EU-Datenschutzlinie zu AI: ChatGPT-Verbot könnte doch kommen

Europa legt großen Wert darauf, dass KI-Modelle datenschutzrechtlich reguliert werden – die Ausgestaltung der Regelungen gestaltet sich jedoch schwierig. Nun hat die Europäische Datenschutzaufsicht (EDSA) eine Stellungnahme zu KI und Datenschutz veröffentlicht. Der Leitfaden der EDSA soll Expert:innen zufolge eine verantwortungsvolle KI ermöglichen, inklusive einer datenschutzkonformen Gestaltung. Allerdings schafft er wenig Klarheit und Orientierung.

Warum Datenschutz bei KI-Modellen wichtig ist

Das Problem ist Folgendes: Viele große KI-Akteure halten sich nicht streng an die DSGVO. Große Sprachmodelle wurden mit (persönlichen) Informationen trainiert, ohne dass die Urheber:innen davon wussten. Wurden KI-Modelle mit personenbezogenen Daten trainiert, ist die Wahrscheinlichkeit hoch, dass diese weiterhin solche Daten enthalten. Dies geht aus der Stellungnahme der Europäischen Datenschutzaufsicht hervor.

Aus diesem Grund findet die DSGVO in den meisten Fällen auch auf KI-Systeme Anwendung. Es ist davon auszugehen, dass Datenschutzbehörden durch die Prüfung von KI-Modellen vor großen Herausforderungen stehen.

Datenschutzkonforme KI-Lösungen: 3-Stufen-Test

Die EU-Datenschutzbeauftragten haben eine Leitlinie zur Verwendung persönlicher Daten für die Entwicklung und den Einsatz von KI-Modellen veröffentlicht. Diese sieht einen 3-Stufen-Test vor, der nationale Datenschutzbehörden bei der Prüfung der Datenschutzkonformität unterstützen soll:

1. Legitimitätsprüfung: Es wird geprüft, ob die Datenverarbeitung rechtlich legitim ist.
2. Erforderlichkeitsprüfung: Es wird bewertet, ob die Datenverarbeitung notwendig ist.
3. Abwägung der Interessen: Die Grundrechte der betroffenen Personen werden gegen die Interessen der KI-Anbieter abgewogen.

Wichtig: Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) sind nicht direkt Teil des AI-Acts, sondern ergänzen ihn. Sie beziehen sich auf die Anwendung der bestehenden Datenschutzgrundverordnung (DSGVO) auf KI-Modelle.

Rahmen lässt Fragen offen

Obwohl die Leitlinie für Datenschutzbehörden hilfreich ist und deren Entscheidungsfindung erleichtert, bleiben bei zivilgesellschaftlichen Organisationen und Verbänden viele Fragen offen. Unklar bleibt etwa, wie im Europäischen Wirtschaftsraum mit großen Sprachmodellen weiter verfahren wird, die mit massenhaft persönlichen Informationen trainiert wurden. Dasselbe gilt für darauf basierende KI-Assistenten und Chatbots.

Der Europäische Datenschutzausschuss (EDSA) schließt zwar Verbote von rechtswidrig zustande gekommenen KI-Modellen oder -Anwendungen nicht aus, schlägt aber auch vor, dass solche Modelle nicht zwangsläufig unbrauchbar sein müssen. Statt eines vollständigen Verbots könnten Abhilfemaßnahmen wie nachträgliche Anonymisierung, Anpassungen der Modelle oder zusätzliche Prüf- und Kontrollmechanismen eingeführt werden.

Zudem sind Datenschützer der Ansicht, dass Unternehmen wie Meta, Google oder OpenAI sich prinzipiell auf ein „berechtigtes Interesse“ als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch KI-Modelle berufen können.

Max Schrems von Noyb sieht DSGVO-Verstoß

Die Bürgerrechtsorganisation Noyb (None of Your Business) von Gründer Max Schrems kritisiert: „Im Wesentlichen sagt der EDSA: Wenn Sie sich an das Gesetz halten, ist alles in Ordnung.“ Doch Schrems betont, dass dies in der Praxis nicht der Fall sei: „Soweit wir wissen, hält sich keiner der großen Akteure in der KI-Szene an die DSGVO.“ Auch Privacy International wirft Modellen wie GPT, Gemini oder Claude vor, mit persönlichen Informationen ohne ausreichende Rechtsgrundlage trainiert worden zu sein. Diese Modelle seien nicht in der Lage, die Rechte der Betroffenen zu wahren.

Zuckerberg ortet EU-KI-Rückstand

Meta-Chef Mark Zuckerberg äußerte sich besorgt, dass neue KI-Fortschritte seines Konzerns „überall außer in der EU“ eingeführt werden könnten. Auch Meta-Präsident Nick Clegg kritisierte das „frustrierend langsame“ Vorgehen der EU-Aufseher und appellierte an die nationalen Datenschutzprüfer, die neuen Prinzipien „rasch, pragmatisch und transparent“ anzuwenden. Andernfalls sei der angestrebte KI-Aufschwung in der EU gefährdet.

KI, Zukunftschancen & Verantwortung – Das sagt Peter Ahnert von Nagarro