Die irische Datenschutzkommission (Data Protection Commission, DPC) hat ein Verfahren gegen Google in der EU eingeleitet. Es besteht der Verdacht, dass Google vor dem Training seines Pathways Language Model 2 (PaLM 2) mit Daten von EU-Bürgern keine oder eine nur unzureichende Datenschutz-Folgenabschätzung vorgenommen hat.
Verfahren gegen Google: Gab es keine Datenschutz-Folgenabschätzung?
„Eine Datenschutz-Folgenabschätzung (DSFA) ist von entscheidender Bedeutung, um sicherzustellen, dass die Grundrechte und Freiheiten natürlicher Personen angemessen berücksichtigt und geschützt werden, wenn die Verarbeitung personenbezogener Daten wahrscheinlich zu einem hohen Risiko führt“, erklärt die DPC in ihrer Mitteilung vom 12. September 2024.
Diese gesetzliche Untersuchung sei Teil der umfassenden Bemühungen, die Verarbeitung personenbezogener Daten von Betroffenen in der EU bei der Entwicklung von KI-Modellen und -Systemen in Zusammenarbeit mit seinen EU/EWR-Peer-Regulierungsbehörden zu regeln, teilt die DPC weiter mit.
Die DPC verweist auf Artikel 35 DSGVO, wonach eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist, wenn die Art der Verarbeitung, insbesondere unter Verwendung neuer Technologien, unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Abwägung für KI-Training gefordert
Es wird ausdrücklich darauf hingewiesen, dass die Datenschutz-Folgenabschätzung ein Schlüsselprozess für die Entwicklung und den Nachweis der Einhaltung der Vorschriften ist. Sie stellt sicher, dass die für die Verarbeitung Verantwortlichen alle Datenschutzrisiken, die sich aus einer risikoreichen Verarbeitung ergeben, ermitteln und mindern. Unter anderem soll sichergestellt werden, dass die Verarbeitung notwendig und verhältnismäßig ist und dass angesichts der Risiken angemessene Garantien bestehen.
Die irische Behörde ist für Google zuständig, da die Konzerntochter Google Ireland Limited ihren EU-Hauptsitz in Dublin, Irland, hat. Die DPC handelt stellvertretend für alle EU-Datenschutzaufsichtsbehörden. In der Vergangenheit musste sie sich den Vorwurf gefallen lassen, allzu nachsichtig mit den großen US-Techkonzernen umzugehen, die alle ihren EU-Sitz in Irland haben. Doch das hat sich inzwischen geändert.
Lese-Tipp: Generative KI – EDSB veröffentlicht Orientierungshilfe für Nutzung
KI-Ärger auch für X, Meta und Apple
Zuvor hat die DPC gegen die Social-Media-Plattform X geklagt. Das Unternehmen hatte sich während des Gerichtsverfahrens bereiterklärt, die Verarbeitung bestimmter in der EU erhobener personenbezogener Daten für das Training seines KI-Chatbots Grok dauerhaft einzustellen. Daraufhin hat die irische Behörde das Gerichtsverfahren gegen X eingestellt.
Und Meta, Mutterkonzern von Facebook und Instagram, hat im Juli angekündigt, den Nachfolger des KI-Modells Llama vorerst nicht für Kunden in der Europäischen Union zur Verfügung zu stellen. Zuvor stoppte Meta die Nutzung von Daten europäischer Kunden für das Training ihrer KI, nachdem die EU-Datenschutzbehörden eingeschritten waren.
Wie heiß das Thema KI und Datenschutz ist, zeigt auch der Technikkonzern Apple. Der Konzern erklärte am 9. September in einer Support-Mitteilung, dass die eigene KI Apple Intelligence vorerst nicht funktionieren wird, wenn man sich in der EU befindet und die Apple-ID auf ein Land oder eine Region in der EU eingestellt ist.
German 
English 
Italian 
French