Der Europäische Datenschutzbeauftragte (EDSB) hat kürzlich eine erste Orientierungshilfe zur Nutzung generativer künstlicher Intelligenz (Generative AI, GAI) veröffentlicht. Sie richtet sich in erster Linie an EU-Institutionen. Die darin enthaltenen datenschutzrechtlichen Verpflichtungen für generative KI können aber auch für Unternehmen von Nutzen sein.
Datenschutz-Tipps für generative KI
Der Leitfaden zielt darauf ab, praktische Ratschläge zur Verarbeitung personenbezogener Daten in Zusammenhang mit der Nutzung von GAI-Systemen zu geben. Damit soll eine datenschutzfreundliche Nutzung solcher Systeme sichergestellt werden, ohne die Grundrechte der betroffenen Personen zu verletzen.
Bereits zu Beginn des Leitfadens die gute Nachricht: Alle EU-Einrichtungen können ihre eigenen generativen KI-Lösungen entwickeln und einsetzen. Alternativ können sie auch auf dem Markt verfügbare Lösungen für den eigenen Gebrauch nutzen. Lediglich die rechtlichen Rahmenbedingungen müssen eingehalten werden.
Der Leitfaden betont die Notwendigkeit einer sorgfältigen Risikobewertung und kontinuierlichen Überwachung beim Einsatz von KI-Systemen. Dies betrifft unter anderem die Minimierung der Datenerhebung und die Sicherstellung der Datenrichtigkeit. Außerdem die Wahrung der Rechte der betroffenen Personen, wie das Recht auf Auskunft, Berichtigung oder Löschung ihrer Daten.
Besonders hervorgehoben wird die Rolle des Datenschutzbeauftragten (DSB). Er muss sicherstellen, dass die GAI-Systeme den datenschutzrechtlichen Anforderungen entsprechen.
Darüber hinaus müssen die Einrichtungen technische und organisatorische Maßnahmen ergreifen, um die Datensicherheit zu gewährleisten und einen Missbrauch durch Dritte zu verhindern.
Zulässigkeit der Verarbeitung personenbezogener Daten in KI-Systemen
Die Orientierungshilfe weist ausdrücklich darauf hin, dass Anbieter von generativen KI-Modellen ein berechtigtes Interesse nach der Datenschutz-Grundverordnung als Rechtsgrundlage für die Datenverarbeitung geltend machen können. Dies gilt insbesondere für die Erhebung von Daten, die für die Entwicklung des Systems einschließlich der Trainings- und Validierungsprozesse verwendet werden.
Der EuGH hat drei Bedingungen festgelegt, damit die Verarbeitung personenbezogener Daten rechtmäßig ist:
- die Verfolgung eines berechtigten Interesses durch den für die Verarbeitung Verantwortlichen (oder durch einen Dritten);
- die Notwendigkeit der Verarbeitung personenbezogener Daten für die Zwecke des verfolgten berechtigten Interesses;
- Interessen oder Grundfreiheiten und Rechte der betroffenen Person haben keinen Vorrang vor dem berechtigten Interesse des für die Verarbeitung Verantwortlichen (oder eines Dritten).
Der EDSB räumt jedoch ein: Bei der Datenverarbeitung durch generative KI-Systeme können viele Umstände den Abwägungsprozess beeinflussen. Dies kann sowohl für die betroffenen Personen als auch für die für die Verarbeitung Verantwortlichen zu Rechtsunsicherheit führen.
Lese-Tipp: AI Act am 1. August in Kraft getreten – so geht es jetzt weiter!
Transparenz und Fairness beim Einsatz von GAI-Systemen
Die Orientierungshilfe betont die Bedeutung der Transparenz bei der Information der betroffenen Personen über die Verarbeitung ihrer Daten durch generative KI-Systeme. Die Einrichtungen müssen klare und umfassende Informationen über die verwendeten Datensätze, die Funktionsweise der Algorithmen und die möglichen Auswirkungen auf die betroffenen Personen bereitstellen.
Darüber hinaus müssen Vorkehrungen getroffen werden, um sicherzustellen, dass GAI-Systeme fair und ohne diskriminierende Verzerrungen funktionieren. Dies erfordert eine regelmäßige Überprüfung und Anpassung der Systeme, um Verzerrungen zu erkennen und zu korrigieren.
Fazit: Der Einsatz von Generativer KI bietet den EU-Institutionen zahlreiche Möglichkeiten, erfordert jedoch eine sorgfältige Beachtung der Datenschutzanforderungen. Die vom EDSB veröffentlichten Leitlinien sind ein erster Schritt, um einen datenschutzkonformen Einsatz dieser Technologien zu gewährleisten. Der EDSB beabsichtigt, diese Leitlinien im Laufe der Zeit zu verfeinern und zu erweitern, um den sich ständig ändernden Herausforderungen gerecht zu werden.
Quelle: First EDPS Orientations for ensuring data protection compliance when using Generative AI systems
German 
English 
Italian