Kommentar von Sebastian Bluhm, Plan D Privacy Shield 2.0 – freie Bahn für den Datentransfer in die USA?

Anbieter zum Thema

Fsas Technologies GmbH

INFOMOTION GmbH

QUNIS GmbH

Das neue Abkommen zwischen der EU und den USA vereinfacht den transatlantischen Datentransfer. Was bedeutet das für deutsche Unternehmen, die US-KI-Services einsetzen wollen? Sollten sie die neuen Freiheiten bei der Datenverarbeitung ausloten – oder ist Skepsis geboten?

Vor Kurzem rief ein Kunde an und bat um meine Einschätzung. Er wolle die „Azure Cognitive Services“ von Microsoft nutzen, um Bilder automatisiert auszulesen. Auf diesen Bildern seien auch personenbezogene Kundendaten zu sehen. „Halten Sie das für eine gute Idee?“, fragte der Kunde. Und: „Ist das überhaupt erlaubt?“

Die Azure Cognitive Services bieten Entwicklerinnen und Entwicklern die Möglichkeit, KI-Funktionen via API in ihre Programme einzubetten. Künstliche Intelligenz für alle, so das Versprechen. Unabhängig vom Kenntnisstand und ohne großen Entwicklungsaufwand. Ein attraktives Angebot.

Trotzdem hätte ich meinem Kunden noch vor wenigen Monaten erklärt, dass die Sache nicht so einfach ist, wie sie aussieht. Ich hätte ihm geraten, die personenbezogenen Daten zu entfernen, zu anonymisieren – oder gleich auf europäische Alternativen zurückzugreifen. Denn: Einen sicheren Rechtsrahmen für den Datenaustausch zwischen europäischen und US-Unternehmen gab es nicht. Personenbezogene Daten tausender deutscher Kunden einfach so von einer Microsoft-KI verarbeiten lassen? Aus damaliger Sicht ein No-Go.

Datenexporte in die USA – ein umkämpftes Thema

Grund dafür ist die DSGVO. Diese sieht vor, dass Datenexporte in Drittländer – also außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftstraums (EWR) – nur dann erlaubt sind, wenn ein sogenannter Angemessenheitsbeschluss vorliegt. Mit einem solchen Beschluss stellt die EU-Kommission fest, dass ein Drittland ein angemessenes Datenschutzniveau bietet.

In Bezug auf die USA gab es bereits zwei Angemessenheitsbeschlüsse. Beide Abkommen wurden jedoch vom Europäischen Gerichtshof (EuGH) gekippt. Insbesondere wegen des möglichen Zugriffs durch US-Nachrichtendienste betrachtete das Gericht den Datenschutz in US-Unternehmen als unzureichend. Die Rechtsunsicherheit, die aus den gescheiterten Abkommen resultierte, wurde von vielen Unternehmen beklagt.

Als Strategie- und Technologieberatung mit Fokus auf Künstliche Intelligenz mussten auch wir uns mit diesen schwierigen Rahmenbedingungen auseinandersetzen – und zogen klare Konsequenzen. In all unseren Projekten setzen wir auf größtmögliche Datensicherheit und ermutigen unsere Kunden, sich bei der Verarbeitung personenbezogener Daten möglichst unabhängig von US-Konzernen zu machen. Das kann zum Beispiel bedeuten, eigene KI-Modelle zu entwickeln oder die Dienste europäischer Anbieter zu nutzen.

Wenn wir doch auf die KI-Lösungen von Microsoft, Amazon und Co. zurückgreifen – denn zugegeben: spätestens mit ChatGPT ist das Angebot noch attraktiver geworden – achten wir penibel darauf, keine sensiblen Daten zu übermitteln. Durch die Anonymisierung und Verschlüsselung personenbezogener Daten ziehen wir eine hohe Mauer zwischen die Systeme unserer Kunden und die der US-Unternehmen. Ich glaube, nicht zu übertreiben, wenn ich sage, dass sich NSA und FBI die Zähne an uns ausbeißen würden. Edward Snowden wäre stolz auf uns.

Übrigens: Die Festplattenverschlüsselung sollte durch eigene IT-Fachkräfte erfolgen, sodass der Schlüssel in den Händen des eigenen Unternehmens liegt. Weshalb? Man stelle sich vor, Dokumente werden im Tresor einer US-Bank gelagert. Dort sind sie grundsätzlich sicher. Doch es gibt einen Haken: Wenn die US-Geheimdienste klingeln, muss die Bank ihnen alle Türen öffnen. Wenn Sie Ihren Tresor nun durch ein zusätzliches Schloss verriegeln lassen, wo würden Sie den Schlüssel aufbewahren wollen? Im Bankgebäude oder doch lieber bei Ihnen zuhause?

Privacy Shield 2.0 & Angemessenheitsbeschluss Nr. 3

Vor ein paar Monaten hätte ich also gewusst, was ich meinem Kunden antworten muss: Die Verarbeitung sensibler Kundendaten durch Microsoft Azure ohne zusätzliche Sicherheitsvorkehrungen war nach der damals aktueller Rechtslage nicht erlaubt und damit keine gute Idee.

