DSGVO und AI Act Keine KI ohne Datenschutz

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die Art und Weise, wie wir Künstliche Intelligenz (KI) angehen, wird die Welt definieren, in der wir in Zukunft leben, so die EU-Kommission. Mit dem KI-Gesetz (AI Act) will die EU weltweit Vorreiter bei der Festlegung von KI-Vorschriften sein. Doch welche Rolle spielen dabei EU-Datenschutz und Datenschutz-Grundverordnung (DSGVO)? Aufsichtsbehörden sehen klaren Handlungsbedarf.

KI (Künstliche Intelligenz) ist ohne Zweifel eines der großen Themen für die Zukunft, auch in der Cybersicherheit. So zeigt eine aktuelle Bitkom-Umfrage, dass 57 Prozent der Unternehmen Gefahren durch KI sehen, 35 Prozent erwarten eine Verbesserung der Cybersicherheit.

Ziel muss es sein, die möglichen KI-Risiken zu minimieren, um die Vorteile von KI unter anderem für die Cybersecurity nutzen zu können. Hier soll der sogenannte AI Act der EU helfen. Das Gesetz über künstliche Intelligenz soll gewährleisten, dass die auf dem EU-Markt in Verkehr gebrachten und in der Union verwendeten Systeme mit künstlicher Intelligenz (KI) sicher sind und die bestehenden Grundrechte und die Werte der Union wahren.

Zu den Grundrechten gehört der Datenschutz, also das Recht auf informationelle Selbst­be­stimmung. Die oftmals personenbezogenen oder personenbeziehbaren Daten sind die Wissensbasis für eine KI. KI benötigt Daten, um daraus zu lernen. Dabei müssen aber die Grenzen beachtet werden, die der Datenschutz auferlegt.

Welche Herausforderungen bei KI und Datenschutz bestehen

Wie es um den Datenschutz bei einem KI-System steht, ist jedoch nicht so einfach zu beantworten, das wird am Beispiel ChatGPT sehr deutlich.

Als Leiter der Taskforce „Künstliche Intelligenz“ hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz Prof. Dr. Dieter Kugelmann inzwischen die Erstellung eines neuen Fragebogens zu dem KI-Sprachmodell ChatGPT koordiniert und den Fragebogen an OpenAI, den Betreiber des Dienstes, versandt.

Der Fragenkatalog mit 79 Einzelfragen knüpft an ein erstes Auskunftsersuchen an, das der LfDI Rheinland-Pfalz innerhalb der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) erarbeitet und im April zusammen mit weiteren deutschen Datenschutzaufsichtsbehörden an das US-amerikanische Unternehmen gerichtet hatte.

„OpenAI hat unseren ersten Fragebogen kooperativ und umfangreich beantwortet“, betont Dieter Kugelmann. Die Analyse der Informationen innerhalb der Taskforce KI habe jedoch gezeigt, dass erheblicher Bedarf für Nachfragen bestehe. „Ich habe als Landes­daten­schutz­beauftragter die Aufgabe, das Recht der Bürgerinnen und Bürger auf informationelle Selbstbestimmung zu schützen. Um zu bewerten, ob die Regelungen der Datenschutz-Grundverordnung bei der Datenverarbeitung durch ChatGPT eingehalten werden, muss sichtbar sein, was hinter der Oberfläche der App vor sich geht. Ich bestehe darauf, dass Künstliche Intelligenz nachvollziehbar und erklärbar sein muss. Nur so kann sie kontrolliert und an den berechtigten Normen und Werten unserer Gesellschaft gemessen werden. Deshalb setzen wir erheblichen Aufwand für die Prüfung von ChatGPT ein und fördern mit unseren neuerlichen Fragen noch mehr Transparenz“, so Kugelmann weiter.

Die nun gestellten Fragen dienen der vertieften Prüfung, ob die Verarbeitung personen­bezogener Daten in ChatGPT rechtmäßig erfolgt. Insbesondere stehen die besonderen Datenkategorien nach Art. 9 DSGVO im Fokus, also jene Daten, die speziellen Schutz genießen und beispielsweise Angaben zur Religion, zur Gesundheit oder zur sexuellen Orientierung betreffen. Auch die Verwirklichung der Rechte betroffener Personen auf Auskunft sowie Berichtigung und Löschung personenbezogener Daten wird kritisch beleuchtet. Nicht zuletzt soll geklärt werden, ob und in welcher Weise personenbezogene Daten beim Training und bei der Nutzung von ChatGPT zuverlässig als solche erkannt und aussortiert werden oder wie eine datenschutzkonforme Verarbeitung anderweitig sichergestellt werden soll.

Was Datenschutzaufsichtsbehörden für einen AI Act fordern

Nun kann man sich zu Recht die Frage stellen, ob mit dem AI Act der EU die Datenschutzrisiken berücksichtigt und minimiert werden können, ob in Zukunft also der AI Act dafür sorgen kann, dass die zuvor erwähnten Datenschutzfragen bereits vor der Einführung eines KI-Dienstes zur Nutzung in der EU positiv geklärt sind.

