Compliance bei Künstlicher Intelligenz Wie sich der Datenschutz bei KI entwickelt

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Disy Informationssysteme GmbH

Insider Research

Datenschutz und Künstliche Intelligenz (KI) befinden sich in einem Spannungsfeld, da KI von uns Menschen lernt, also auch personenbezogene Daten ausgewertet werden könnten. Doch der Datenschutz macht KI nicht unmöglich, vielmehr sucht der Datenschutz einen Weg, die Privatsphäre zu schützen, ohne KI zu erschweren. Auf diesem Weg tut sich etwas. Wir geben einen Überblick.

„Der Einsatz von KI-Systemen bedeutet in der Regel einen tiefen Eingriff in die Grundrechte und Freiheiten der betroffenen Personen, da hierbei häufig massenhaft Daten verarbeitet und automatisierte Entscheidungen getroffen werden“, so die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen, Barbara Thiel.

Diese Begründung für die Datenschutz-Problematik bei KI-Nutzung nannte die Landesbeauftragte konkret, als es um den „Einsatz Künstlicher Intelligenz zur Suizidprävention und Verbesserung der Sicherheit in niedersächsischen Justizvollzugsanstalten“ ging, doch der Datenschutz ist bei KI-Verwendung generell ein zentraler Punkt.

Das Beispiel der Nutzung von KI „zur Suizidprävention und Verbesserung der Sicherheit in niedersächsischen Justizvollzugsanstalten“ zeigt aber sehr eindrucksvoll, dass es dem Datenschutz nicht darum, die Vorteile eines KI-Einsatzes zu verhindern, vielmehr geht es um die Begrenzung der Folgen für die Privatsphäre.

Datenschutz-Risiken bei KI-Einsatz bewerten und abwägen

Die erwarteten KI-Vorteile und die Datenschutz-Risiken müssen immer gleichzeitig betrachtet werden. So erklärt die Landesdatenschutzbeauftragte: „Jede Maßnahme, die dabei helfen kann, Suizide in Justizvollzugsanstalten zu verhindern, ist erwägenswert.“

Aber: Das sollte sich auf eigens für Suizidgefährdete vorgesehene und besonders gesicherte Hafträume beschränken. Eine umfassende Beobachtung sämtlicher Hafträume und gemeinschaftlich genutzter Bereiche durch KI zur Suizidprävention oder zur allgemeinen Erhöhung der Sicherheit wäre dagegen kaum zu rechtfertigen.

„Wenn eine Vielzahl unbeteiligter Inhaftierter, deren Verhalten keinen besonderen Anlass zur Beobachtung gegeben hat, dennoch einem permanenten Überwachungsdruck ausgesetzt wird, würde das in unverhältnismäßiger Weise in deren Grundrechte eingreifen“, so die Landesdatenschützerin.

Was hier sichtbar wird: Der Datenschutz will gar nicht den KI-Einsatz an sich beschränken, aber es muss eine auf den Zweck begrenzte Anwendung sein, keine Datenanalyse und Überwachung aller Personen, auch unbeteiligter Personen.

KI-Nutzung braucht Grenzen

Der Bundesdatenschutzbeauftragte Prof. Ulrich Kelber hat sich im Europäischen Datenschutzausschuss (EDSA) dafür eingesetzt, dass der Einsatz Künstlicher Intelligenz (KI) verboten wird, wenn sie die Persönlichkeit und Würde des Menschen nicht achtet. Auch andere Aufsichtsbehörden in Deutschland sehen dies so, wie auch die Hambacher Erklärung zur KI bereits gezeigt hat.

Gerade bei sensiblen Daten muss man Vorsicht walten lassen. „KI-Systeme sollten aus meiner Sicht besonders sensible Daten – etwa genetische oder biometrische Daten sowie Gesundheitsdaten (gemäß Artikel 9 Datenschutz-Grundverordnung) – nicht standardisiert durchleuchten und in bestimmten Anwendungsfällen zu einer Überwachung nutzen können“, erklärte der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) Rheinland-Pfalz, Professor Dieter Kugelmann.

