Thailand veröffentlicht Leitlinien zum Schutz personenbezogener Daten für die Entwicklung und Nutzung von KI

Veröffentlicht am 06.11.2026

Von unserem deutschsprachigen CBBL-Anwalt in Bangkok:

Dr. Andreas Respondek
Rechtsanwalt

zum Autor

sowie Ms. Sutthida Norasarn und Ms. Mooknapa Kliengsong

Der thailändische Ausschuss für den Schutz personenbezogener Daten (PDPC) hat umfassende Leitlinien zur Anwendung des Gesetzes zum Schutz personenbezogener Daten (PDPA) auf künstliche Intelligenz („KI“) herausgegeben.

Die PDPA-Leitlinien zum Schutz personenbezogener Daten bei der Entwicklung und Nutzung künstlicher Intelligenz decken den gesamten KI-Lebenszyklus ab, von der Planung und Datenaufbereitung über das Modelltraining und die Tests bis hin zur Bereitstellung und Stilllegung der KI. Sie gelten sowohl für analytische KI als auch für generative und agentische KI.

Obwohl die Leitlinien beratenden Charakter haben und nicht rechtsverbindlich sind, bieten sie eine maßgebliche Auslegung der Erwartungen des PDPC hinsichtlich der Anwendung des PDPA auf KI-bezogene Aktivitäten. Die Leitlinien werden voraussichtlich auch als wichtige Compliance-Richtlinie für Organisationen dienen, die in Thailand KI-Systeme entwickeln, beschaffen oder einsetzen.

Umfang personenbezogener Daten bei der KI-Verarbeitung in Thailand

Die Leitlinien stellen klar, dass personenbezogene Daten in KI-Systemen über solche Informationen hinausgehen können, die eine Person direkt identifizieren.

Je nach den Umständen können folgenden Elemente personenbezogene Daten im Sinne des PDPA sein:

• Eingabeaufforderungen und Eingaben, die personenbezogene Informationen enthalten,
• Protokolle und Nutzungsaufzeichnungen, einschließlich IP-Adressen, Zugriffszeiten und Verhaltensmuster, die durch KI-Interaktionen generiert wurden,
• Einbettungen und Vektordaten, die rückverfolgt oder mit anderen Informationen kombiniert werden können, um Personen zu identifizieren,
• von KI generierte Ergebnisse, die natürliche Personen direkt oder indirekt identifizieren.

KI-Modelle, die auf der Grundlage personenbezogener Daten trainiert wurden, gelten nicht automatisch als auf anonymisierten Daten trainiert. Organisationen müssen nachweisen, dass die betreffenden Daten die Anonymisierungskriterien, die in den Leitlinien festgelegt sind, erfüllen.

Zuweisung von Datenschutzverantwortlichkeiten in Thailand

Organisationen müssen für jede KI-bezogene Verarbeitungsaktivität feststellen, ob sie als Verantwortliche oder als Auftragsverarbeiter fungieren, und zwar auf der Grundlage ihrer tatsächlichen Entscheidungsbefugnis über die Zwecke und Mittel der Verarbeitung und nicht aufgrund ihrer vertraglichen Bezeichnung.

KI-Entwickler, die diese Zwecke und Mittel eigenständig festlegen, agieren in der Regel als Verantwortliche, während Entwickler, die ausschließlich gemäß den Anweisungen einer auftraggebenden Organisation arbeiten, in der Regel als Auftragsverarbeiter fungieren.

KI-Einsatzbetreiber sind in der Regel Verantwortliche, da sie bestimmen, welche personenbezogenen Daten in die Systeme eingegeben werden und wie die Ergebnisse genutzt werden.

Ein KI-Dienstleister, der die personenbezogenen Daten eines Kunden zum Trainieren oder Verbessern seiner eigenen Modelle verwendet, kann für diese Tätigkeit zu einem eigenständigen Verantwortlichen werden.

