DSGVO und künstliche Intelligenz Verhindert der Datenschutz eine erfolgreiche KI?

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Die Datenschutzaufsichtsbehörden befassen sich ausführlich mit ChatGPT. Was kann man allgemein daraus lernen für eine datenschutzfreundliche KI? Und sind die Forderungen des Datenschutzes überhaupt erfüllbar, wenn man KI erfolgreich machen will? Wir geben einen Überblick, worauf es dem Datenschutz bei KI ankommt und wie KI mit Blick auf die DSGVO in Zukunft aussehen sollte.

Die Schlagzeilen zu den Möglichkeiten, aber auch Risiken durch ChatGPT überschlugen sich, als plötzlich die Meldung kam, die Datenschutzaufsichtsbehörde in Italien habe als erste Aufsichtsbehörde in Europa der Firma OpenAI untersagt, personenbezogene Daten von italienischen Bürgerinnen und Bürgern im Rahmen der Anwendung ChatGPT zu verarbeiten.

Zahlreiche andere Datenschutzaufsichtsbehörden wandten sich danach ebenfalls an OpenAI und verlangten Auskunft. Hinter der Vielzahl an Anfragen steckte nicht etwa der Wunsch anderer Aufsichtsbehörden, nun ebenfalls in Erscheinung zu treten.

Vielmehr obliegt es in Deutschland den Landesdatenschutzaufsichtsbehörden, sich mit den datenschutzrechtlichen Fragestellungen der Verarbeitung von personenbezogenen Daten durch ChatGPT und ähnlichen KI-Anwendungen zu befassen, und zwar jeder der Landes­datenschutz­aufsichts­behörden, da OpenAI keine Niederlassung in der EU unterhält. Dann sind alle europäischen Datenschutz­aufsichtsbehörden dafür zuständig, in ihrem jeweiligen Zuständigkeitsbereich die Einhaltung der Datenschutz-Grundverordnung (DSGVO) durch das Unternehmen zu überwachen.

Schon wurde befürchtet, ChatGPT würde nun bald überall in der EU mit einer Untersagung belegt, personenbezogene Daten von Bürgerinnen und Bürgern der EU zu verarbeiten. Einige Kommentare sahen (wieder einmal) den Datenschutz als Verhinderer, diesmal für Künstliche Intelligenz (KI).

Was Datenschutzaufsichtsbehörden wissen wollen

Datenschützer haben schon mehrfach bekräftigt, dass es nicht darum gehe, Entwicklungen wie KI zu blockieren, sondern eben darum, KI und Datenschutz in Einklang zu bringen. Natürlich kann es bei Missachtung des Datenschutzes für den KI-Anbieter schwierig werden, dafür sorgen die Vorgaben der DSGVO. So erklärte zum Beispiel Dr. Lutz Hasse, Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit, anlässlich des Vorgehens der Aufsicht in Italien: „OpenAI hat nun in Italien eine Frist, Gegenmaßnahmen zu präsentieren. Danach droht eine Strafe von bis zu 20 Millionen Euro oder über vier Prozent des weltweiten Umsatzes des Unternehmens.“

Es gibt also gute Gründe, sich vor dem Einsatz einer KI-Lösung mit den Forderungen des Datenschutzes zu befassen. Was aber wollen die Aufsichtsbehörden wissen? Um was geht es dem Datenschutz?

Hier kann der Datenschutzfall ChatGPT ein gutes Beispiel sein, aus dem auch andere Anbieter von KI-basierten Lösungen Lehren ziehen können und sollten. „Je nach Fragen- oder Aufgabenstellung an ChatGPT gibt die nutzende Person unterschiedlich viele, teils sensitive Informationen von sich preis – etwa zu Interessen an politischen, religiösen, weltanschaulichen oder wissenschaftlichen Fragen oder zu ihrer familiären oder sexuellen Lebenssituation“, erklärte der Hessische Datenschutzbeauftragte Prof. Alexander Roßnagel. „Auch können Fragen über andere Personen gestellt werden. Unklar ist, zu welchen Zwecken eingegebene Daten verarbeitet werden und aus welchem Datenpool die hinter dem Dienst liegende, künstliche Intelligenz ihr Wissen speist. Erst wenn diese Fragen beantwortet wurden, kann ich prüfen, ob sich OpenAI mit ChatGPT an die europäischen Datenschutzvorgaben hält“, so Roßnagel weiter.