Die Europäischen Datenschutzbehörden hatten bereits in einer gemeinsamen Stellungnahme zum KI-Gesetz dargelegt, dass es von größter Bedeutung ist, dass der Einsatz von KI-Systemen, die für Einzelpersonen und ihre Grundrechte inakzeptable Risiken darstellen, verboten ist. Dazu gehört zum Beispiel das Verbot, KI-Systeme zur automatisierten Erkennung biometrischer Merkmale zu verwenden.

Der Europäische Datenschutzbeauftragte (EDSB) ist zudem der Auffassung, dass Personen, die von der Nutzung von KI-Systemen betroffen sind, das Recht eingeräumt werden sollte, eine Beschwerde bei einer zuständigen Behörde einzureichen, falls Anbieter und Nutzer von KI-Systemen gegen das KI-Gesetz verstoßen.

Zu diesem Zweck sollte das KI-Gesetz ausdrücklich die Zuständigkeit des EDSB für die Entgegennahme von Beschwerden enthalten. Ebenso empfiehlt der EDSB, dass die Daten­schutz­behörden im Rahmen des KI-Gesetzes als nationale Aufsichtsbehörden benannt werden, um mit Behörden zusammenzuarbeiten, die über spezifisches Fachwissen beim Einsatz von KI-Systemen verfügen, um die Vertrauenswürdigkeit zu gewährleisten.

Offensichtlich will und wird die Datenschutzaufsicht auch bei KI-Systemen die Einhaltung der Datenschutz-Grundverordnung (DSGVO) überwachen. Alleine eine Risikoeinstufung nach AI Act wird nicht ausreichen. Die verantwortliche Stelle werde unter Umständen weitere sich aus dem Datenschutzrecht der Union ergebende Anforderungen einhalten müssen, so der Europäische Datenschutzbeauftragte. Überdies sollte die Einhaltung der sich aus dem Unionsrecht ergebenden Anforderungen (einschließlich derjenigen über den Schutz personenbezogener Daten) Voraussetzung für die Zulassung als mit CE-Kennzeichnung versehenes Produkt für den europäischen Markt sein.

Worauf Unternehmen bei KI-Projekten achten müssen

Datenschutzaufsichtsbehörden wie der EDSB machen sehr deutlich, dass die Daten­schutz­risiken bei KI-Nutzung und im EU AI Act noch deutlich stärker Berücksichtigung finden müssen. Am Beispiel Generative Artificial Intelligence Systems haben die Datenschützer aufgezeigt:

Wie alle anderen KI-Systeme muss generative KI auf verantwortungsvolle und vertrauenswürdige Weise entworfen, entwickelt und eingesetzt werden, basierend auf den Grundsätzen des Datenschutzes, der Privatsphäre, der menschlichen Kontrolle, der Transparenz und der demokratischen Werte.

Entwickler, Anbieter und Betreiber generativer KI-Systeme sollten Datenschutz und Privatsphäre in die Konzeption, Gestaltung, den Betrieb und die Verwaltung neuer Produkte und Dienstleistungen mithilfe generativer KI-Systeme einbetten, basierend auf den Grundsätzen des Datenschutzes und der Privatsphäre durch Technikgestaltung, und ihre Entscheidungen dokumentieren im Rahmen einer Datenschutz-Folgeabschätzung.

Darüber hinaus sollten Entwickler, Anbieter und Betreiber generativer KI-Systeme die Risiken, Schäden und potenziellen Auswirkungen auf betroffene Einzelpersonen und die Gesellschaft insgesamt verstehen, um eine ethische, vertrauenswürdige und verantwortungsvolle generative KI zu entwickeln.

Zudem sollten Entwickler, Anbieter und Betreiber generativer KI-Systeme auch Maßnahmen ergreifen, um die Einhaltung von Datenschutz- und Privatsphärenverpflichtungen sicherzustellen. Sie sollten zusammenarbeiten, um sicherzustellen, dass Personen, deren Daten von generativen KI-Systemen verarbeitet werden, die Möglichkeit haben, ihre Datenschutz- und Privatsphärenrechte auszuüben.

Entwickler, Anbieter und Betreiber generativer KI-Systeme sollten den rechtlichen Anforderungen und den Leitlinien der Datenschutzbehörden zur Auslegung dieser rechtlichen Anforderungen große Aufmerksamkeit schenken, wie die Datenschützer betonen.

Es zeigt sich: Der Datenschutz möchte und wird ein gewichtiges Wort bei der Gestaltung und Nutzung von KI mitreden. Neben dem AI Act der EU werden die Vorgaben der DSGVO eine zentrale Rolle spielen. Der AI Act wird die Datenschutzvorgaben der DSGVO nicht ersetzen, sondern stellt eine zusätzliche Regulierung dar. Eine KI ohne Datenschutz kann es in der EU nicht geben. Wer also von einem AI Act eine Lockerung im Datenschutz für KI erhofft, muss enttäuscht werden.

(ID:49777393)