Compliance bei Trainingsdaten für KI Wie der Datenschutz die Künstliche Intelligenz reguliert

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

„Wir aktualisieren unsere Datenschutzrichtlinie, da wir KI bei Meta ausweiten“, so begann eine Mail des Meta-Konzerns an Nutzerinnen und Nutzer von Facebook & Co. Doch der Plan, Informationen der User zu verwenden, um KI bei Meta weiterzuentwickeln, rief schnell Datenschützer auf den Plan. Die Reaktion von Meta zeigt, wie entscheidend die DSGVO zur Regulierung von KI ist.

Wer bei dem Zukunftsthema KI die Nase vorn haben will, muss sich anstrengen. Viele Technologiekonzerne haben sich auf den Weg gemacht, im Bereich KI deutliche Fortschritte zu erzielen. Ein Schlüssel für die Fortentwicklung bei KI-Lösungen sind bekanntlich die Daten, die für das Training der Künstlichen Intelligenz genutzt werden.

So ist es erst einmal nicht verwunderlich, dass Unternehmen, die über viele Nutzerdaten verfügen, eben diese Daten für das Training ihrer KI-Lösungen einsetzen wollen. Allerdings gibt es einen Unterschied zwischen Wollen und Dürfen. Geht es um personenbezogene Daten, setzt der Datenschutz nach Datenschutz-Grundverordnung (DSGVO) enge Grenzen.

Der Fall Meta AI

Ende Mai 2024 kontaktierte zum Beispiel der Meta-Konzern seine Nutzerinnen und Nutzer: „Wir bereiten uns aktuell darauf vor, KI bei Meta auf deine Region auszuweiten. „KI bei Meta“ bezeichnet alle unsere Features und Erlebnisse, die generative KI nutzen, beispielsweise Meta AI und AI Creative Tools, sowie die Modelle, die diesen zugrunde liegen.“

Die geplante Änderung in der Datenschutzrichtlinie wurde so beschrieben: „Um dir diese Nutzungserlebnisse anbieten zu können, berufen wir uns zukünftig auf die Rechtsgrundlage des berechtigten Interesses, wenn wir deine Informationen verwenden, um KI bei Meta weiterzuentwickeln und zu verbessern. Das bedeutet, dass du ein Widerspruchsrecht hast in Bezug darauf, wie deine Informationen zu diesen Zwecken verwendet werden. Wird deinem Widerspruch stattgegeben, wird dieser zukünftig berücksichtigt.“

Eine Reaktion durch Datenschützer ließ nicht lange auf sich warten: Den Hamburgischen Beauftragen für Datenschutz und Informationsfreiheit (HmbBfDI) zum Beispiel erreichten zahlreiche Anfragen und mehrere Beschwerden. Diese richteten sich gegen die neue Datenschutzrichtlinie wegen geplanter Verarbeitung der Daten von Nutzerinnen und Nutzer von Facebook, Instagram und Threads.

Aufgrund von Millionen Betroffenen in allen Mitgliedsstaaten ist eine europaweit einheitliche Bewertung der Verarbeitung personenbezogener Daten zum KI-Training bei Meta dringend geboten, so die Datenschutzaufsicht von Hamburg. Nach einem Treffen mit der EU-weit für Meta zuständigen irischen Datenschutzbehörde (IDPC) am 13. Juni 2024 hat der Konzern die Verwendung von Nutzerdaten zum Training der eigenen KI-Anwendungen bis auf Weiteres aufgeschoben. Ein neues Datum für den Beginn des Trainings und den Launch der KI-Anwendungen von Meta in Europa ist noch nicht bekannt. Der Widerspruch ist weiterhin möglich, so der Hinweis des HmbBfDI.

Die Datenschutzaufsicht von NRW kommentierte, dass die EU-Datenschutz­behörden bezweifeln, dass das geplante Vorgehen von Meta datenschutzkonform ist.

Datenschutz als Appetitzügler

Welche Risiken in den Trainingsdaten für KI stecken können, erklärten die Datenschutzaufsichtsbehörden bereits in der sogenannten Hambacher Erklärung: Auch für KI-Systeme gilt, dass sie nur zu verfassungsrechtlich legitimierten Zwecken eingesetzt werden dürfen. Zu beachten ist auch der Grundsatz der Zweckbindung. Zweckänderungen sind klare Grenzen gesetzt. Auch bei KI-Systemen müssen erweiterte Verarbeitungszwecke mit dem ursprünglichen Erhebungszweck vereinbar sein. Das gilt auch für die Nutzung personenbezogener Daten zu Trainingszwecken von KI-Systemen.

Was der Datenschutz zum Beispiel zu Trainingsdaten mit Personenbezug sagt, haben die Aufsichtsbehörden schon mehrfach betont. In der aktuellen Orientierungshilfe zu KI erklärt die DSK: Hinsichtlich der Auswahl von KI‐Anwendungen kann es eine Rolle spielen, ob und inwiefern KI‐Anwendungen datenschutzkonform trainiert wurden. Wurden für das Training personenbezogene Daten verwendet? Falls ja, gab es eine Rechtsgrundlage für die Nutzung der Daten für das Training? Inwiefern weist die KI‐Anwendung zum Zeitpunkt des Einsatzes selbst Personenbezug auf?

Auf diese Parameter haben die Verantwortlichen, die KI‐Anwendungen einsetzen, in der Regel keinen Einfluss, das wissen die Datenschützer. Aber: Verantwortliche, die KI in eigener Verantwortung einsetzen, müssen sicherstellen, dass sich Fehler beim Training einer KI‐Anwendung nicht auf die Datenverarbeitung in ihrer Verantwortlichkeit auswirken.

Datenschutzaufsicht als mögliche KI-Aufsicht

Die Datenschutzaufsichtsbehörden haben KI fest im Blick und empfehlen, als Marktüberwachungsbehörden nach der KI-VO (AI Act) den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Landesdatenschutzbehörden zu benennen. Der BfDI soll nach Vorstellungen der Datenschutzkonferenz (DSK) Deutschland im Europäischen Ausschuss für KI vertreten. Die Begründung der Datenschützer: Die Datenschutzaufsichtsbehörden haben ohnehin in allen Fällen, in denen KI-Systeme personenbezogene Daten verarbeiten, die Aufsicht nach der Datenschutz-Grundverordnung. Nur durch die Zuständigkeit der Datenschutzaufsichtsbehörden nach KI-VO wird eine Beratung und Aufsicht aus einer Hand möglich.

Der Landesbeauftragte für den Datenschutz Niedersachsen beruft derzeit ein Gremium aus Expertinnen und Experten für Künstliche Intelligenz. Dieses soll Impulse für den Einsatz Künstlicher Intelligenz in der niedersächsischen Verwaltung und der Wirtschaft geben und gleichzeitig Rahmenbedingungen formulieren. Die Ergebnisse des Gremiums werden dem Niedersächsischen Landtag überreicht, so die Aufsichtsbehörde.

Es zeigt sich: Die DSGVO ist neben dem AI Act das zentrale Werkzeug, um KI-Risiken zu minimieren. Nutzerdaten können nicht einfach zu Trainingsdaten einer KI gemacht werden, es muss immer eine Rechtsgrundlage vorliegen, wie eine informierte Einwilligung, nicht etwa aber die Möglichkeit zum Widerspruch, wie dies in der Praxis oft missverstanden wird.

(ID:50104380)