Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme mit RAG-Methode

Version 1.0, Stand: Oktober 2025 Herausgeber: Datenschutzkonferenz

In diesem Papier werden spezifische Fragestellungen zu RAG-Systemen behandelt, wobei der Fokus auf Systemen mit Embeddings und Vektordatenbanken gelegt wird. Solche Systeme haben sich als technische Grundlage für viele RAG-Systeme etabliert, da sie eine an der Semantik orientierte Suche in großen Wissensbeständen ermöglichen. Andere technische Umsetzungen von RAG-Systemen, etwa auf Basis von API-Abfragen oder klassischen relationalen Datenbankzugriffen, werden in diesem Papier nicht behandelt. Ein RAG-System ändert insbesondere nichts daran, wie ein generatives KI-Modell trainiert wurde. Ein rechtswidrig trainiertes KI-Modell bleibt auch in einem RAG-System ein rechtswidrig trainiertes KI-Modell, an dessen rechtskonformen Einsatz hohe Anforderungen gestellt werden (siehe EDSA-Stellungnahme 28/2024, insbesondere Szenario 2, Rn. 124 ff.).