Sind ChatGPT und Co. unvereinbar mit der DSGVO?
KI-Anwendungen wie ChatGPT sind derzeit sehr beliebt, aber datenschutzrechtliche Bedenken haben zu einem Verbot in Italien geführt. Auch deutsche Datenschutzaufsichtsbehörden haben Untersuchungen eingeleitet. Sind KI-Anwendungen und Datenschutz vereinbar?
Aufgrund datenschutzrechtlicher Bedenken hat die italienische Datenschutzaufsichtsbehörde kürzlich ein landesweites Verbot der KI-Anwendung ChatGPT ausgesprochen. Die deutschen Datenschutzaufsichtsbehörden haben inzwischen ein Prüfverfahren eingeleitet und einen Fragebogen an OpenAI geschickt. Inzwischen hat die italienische Datenschutzaufsichtsbehörde das Verbot wieder aufgehoben und auch in Deutschland scheinen derartige Maßnahmen vorerst vom Tisch zu sein. Es zeichnet sich ein grundsätzliches Spannungsverhältnis zwischen KI und Datenschutz ab.
ChatGPT und Co. – grundsätzliche Bedenken beim Datenschutz?
Die Bedenken der Datenschutzaufsichtsbehörden beziehen sich insbesondere darauf, ob die Verarbeitung personenbezogener Daten bei ChatGPT mit den Grundprinzipien der DSGVO vereinbar ist, auf einer gültigen Rechtsgrundlage beruht und die betroffenen Personen ausreichend informiert werden. Die Bedenken der Behörden sind nicht neu und auf andere KI-Lösungen, die personenbezogene Daten verarbeiten, übertragbar. Bei näherer Betrachtung wird schnell deutlich, dass bei einer zu strengen Auslegung der DSGVO erhebliche datenschutzrechtliche Herausforderungen beim Einsatz von KI bestehen:
- Richtigkeit der Datenverarbeitung
Falschinformationen können für Betroffene schwerwiegende Nachteile haben. Die DSGVO verlangt daher grundsätzlich, dass nur sachlich richtige personenbezogene Daten verarbeitet werden. Unrichtige personenbezogene Daten sind unverzüglich zu löschen oder zu berichtigen. Werden Systeme wie ChatGPT jedoch aufgefordert, Angaben zu konkreten Personen zu machen, fügt die KI nach derzeitigem Stand häufig unrichtige Informationen hinzu. Diese auch als „Halluzination“ bezeichnete Eigenschaft kollidiert folglich mit dem Grundsatz der Richtigkeit der Verarbeitung. Werden unrichtige Daten verarbeitet, steht den Betroffenen nach der DSGVO zudem ein Recht auf Berichtigung zu. - Rechtsgrundlage – Verbot mit Erlaubnisvorbehalt
Nach der DSGVO ist für jede Verarbeitung von personenbezogenen Daten eine Rechtsgrundlage erforderlich. Beim Training von KI-Systemen stellt sich deshalb regelmäßig die Frage, ob personenbezogene Daten verarbeitet werden dürfen. Denn für das Anlernen werden KI-Systeme mit einer Vielzahl von im Netz öffentlich verfügbaren Informationen wie Webseiten, Publikationen oder Fachartikeln „gefüttert“ – einschließlich der darin enthaltenen personenbezogenen Daten. Nach § 44 b Abs. 1 Urheberrechtsgesetz ist Text und Data Mining ausdrücklich erlaubt. Als Rechtsgrundlage für die Verarbeitung kommt – mangels Einwilligung der Betroffenen – dennoch nur ein berechtigtes Interesse in Betracht. Ob das Interesse des Verantwortlichen im Rahmen einer Abwägung das Interesse der Betroffenen überwiegt, ist im Einzelfall zu prüfen und von den Datenschutzaufsichtsbehörden und Gerichten bisher nicht abschließend bewertet worden. - Transparente Datenschutzinformation
Wer personenbezogene Daten verarbeitet, ist nach der DSGVO verpflichtet, die Datenverarbeitung für den Betroffenen transparent zu machen und ihn entsprechend zu informieren. Die Informationspflicht gilt sowohl für die direkte Erhebung personenbezogener Daten beim Betroffenen (Art. 13 DSGVO) als auch für den Fall, dass personenbezogene Daten bei Dritten erhoben werden (Art. 14 DSGVO). Die Information muss transparent und verständlich sein und in einer klaren und einfachen Sprache erfolgen. Für KI-Lösungen wie ChatGPT ergeben sich in dieser Hinsicht mehrere Herausforderungen: Zum einen ist der Einsatz von KI technisch anspruchsvoll und eine transparente und leicht verständliche Information schon deshalb eine Herausforderung. Zum anderen müssen grundsätzlich auch die Betroffenen informiert werden, deren Daten für das Training des Systems verwendet werden und die möglicherweise gar nicht mit dem System interagieren. Nach Gesprächen mit der italienischen Datenschutzaufsichtsbehörde informiert OpenAI deutlich umfangreicher über die Verarbeitung personenbezogener Daten und die Funktionsweise von ChatGPT.
Datenschutzkonforme KI
Es besteht ein Konfliktpotenzial zwischen dem Datenschutzrecht und dem „Wesen“ von KI-Systemen – denn gerade auf der umfassenden Verarbeitung von (personenbezogenen) Daten beruht die vielbeschworene „Intelligenz“ der KI. Klar ist aber auch: Wenn Europa bei der Entwicklung von KI-Systemen nicht vollends den Anschluss verlieren will, ist ein dauerhaftes Verbot von KI-Systemen weder realistisch noch sinnvoll. Um Konflikte beim Einsatz von KI-Systemen zu lösen, ist eine technologie- und innovationsfreundliche Auslegung der DSGVO erforderlich. Sollen KI-Systeme in Unternehmen eingesetzt werden, empfiehlt sich im Einzelfall die Durchführung einer Datenschutz-Folgenabschätzung (DSFA). Werden die konkreten Risiken eines KI-Einsatzes sowie geeignete Abhilfemaßnahmen umfassend dokumentiert, lässt sich ein datenschutzkonformer Einsatz nach unseren Erfahrungen gut begründen.
zurück