Kommentar von Thomas Ehrlich, Varonis Systems Das Recht auf Vergessenwerden und Künstliche Intelligenz

Eine der größten Herausforderungen bei der Einführung der DSGVO stellt für viele Unternehmen das Recht auf Vergessenwerden dar. So räumten bei einer repräsentativen Umfrage 57 Prozent der deutschen Unternehmen Schwierigkeiten in diesem Bereich ein.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Insider Research

Keeper Security EMEA Ltd.

Varonis Systems (Deutschland) GmbH

Das Recht auf Vergessenwerden ist dem Recht auf Löschung ähnlich (und wird auch im gleichen Artikel 17 der Datenschutz-Grundverordnung beschrieben), ist aber bedeutend weitläufiger. Das Recht auf Löschung bedeutet, dass der Verantwortliche die mich betreffenden personenbezogenen Daten unverzüglich aus seinen Systemen löschen muss, während das Recht auf Vergessenwerden auf jene Daten abzielt, die durch den Verantwortlichen öffentlich gemacht wurden. Klingt zunächst einfach, ist es aber nicht.

Einen tiefen Einblick in die Thematik des Rechts auf Vergessenwerden im Zusammenhang mit Künstlicher Intelligenz (KI) und Big Data sowie die Unterschiede zum (einfachen) Löschen von Daten im eigenen Dateisystem bietet der Aufsatz „Humans Forget, Machines Remember: Artificial Intelligence and the Right to Be Forgotten“.

Unvergesslich: Mario Costeja González

Werfen wir einen Blick zurück ins Jahr 2010: Der Spanier Mario Costeja González reichte eine Beschwerde gegen Google und eine spanische Zeitung bei der spanischen Datenschutzbehörde ein, da sein Name im Zusammenhang mit Immobilienpfändungen in den Suchergebnissen sowie einem Zeitungsartikel (auch online) auftauchte. Zwar wurde die Beschwerde gegen die Zeitung abgewiesen, eine Klage gegen Google wurde jedoch zugelassen.

Google argumentierte, dass die Daten in Spanien nicht wirklich vorhanden seien, da das Unternehmen in Spanien keine entsprechenden Server betreibe und die Daten außerhalb der EU verarbeitet wurden. Insofern sei europäisches Recht nicht anzuwenden. Das sah der Europäische Gerichtshof (EuGH) in seinem Urteil vom Mai 2014 jedoch anders: Die europäische Datenschutzrichtlinie gelte auch für Unternehmen, die ihre Dienstleistungen in Europa anbieten, unabhängig von physischen Standort der Server. Entsprechend können Personen unter bestimmten Voraussetzungen die Tilgung von Links mit personenbezogenen Daten verlangen. In der DSGVO, welche die bisherige Datenschutzrichtlinie ersetzt, ist das Recht auf Vergessenwerden nun in Artikel 17 explizit verankert. Und auch die extraterritoriale Reichweite wird in Artikel 3 festgeschrieben.

Der springende Punkt dieses kurzen historischen Exkurses ist, dass die ursprüngliche Information, also der besagte Zeitungsartikel, nie gelöscht wurde. Dieser kann immer noch auf der Internetseite der Zeitung gefunden werden. „Vergessenwerden“ heißt also, dass der Schlüssel oder Link zur entsprechenden Information gelöscht wird, nicht aber die Information selbst.

Was passiert mit gelöschten Dateien?

Was passiert eigentlich mit Daten, wenn ich sie lösche? Auch hierzu gibt der oben genannte Aufsatz eine schöne Einführung, die gerade für Nicht-IT-Spezialisten augenöffnend sein dürfte. Die technisch Interessierten wissen bereits, dass wenn man mit einem Datenobjekt in einer App fertig ist und nachdem der Speicher gelöscht oder „freigegeben“ wurde, die Daten nicht auf magische Art und Weise verschwinden. Stattdessen wird der jeweilige Speicherteil auf eine „verknüpfte Liste“ gesetzt, die schließlich verarbeitet und dann als Teil des verfügbaren Software-Speichers wiederverwendet wird. Dieses Verfahren wird als „Garbage Collection“ bezeichnet und ermöglicht es Softwareprogrammen, die CPU-intensive Datenentsorgung auf einen späteren Zeitpunkt zu verschieben, wenn die App nicht mehr so stark ausgelastet ist.

Viele Daten, viele Löschungen, viele Probleme

Maschinelles Lernen nutzt große Datenmengen, um die Software zu trainieren und Entscheidungsregeln abzuleiten. Die Software ordnet und löscht ständig (oft auch persönliche) Daten, die sich zu einem bestimmten Zeitpunkt in einer Warteschlange der Garbage Collection befinden und darauf warten, entsorgt zu werden. Was bedeutet das nun im Zusammenhang mit dem Recht auf Vergessenwerden? Die Eliminierung eines einzelnen Datenpunkts hat freilich keine Auswirkungen auf die Regeln der KI-Software. Was passiert aber, wenn Tausende ihre durch die DSGVO garantierten Rechte nutzen?

Man kann davon ausgehen, dass sich dann einige der KI-/ML-Regeln verschieben. Durch bestimmte Anonymisierungstechniken oder Pseudonymisierung können Daten verschleiert werden, wodurch die Speicherung identifizierbarer Daten vermieden und so das Recht auf Vergessenwerden umgangen wird. Allerdings beinhalten einige dieser Anonymitätstechniken das Hinzufügen von „Rauschen“, was wiederum die Genauigkeit der Regeln beeinträchtigen kann.

Dies führt zu einem Ansatz, das Recht auf Vergessenwerden im KI-Umfeld zu implementieren, auf den ich oben bereits eingegangen bin: Vielleicht ist der beste Weg zum „Vergessen“, den Zugriff auf die Originaldaten unmöglich zu machen. Im Garbage-Collection-Prozess wird dann der Speicher in eine separate Warteschlange gestellt und damit unerreichbar für die (restliche) Software. Google verfolgt diesen Ansatz, indem es die URL der entsprechenden Website von seinem internen Index löscht. In beiden Fällen sind die Daten zwar noch vorhanden, aber effektiv nicht zugänglich. Die grundlegende Idee ist, dass man den Schlüssel, der den Zugriff auf die Informationen ermöglicht, entfernt oder löscht.

Konkrete Vorgaben

Das Recht auf Vergessenwerden wie auch der Big-Data-Ansatz (von Künstlicher Intelligenz und Maschinellem Lernen ganz zu schweigen) sind noch vergleichsweise junge Themen. Wir stehen noch relativ am Anfang herauszufinden, wie wir – praxisnah und ökonomisch sinnvoll – große Datenanwendungen richtig und gesetzeskonform handhaben. Den Schlüssel „wegzuwerfen“ ist eine Idee, es gibt aber auch noch andere: So kann man beispielsweise die persönlichen Daten in kleine Sets zerlegen (und sie isolieren), sodass es unmöglich oder äußerst schwierig ist, jedes einzelne Set neu zu identifizieren.

Die Kombination aus den (neuen) gesetzlichen Anforderungen der DSGVO und Künstlicher Intelligenz bedeutet zusätzliche Komplexität, die sich von der Löschung von Dateien auf eigenen File Shares unterscheidet. Es ist auch durchaus möglich, dass sich im Bereich der Künstlichen Intelligenz einige neue „Lösch“-Technologien entwickeln. Bis es aber soweit ist, bedarf es jedoch noch einiger Handreichungen und Empfehlungen der europäischen Regulierer, wie das Recht auf Vergessenwerden für Big-Data-Applikationen umgesetzt werden kann bzw. muss.

(ID:45094084)