Aktuelles Beispiel für Position der Aufsichtsbehörden

„Mithilfe neuester Technologien, Künstlicher Intelligenz und maschinellem Lernen helfen wir Ihnen, Ihre Bilder im Internet zu finden und sich gegen Betrüger zu wehren“, so das Versprechen von PimEyes. Aus Sicht von Datenschützern kommen hier KI-Dienste in Verbindung mit Biometrie zum Einsatz. Wie also reagierten Aufsichtsbehörden?

Nachdem bereits 2021 Medien berichteten, dass das Unternehmen PimEyes „massenhaft Gesichter im Internet nach individuellen Merkmalen“ scannt und biometrische Daten (also persönliche Merkmale wie Gesichtsform, Augenfarbe oder den Abstand von Mund zu Nase) speichert, mit denen sich jeder Mensch treffsicher identifizieren lässt, hatte der damalige Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Dr. Stefan Brink ein Verfahren gegen das Unternehmen eröffnet und es zu einer Stellungnahme zu den durch das Unternehmen verarbeiteten Daten aufgefordert. Dafür hatte der Landesbeauftragte dem Unternehmen einen umfangreichen Fragenkatalog erarbeitet und überreicht.

Am 1. November 2022 erhielt der Landesbeauftragte eine Stellungnahme von PimEyes, in der das Unternehmen auf die Rechtsgrundlage der Verarbeitung biometrischer Daten zur Identifizierung von Personen, technisch-organisatorische Maßnahmen (TOMs) und Maßnahmen gegen den Missbrauch der Daten einging.

PimEyes stellte in seiner Stellungnahme fest, lediglich öffentlich verfügbare Bilder zu verarbeiten und dass es diese selbst nicht Personen zuordnen könne. Für von PimEyes gespeicherte Daten bestehe daher gar kein Personenbezug, es fehle damit an einer Verarbeitung personenbezogener Daten. Würde man – entgegen der Ansicht von PimEyes – dennoch einen Personenbezug annehmen, so sei dies jedenfalls als eine zulässige Verarbeitung im öffentlichen Interesse, im Rahmen einer öffentlichen Aufgabe bzw. zum Schutze lebenswichtiger Interessen der betroffenen Personen anzusehen.

Diesen Aussagen trat der Landesbeauftragte wegen der massiven Gefährdung der Rechte und Freiheiten der Bürgerinnen und Bürger, auch in Baden-Württemberg, energisch entgegen.

Dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Dr. Stefan Brink reichte die Stellungnahme des Unternehmens PimEyes damit keineswegs aus, sie lasse entscheidende Antworten auf seine Fragen weiterhin offen. Aufgrund der offenbar fehlenden Datenschutzkonformität und der aus Sicht des LfDI erheblichen Mängel im Bereich der technisch-organisatorischen Maßnahmen seitens PimEyes eröffnete der Landesbeauftragte daher ein Bußgeldverfahren gegen PimEyes.

Auf die Frage des Landesbeauftragten, wie ein Missbrauch der Fotos und Daten durch Dritte verhindert werde, verwies PimEyes darauf, dass in den Nutzungsbedingungen ein solcher Missbrauch untersagt werde. Ergänzend seien einzelne Maßnahmen getroffen worden (beispielsweise Anzeige von URLs nur für registrierte Nutzer, Rechnungsdaten zur Identifizierung der registrierten Nutzer, individuell begrenzte Anzahl von Suchanfragen pro Tag, Geoblocking in „kritischen“ Ländern).

Diese Maßnahmen könnten jedoch einfach umgangen werden, so die Aufsichtsbehörde. Wie sie einen ausreichenden Schutz für betroffene Personen herstellen sollen, war für den Landesbeauftragten aus der Antwort des Unternehmens nicht nachzuvollziehen.

