DSGVO und Künstliche Intelligenz (KI) KI darf nicht zum Alleinentscheider werden

Anbieter zum Thema

Fsas Technologies GmbH

Disy Informationssysteme GmbH

BigData-Insider

Urteile des Europäischen Gerichtshofs (EuGH) zum Scoringsystem der SCHUFA und anderer Wirtschaftsauskunfteien zeigen beispielhaft, was die DSGVO mit dem Verbot der „automatisierten Entscheidung im Einzelfall“ meint. Das hat generelle Bedeutung für den Datenschutz bei der Anwendung von Künstlicher Intelligenz (KI) und sollte bei der Planung von KI-Projekten genau beachtet werden.

In Urteilen zu drei Verfahren hat der Europäische Gerichtshof (EuGH) die Anwendung von Score-Werten zur alleinigen Bemessung von Kreditwürdigkeit in Auskunfteien wie der SCHUFA eingeschränkt.

Auf den ersten Blick scheint das eine Nachricht zu sein, die Kreditnehmer und andere Verbraucher interessieren könnte, die vielleicht einen Handy-Vertrag nicht bekommen haben, weil ihre Bonität nicht so gut erschien.

In Wirklichkeit aber haben diese Urteile einen weiten Wirkungskreis, denn die Grundlage für die Urteile hat allgemeine Gültigkeit, da sie in der Datenschutz-Grundverordnung (DSGVO) zu finden ist.

Es geht um automatisierte Entscheidungen

In den Verfahren C-26/22, C-64/22 und C-634/21 des EuGH ging es unter anderem um die Zulässigkeit von Datenerhebungen aus öffentlichen Registern, die Speicherdauer dieser Daten und das Übermitteln und Verwenden von Score-Werten. Dies betrifft im Wesentlichen Wirtschaftsauskunfteien wie die Schufa, wie die Datenschutzaufsicht von Niedersachsen berichtete.

„Damit stärkt der EuGH den Datenschutz und setzt seinen Weg fort, die Datenschutz-Grundverordnung weit und konsequent auszulegen“, so Denis Lehmkemper, Landesbeauftragter für den Datenschutz Niedersachsen.

Für den Bereich der Anwendung von KI (Künstlicher Intelligenz) ist dabei aber insbesondere dieser Aspekt wichtig: Das Erstellen und Verwenden solcher Scores hat der EuGH als automatisierte Entscheidung über einen Vertrag angesehen, wobei der Kunde einer Auskunftei (wie zum Beispiel ein Kreditinstitut) diesen Scores eine maßgebliche Rolle bei der Begründung, Durchführung oder Beendigung eines Vertrags beimisst, zum Beispiel bei einer Kreditgewährung.

Allerdings ist hier eine automatisierte Entscheidung nach Artikel 22 DSGVO grundsätzlich unzulässig und darf nur aufgrund einer Einwilligung oder auf Grundlage einer gesetzlichen Regelung getroffen werden. In der DSGVO heißt es dazu: „Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ Die DSGVO nennt dann Ausnahmen wie die ausdrückliche Einwilligung des Betroffenen.

Was das für Künstliche Intelligenz bedeutet

„Die Sichtweise des EuGH auf die Auslegung des Begriffs ,automatisierte Entscheidung‘ könnte dabei auch noch weitere Auswirkungen etwa auf Systeme haben, die mithilfe von Algorithmen oder Künstlicher Intelligenz Entscheidungen vorbereiten oder sie sozusagen ,fast allein‘ treffen“, so der Landesdatenschutzbeauftragte von Niedersachsen.

Auch der Hessische Beauftragte für Datenschutz Prof. Roßnagel erklärte: „Die Interpretation des Begriffs ‚automatisierte Entscheidung‘ durch den EuGH könnte auch – weit über Auskunfteien hinaus – Auswirkungen auf viele Entscheidungsunterstützungssysteme haben, die mit Künstlicher Intelligenz Entscheidungen vorbereiten.“

Dr. Lutz Hasse, Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit, machte deutlich: Die DSGVO verbietet es grundsätzlich, dass Entscheidungen, die für Betroffene rechtliche Wirkung entfalten, lediglich durch die automatisierte Verarbeitung von Daten getroffen werden. Die letzte Entscheidung hat somit eigenverantwortlich ein Mensch zu treffen.

Was jetzt für algorithmisch erstellte Schufa-Scores gilt, hat Folgen auch über den Wirkungsbereich von Auskunfteien hinaus. Es ist auch auf den Einsatz vieler KI-Systeme übertragbar, wenn allein Algorithmen etwa belastende Entscheidungen über Personen treffen, beispielsweise bei Bewerberauswahlen.

Dr. Lutz Hasse dazu: „Auf den EuGH ist wie stets Verlass – er setzt die DSGVO mit klaren Worten um – erstaunlich aber immer wieder, wie sich Geschäftsmodelle an der DSGVO vorbei mogeln wollen. Erfreulich für das Grundrecht der informationellen Selbstbestimmung, dass solche Aktivitäten am EuGH scheitern.“

Das letzte Wort hat der Mensch

Thomas Fuchs, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, unterstreicht die Folgen für KI: „Das Urteil ist von wegweisender Bedeutung für die digitale Gesellschaft. Betroffene von intransparenten Entscheidungen, sowohl von Auskunfteien als auch von KI-basierten Systemen, werden gestärkt. Der Gerichtshof hat damit die Spielregeln für den Einsatz Künstlicher Intelligenz konkretisiert.“

KI-Systeme gleichen in ihrer Entscheidungsfindung häufig einer Blackbox und bewerten Personen auf nicht nachvollziehbare Weise, so Fuchs. Für Künstliche Intelligenz gelte daher ähnliches wie für Auskunfteien: „Man darf ihnen nicht blind vertrauen. Das letzte Wort muss stets der Mensch haben, und die Betroffenen können dies einfordern. Entscheidungspersonen müssen tatsächlich in der Lage sein, die Vorschläge einer KI zu hinterfragen, und sie müssen die individuelle Situation der Betroffenen berücksichtigen. Dies erfordert Sachkunde, ausreichende Ressourcen und Einblicke in die Entscheidungsprozesse innerhalb der KI.“

Der Datenschützer gibt auch Beispiele: Wird Künstliche Intelligenz beispielsweise eingesetzt, um Bewerbungen vorzusortieren oder um für medizinische Einrichtungen zu analysieren, welche Patientinnen und Patienten sich besonders für eine Studie eignen, sind die Ergebnisse nur auf den ersten Blick reine Vorschläge.

Für KI-Projekte ist deshalb nun wichtig: Die Entscheidungswege einer KI können oft nur in der Entwicklungsphase nachvollzogen und beeinflusst werden. Es ist daher Aufgabe der Entwicklerinnen und Entwickler, Transparenz herzustellen, und Aufgabe der Anwenderinnen und Anwender ist es, sich mit der Funktionsweise auseinanderzusetzen und sie in jedem Einzelfall zu überprüfen.

Wenn Betroffene sich von einer KI falsch eingeschätzt fühlen, haben sie das Recht, ihren individuellen Standpunkt darzulegen und die Nachprüfung durch einen Menschen zu verlangen. Dieses Recht auf Neuentscheidung wird nach den neuen Maßstäben des EuGH künftig wichtiger werden, wie der Landesdatenschutzbeauftragte von Hamburg betont.

(ID:49917608)