGVO und die Empfehlungen der CNIL. SecNumCloud →

Wie geht das mit basebox?

In Frankreich bietet basebox nur den Server an, den die IT Ihres Hauses selbst betreibt. Eine HDS-Zertifizierung ist geplant; bis dahin gibt es in Frankreich weder die Cloud noch einen Betrieb des Servers durch basebox, denn ein Betrieb aus der Ferne mit Zugriff auf Gesundheitsdaten wäre eine HDS-pflichtige Tätigkeit (HDS-Zertifizierung). Das entspricht dem Weg, den die CNIL für personenbezogene und vertrauliche Daten in der Regel bevorzugt: Die KI läuft auf Hardware im Haus, auf Wunsch ohne Internetverbindung, mit KI-Modell, Dokumenten, Apps, Rechten und Protokoll. Unser Hardware-Partner FAST LTA liefert den Server nach Frankreich.

Für Ihre Prüfung stehen AVV, TOMs und Vorlagen für Verzeichnis und Datenschutz-Folgenabschätzung auf /sicherheit zum Herunterladen. Oberfläche und Support gibt es auf Deutsch und Englisch, nicht auf Französisch.

Keine Rechtsberatung: Dieser Artikel fasst Empfehlungen der CNIL zusammen; sie sind keine Gesetze, zeigen aber, was die Aufsicht erwartet. Die Zuständigkeiten für die KI-Verordnung in Frankreich waren im Oktober 2026 noch nicht gesetzlich festgelegt. Stand der Recherche: 11. Oktober 2026.