Praxistipp:

Organisationen sollten daher sicherstellen, dass vertragliche Vereinbarungen die tatsächlichen Rollen und Verantwortlichkeiten der Parteien widerspiegeln.

Rechtsgrundlagen für die KI-bezogene Datenverarbeitung in Thailand

Die Leitlinien empfehlen, alle verfügbaren Rechtsgrundlagen gemäß dem PDPA zu prüfen, bevor man sich auf die Einwilligung beruft. Die Einwilligung als Standardoption zu behandeln, kann zu operativen Schwierigkeiten führen, da betroffene Personen diese widerrufen können, was dann laufende KI-Aktivitäten potenziell stören könnte.

Für die Verarbeitung sensibler personenbezogener Daten ist in der Regel eine ausdrückliche Einwilligung erforderlich, es sei denn, eine andere Rechtsgrundlage oder eine anwendbare gesetzliche Ausnahme erlaubt die Verarbeitung.

Das berechtigte Interesse wird als potenziell wichtige Rechtsgrundlage für die Entwicklung und Verbesserung von KI identifiziert. Organisationen, die sich darauf stützen, sollten eine Prüfung des berechtigten Interesses (LIA) durchführen und dies hinreichend dokumentieren, um die relevanten Interessen, die Notwendigkeit der Verarbeitung und die potenziellen Auswirkungen auf die betroffenen Personen zu bewerten.
Web-Scraping zum Trainieren von KI kann unter bestimmten Umständen im Rahmen des berechtigten Interesses zulässig sein, vorbehaltlich geltender Bedingungen, einschließlich einer vorherigen LIA und Opt-out-Mechanismen, sofern dies erforderlich ist.

Weitere wichtige Bereiche der zu beachtenden gesetzlichen Vorschriften

• Datenminimierung und „Privacy by Design“
  Es sollen nur solche Daten erhoben werden, die für bestimmte rechtmäßige Zwecke erforderlich sind. Vor der Verwendung im maschinellen Lernen müssen die aten anonymisiert werden.
• Transparenz und Datenschutzerklärungen in Thailand
  Datenschutzerklärungen sind zu aktualisieren, um das Training von KI, Verarbeitungsaktivitäten und potenzielle Auswirkungen auf betroffene Personen offenzulegen. Nutzer sind vorab zu informieren, wenn sie mit KI-Systemen, die wie Chatbots funktionieren, interagieren.
• Datenschutz-Folgenabschätzungen (DPIAs) in Thailand
  DPIAs sind vor risikoreichen KI-Projekten, die wesentliche automatisierte Entscheidungen, die Verarbeitung sensibler Daten oder Daten von Minderjährigen in großem Umfang oder Profiling beinhalten, durchzuführen.
  Dabei sind wesentliche Abwägungen und Abhilfemaßnahmen, einschließlich menschlicher Überprüfung zu dokumentieren.
• Sicherheitsmaßnahmen
  Mehrschichtige Sicherheitsmechanismen sind zu implementieren, durch folgende Maßnahmen: organisatorische Kontrollen (Zugriff nach dem Prinzip der geringsten Berechtigungen), technische Schutzmaßnahmen (Sicherheitsbarrieren, Maskierung, Verschlüsselung und Protokollierung) sowie Lieferantenmanagement (Sorgfaltsprüfung und Datenverarbeitungsvereinbarungen (DPAs), die die unbefugte Nutzung von Kundendaten, inklusive für Modelltrainings, verbieten.
• Meldung von Datenschutzverletzungen
  Datenschutzverletzungen sind der PDPC innerhalb von 72 Stunden nach Bekanntwerden mitzuteilen. In Fällen mit hohem Risiko sind auch die die betroffenen Personen zu benachrichtigen.
  Praxistipp:
  Nutzen Sie Prüfpfade zur Bewertung von KI-bedingten Datenlecks und verlangen Sie von Anbietern, den Umfang der betroffenen Daten innerhalb der 72-Stunden-Frist zu bestätigen.
• Reaktion auf Anträge betroffener Personen
  Es sind Systeme zur Unterstützung der Datenlöschung zu entwickeln, einschließlich löschfreundlicher RAG-Architekturen (Retrieval-Augmented Generation) und einer Möglichkeit der vorläufigen Filterung der Ausgaben bis zum erneuten Training.
  Dabei ist eine 90-tägige Antwortfrist einzuhalten. Hierbei ist insbesondere dann auf Einwände einzugehen, wenn die Verarbeitung auf berechtigten Interessen oder Direktmarketing beruht.
• Grenzüberschreitende Datenübermittlungen
  Es ist sicherzustellen, dass KI-Verarbeitungen, die Cloud-Infrastrukturen im Ausland oder Drittanbieter betreffen, den thailändischen Anforderungen des PDPA an grenzüberschreitende Übermittlungen sowie den entsprechenden thailändischen PDPC-Meldungen entsprechen.
• Menschliche Aufsicht bei automatisierten Entscheidungen
  Eine sinnvolle menschliche Aufsicht über solche KI-Entscheidungen, die erhebliche Auswirkungen haben können, ist sicherzustellen. Dabei muss der beaufsichtigende Mensch stets die Befugnis und die Möglichkeit haben, Ergebnisse außer Kraft zu setzen.

