Der Ausschuss der Ständigen Vertreter billigte das Mandat am 21. Oktober, das Ratsdokument 14756/26 trägt das Datum des Folgetags. Für KI zentral ist der neue Artikel 88 bis der Datenschutz-Grundverordnung: Die Verarbeitung personenbezogener Daten bei Entwicklung und Betrieb eines KI-Systems oder KI-Modells kann auf ein berechtigtes Interesse des Verantwortlichen oder eines Dritten nach Artikel 6 Absatz 1 Buchstabe f gestützt werden.
Gegenüber der Kompromissfassung der irischen Ratspräsidentschaft vom 3. September hat der Rat an zwei Stellen nachgebessert. Der Absatz über technische und organisatorische Schutzmaßnahmen verweist nun ausdrücklich auf das Widerspruchsrecht nach Artikel 21 DSGVO, und die Erwägungsgründe nennen wieder die Datenminimierung bei der Auswahl der Datenquellen. Das bedingungslose Widerspruchsrecht aus dem Kommissionsvorschlag kehrt dagegen nicht zurück; nach Artikel 21 kann der Verantwortliche zwingende schutzwürdige Gründe gegen einen Widerspruch geltend machen.
Auch andere Teile des Pakets betreffen KI-Anbieter. Die Definition personenbezogener Daten bleibt laut netzpolitik.org im Kern unverändert; der Europäische Datenschutzausschuss soll aber in einer Stellungnahme festlegen, wie Pseudonymisierung und Anonymisierung anzuwenden sind. Den Plan der Kommission, Cookie-Entscheidungen zentral etwa im Browser zu treffen, lehnt der Rat ab und erweitert stattdessen die Zwecke, für die keine Einwilligung nötig ist, etwa die Reichweitenmessung.
Deutschland stimmte nach Angaben aus Regierungskreisen, die netzpolitik.org zitiert, mit Österreich und Estland gegen das Mandat. Eine Sprecherin des Digitalministeriums sagte, der Text werde dem deutschen Anspruch nicht gerecht; rote Linien seien ein besserer Schutz von Geschäftsgeheimnissen und Erleichterungen bei der DSGVO für kleine und mittlere Unternehmen gewesen.