Seit Juli 2023 ist das anders. Denn in diesem Sommer haben sich die USA und die EU auf ein neues Abkommen zum transatlantischen Datenverkehr geeinigt: das EU-US Data Privacy Framework, auch Privacy Shield 2.0 genannt. Es bildet die Grundlage für einen neuen Angemessenheitsbeschluss der EU-Kommission, der am 10. Juli in Kraft getreten ist und Datenübermittlungen in die USA ermöglicht.

Zwar geht der Beschluss mit größeren Einschränkungen einher als die bisherigen. Er gilt nur für zertifizierte US-Unternehmen, die die Einhaltung aller Vorgaben haben prüfen lassen. Deutsche Unternehmen, die ihre Daten an US-Dienste übermitteln wollen, müssen also sicherstellen, dass eine entsprechende Zertifizierung vorliegt. Dennoch schafft er zumindest grundsätzlich die Möglichkeit für einen geordneten Datenaustausch. Microsoft etwa besitzt bereits ein entsprechendes Zertifikat.

Und so hat mein Kunde plötzlich freie Bahn. Einer Nutzung der „Azure Cognitive Services“ steht nichts mehr im Wege. Es reicht ein zusätzlicher Hinweis in den Datenschutzinformationen, dann kann es losgehen.

Und doch brachte ich es nicht über mich, ihm dieses Vorgehen uneingeschränkt zu empfehlen. Aus zwei Gründen.

Es gibt Kritik am Abkommen – und an den US-Unternehmen

Zum einen frage ich mich, ob die derzeitige Rechtssicherheit von Dauer ist. Die Datenschutzaktivisten der österreichischen Bürgerrechtsorganisation Noyb haben bereits angekündigt, gegen den neuen Angemessenheitsbeschluss vorzugehen. Sie bezweifeln, dass die neuen Regelungen besser vor Überwachung und Missbrauch schützen als die bisherigen. Wer weiß, wie das EuGH über die nächste Klage entscheiden wird?

Hinzu kommt, dass sich Microsoft zuletzt nicht als zuverlässiger Datenbewahrer hervorgetan hat. Mitte Juni kam heraus, dass es mutmaßlich chinesischen Hackern gelungen war, einen Masterkey des Unternehmens zu stehlen. Mit diesem verschafften sie sich nicht nur Zugriff auf die E-Mail-Konten einer US-Behörde, sondern hätten wohl auf nahezu alle Daten in Microsofts Clouddiensten zugreifen können – darunter weit verbreitete Anwendungen wie Outlook, Sharepoint und OneDrive.

Ob die Angreifer diese Möglichkeiten tatsächlich nutzten, hat Microsoft nicht offengelegt. Doch selbst wenn nicht, handelt es sich beim Masterkey-Klau um einen ebenso peinlichen wie beunruhigenden Vorfall. In der aufgeheizten politischen Situation zwischen den USA und China zeigt er, dass die massenüberwachenden Geheimdienste längst nicht der einzige Grund sind, die Nutzung von Microsoft-Diensten zu überdenken.

Eine KI-Strategie regelt den Umgang mit sensiblen Daten

Und so bleibt in mir ein Unbehagen bei dem Gedanken, personenbezogene Daten ohne Weiteres über den großen Teich zu schicken. Gleichzeitig verstehe ich jeden IT-Manager, der sich über die neuen Möglichkeiten freut, die das Privacy Shield 2.0 bietet. Ich verstehe jedes Unternehmen, das auf Dienste wie die Azure Cognitive Services oder GPT zugreifen möchte, ohne dabei tausend Sicherheitsvorkehrungen treffen zu müssen.

Hinzu kommt der Papiertiger-Charakter geltender Datensicherheitsregelungen. Datenschutzbehörden werden dann aktiv, wenn sie Hinweise auf Missbrauch erhalten. Da aber nicht nur Privatpersonen, sondern auch Unternehmen weiterhin enorme Schwierigkeiten haben, die Prozesse hinter KI-Anwendungen zu durchdringen, passiert meistens: nichts. Das bedeutet: Selbst wenn mein Kunde seine Bilder schon vor Juli 2023 durch Microsoft hätte verarbeiten lassen, wäre ihm das wohl kaum zum Verhängnis geworden.

Was folgt aus alldem? Die Frage lässt sich nicht pauschal beantworten, sondern muss in jedem Unternehmen individuell diskutiert werden. Als Strategie- und Technologieberatung helfen wir dabei.

Bei der gemeinsamen Entwicklung einer KI-Strategie klopfen wir alle Rahmenbedingungen ab: Wie wichtig sind Ihnen Unabhängigkeit und Datensouveränität? Welches Sicherheitsversprechen wollen Sie Ihren Kunden geben? Welche Folgen hätte eine erneute Aufhebung des Abkommens für Ihr Unternehmen? Auf diese Weise findet jedes Unternehmen seine individuelle Antwort auf die Frage, was das Privacy Shield 2.0 für den Umgang mit sensiblen Daten bedeutet.

(ID:49750788)