Praktische Empfehlungen für KI-Systeme in Thailand

Organisationen, die in Thailand KI-Systeme entwickeln, beschaffen oder einsetzen, sollten folgende Maßnahmen in Betracht ziehen:

• Das Daten-Mapping sollte aktualisiert werden, um erweiterte Kategorien personenbezogener Daten abzudecken, darunter Eingabeaufforderungen, Protokolle, Einbettungen und KI-generierte Ergebnisse.
• Die Rollen von Verantwortlichen und Auftragsverarbeitern sind zu bewerten, und zwar entlang der gesamten KI-Wertschöpfungskette und auf der Grundlage der tatsächlichen Entscheidungsbefugnis. Dementsprechend sind die Beziehungen zu Anbietern bei Bedarf anzupassen.
• Die Rechtsgrundlagen für KI-bezogene Verarbeitungen sind zu bewerten, einschließlich berechtigter Interessen, die durch dokumentierte LIA-Prüfungen gestützt werden, als Alternative zur Einwilligung.
• Datenschutzerklärungen sind zu aktualisieren, um KI-spezifische Verarbeitungsaktivitäten und automatisierte Interaktionen offenzulegen.
• Es sind Datenschutz-Folgenabschätzungen (DPIA) für risikoreiche KI-Projekte, die automatisierte Entscheidungsfindung, Profiling oder sensible Daten beinhalten, durchzuführen.
• Lieferantenverträge sind zu stärken, indem die unbefugte Nutzung von Kundendaten für das Modelltraining untersagt wird. Im Rahmen von Datenschutzvereinbarungen (DPA) ist eine Benachrichtigung bei Datenschutzverletzungen innerhalb von 72 Stunden vorzuschreiben.
• Es sind KI-Architekturen zu entwerfen, die Löschanträge betroffener Personen unterstützen, mit vorläufigen Maßnahmen wie Filterung von Ausgaben zur Bewältigung von Herausforderungen beim „Unlearning“ von Maschinen.

Dieser Artikel soll einen allgemeinen Überblick vermitteln und stellt keine Rechtsberatung dar. Wenn Sie Fragen haben oder auf Ihren Einzelfall ausgerichtete rechtliche Unterstützung benötigen, wenden Sie sich bitte an das Team von Respondek & Fan.

Sie haben weitere Fragen zu den Leitlinien zum Schutz personenbezogener Daten für die Entwicklung und Nutzung von KI in Thailand?

Sprechen Sie uns an!

Unser deutschsprachiger CBBL-Anwalt in Bangkok, Herr Rechtsanwalt Dr. Andreas Respondek, berät Sie gerne: respondek@cbbl-lawyers.de, Tel. +66 2 635 5498