Seine Fragen an OpenAI sind mit den anderen deutschen Aufsichtsbehörden in der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) abgestimmt, sie gelten also nicht etwa nur für Hessen. Innerhalb der EU findet eine Koordination in einer Taskforce des Europäischen Datenschutzausschusses statt, also handelt hier auch Deutschland nicht alleine.

„Sobald uns die Antwort von OpenAI vorliegt, werde ich mich mit den anderen Aufsichtsbehörden in Deutschland und Europa in der Bewertung der Antworten abstimmen. Als Reaktion auf die Bewertung kann ich nach der DSGVO vielfältige und wirksame Instrumente nutzen. Dabei geht es mir nicht darum, der gesellschaftlichen Bewertung von KI-Systemen vorzugreifen. Vielmehr fordere ich von amerikanischen KI-Anbietern den gleichen Datenschutz wie von europäischen Anbietern“, so Roßnagel.

Was zum Datenschutz bei KI gehört

Für den Datenschutz bei KI ist es insbesondere wichtig zu prüfen, ob die Datenverarbeitung den datenschutzrechtlichen Grundprinzipien (Artikel 5 DSGVO) gerecht wird, ob sie auf einer gültigen Rechtsgrundlage beruht und ob sie für die Betroffenen ausreichend transparent ist. Zum Schutz von Kindern und Jugendlichen wird zudem gefragt, welche Altersgrenze für die Nutzung von ChatGPT bestimmt ist, wie die Einhaltung der Altersgrenze überprüft wird und ob für alle Nutzenden unter 16 Jahren die Einwilligung der Erziehungsberechtigten eingeholt wird.

Außerdem erfragen die Aufsichtsbehörden, ob die Nutzungsdaten als Trainingsdaten im Rahmen des maschinellen Lernens verwendet werden, welche Quellen für die Auskünfte über Personen genutzt werden und für welche Zwecke (wie etwa Profilbildung und Werbung) die Nutzungsdaten gespeichert werden.

Wer sich diese Fragen genau ansieht, wird feststellen, dass der Datenschutz nichts Ungewöhnliches von KI verlangt, sondern letztlich das, was bei einer Verarbeitung personenbezogener Daten immer gegeben sein muss. KI ist insofern ein besonderer Fall, als dass es hier schwieriger erscheint, die notwendige Transparenz zur Datenverarbeitung zu erlangen. Es muss möglich sein zu erfahren, was zum Beispiel zur Umsetzung von Betroffenenrechten machbar ist (wie Auskunft und Löschung), die Rechtsklarheit ist notwendig (wie Einwilligung), und geeignete Regelungen zu technischen und organisatorischen Maßnahmen müssen vorhanden sein, um die Daten vor Missbrauch zu schützen (wie Anonymisierung, Verschlüsselung, Berechtigungssysteme).

Das Beispiel ChatGPT zeigt auch, dass Forderungen der Datenschützer weder jenseits der Umsetzbarkeit liegen noch die Verwendung von KI verhindern. So hat OpenAI bereits mit ersten Schritten reagiert: ChatGPT-Benutzer können jetzt den Chat-Verlauf deaktivieren, so dass sie auswählen können, welche Konversationen zum Trainieren der Modelle verwendet werden können.

Welche weiteren Maßnahmen noch für den Fall ChatGPT notwendig ist, wird die Bewertung der Datenschutzaufsichtsbehörden zeigen. Das Ziel ist und bleibt dabei, die Grundrechte zu schützen und gleichzeitig die damit vereinbare Datennutzung zu fördern. Das steht konkret in der DSGVO: Es sollen die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt und der freie Verkehr personenbezogener Daten in der Union erleichtert werden. Der Datenschutz verhindert also keine KI, sondern schützt die Grundrechte bei KI-Verwendung.

(ID:49451356)