Weiteres Vorgehen im Datenschutz bei KI

KI-basierte Technologien haben das Potenzial, die Lebensweise der Gesellschaft zu verändern, sowohl im positiven als auch im negativen Sinne, so auch der Europäische Datenschutzbeauftragte. KI könne uns zum Beispiel helfen, Herausforderungen in verschiedenen Bereichen wie im Bildungssektor zu lösen. KI kann jedoch auch unvorhergesehene erhebliche Risiken für Einzelpersonen darstellen, so der Datenschützer.

KI-Technologien sind in der Lage, riesige Datenmengen, einschließlich personenbezogener Daten, auf eine Weise zu verarbeiten, wie Menschen es nicht können. Auch wichtige Entscheidungen werden von diesen Systemen getroffen, und dies kann auf zahlreiche und unterschiedliche Aspekte angewendet werden, wie z. B. das Sichten von Bewerbungen von Kandidaten, Abfragen von Datenbanken zur Verbrechensbekämpfung oder -verhütung oder für Zwecke der automatisierten Entscheidungsfindung im Rahmen des Grenzkontrollmanagements.

Das vorgeschlagene EU-KI-Gesetz ist ein Rahmenwerk, das darauf abzielt, neben der in den EU-Mitgliedstaaten geltenden Datenschutz-Grundverordnung klare Regeln zur Vermeidung oder Minderung einiger der von KI ausgehenden Risiken festzulegen, wie der europäische Datenschutzbeauftragte betont. Der Datenschützer erklärt, dass noch viel zu tun ist, um KI zu regulieren und die Chancen und Risiken, die sich aus dieser Technologie ergeben, mit den Grundrechten des Einzelnen vereinbar zu machen.

Gesetzgeber gefragt

Der Bundesdatenschutzbeauftragte Professor Ulrich Kelber bezog sich auf den Einsatz von Künstlicher Intelligenz (KI) im Bereich der Strafverfolgung und der Gefahrenabwehr und sagte dazu: „KI wird eingesetzt, ohne dass grundlegende rechtliche Fragen beantwortet wären. Der Gesetzgeber sollte jetzt zeitnah die notwendigen Entscheidungen treffen.“

Beim Einsatz von KI müssten allgemeine Datenschutzgrundsätze beachtet und garantiert werden. Der Einsatz von KI im Sicherheitsbereich bedürfe in der Regel einer spezifischen gesetzlichen Regelung, wobei für die Ausgestaltung dieser Regelung die spezifischen Ausprägungen der im Einzelfall eingesetzten KI-Technologie maßgeblich seien.

Aus Sicht des Bundesdatenschutzbeauftragten ist auf die Erklärbarkeit von KI ein besonderes Augenmerk zu legen: Der Schutz des Kernbereichs privater Lebensgestaltung darf durch den Einsatz von KI durch Sicherheitsbehörden nicht verwässert werden. KI-Anwendungen müssen daher umfassend durch die Datenschutzaufsichtsbehörden kontrolliert werden können. Nicht zuletzt muss es eine umfassende Datenschutz-Folgeabschätzung geben, bevor KI eingesetzt wird.

Als Fazit stellte der Bundesdatenschutzbeauftragte fest: „Soweit personenbezogene Daten mit KI verarbeitet werden, ist der Gesetzgeber in Bund und Ländern bereits aufgrund seiner grundrechtlichen Schutzpflichten aufgerufen, tätig zu werden. Dazu ist eine umfassende öffentliche Debatte notwendig.“

Es zeigt sich, dass der Datenschutz nicht einfach die Nutzung von KI blockieren will, aber auf die Risiken und die notwendigen rechtlichen Grundlagen zur Verarbeitung personenbezogener Daten verweist. Ohne entsprechende Grundlagen werden KI-Einsätze gerade im Bereich sensibler Daten die Aufsichtsbehörden auf den Plan rufen, die dann auch Sanktionen ergreifen werden.

Ein KI-Einsatz ohne vorherige Prüfung der Datenschutzschutzfolgen und ohne definierte Rechtsgrundlagen sollte es nicht mehr geben. Datenschutz und KI müssen immer zusammen gedacht werden, ohne Datenschutz wird KI in der EU nicht zu machen sein.

(ID:49210415)