Die rasante Entwicklung der künstlichen Intelligenz (KI) stellt Juristinnen und Juristen weltweit vor die Herausforderung, bestehende Rechtsrahmen auf diese neue Technologie anzuwenden. [...]
Da KI-Modelle meist eine große Menge an Daten für ihr Training und ihre Verwendung benötigen, stellen sich auch für die richtige Anwendung der Datenschutz-Grundverordnung (DSGVO) auf KI-Modelle wichtige Fragen – insbesondere inwieweit die KI-Modelle von der DSGVO betroffen sind, wenn sie mit personenbezogenen Daten trainiert wurden.
Auf Anfrage der irischen Aufsichtsbehörde befasste sich der Europäische Datenschutzausschuss (EDSA) in seiner ausführlichen Stellungnahme von Dezember 2024 eingehend mit diesen Fragen.
Der EDSA stellt klar, dass auch KI-Modelle, die nicht dazu konzipiert wurden, Informationen über natürliche Personen bereitzustellen, nicht immer als anonym (und somit als nicht von der DSGVO erfasst) angesehen werden können. Denn personenbezogene Daten, die für das Training genutzt wurden, könnten – unter Berücksichtigung der Entwicklung der technischen Möglichkeiten – in manchen Fällen auch wieder aus eben diesem KI-Modell gewonnen werden.
Laut EDSA kann ein KI-Modell daher nur dann als anonym gelten, wenn es sehr unwahrscheinlich ist, dass i) für das Training genutzte personenbezogene Daten direkt aus dem KI-Modell extrahiert werden können oder, dass ii) solche Daten (wenn auch unabsichtlich) durch Abfragen vom KI-Modell ausgegeben werden. Ob dies auf ein konkretes KI-Modell zutrifft, ist von den Aufsichtsbehörden im Einzelfall zu beurteilen und hängt von den im KI-Modell ergriffenen Maßnahmen ab.
Ob ein KI-Modell als anonym gilt, ist auch für dessen Verwendung entscheidend. Wurde ein nicht-anonymes KI-Modell mit unrechtmäßig verarbeiteten personenbezogenen Daten trainiert, kann dies auch die Rechtmäßigkeit seines späteren Einsatzes in Frage stellen. Denn wer ein KI-Modell zur Verarbeitung personenbezogener Daten einsetzt, muss aufgrund seiner Verpflichtungen aus der Datenschutz-Grundverordnung sicherstellen, dass es rechtmäßig entwickelt wurde. Demgegenüber ist Datenschutzkonformität der Entwicklung nicht relevant, wenn es sich um ein anonymes KI-Modell handelt.
Im Ergebnis sind die Regelungen der DSGVO, insbesondere die Rechtmäßigkeit der Datenverarbeitung, sowohl für das Training als auch für die Nutzung von KI-Modellen jedenfalls einzuhalten. Auch bei der Verwendung sollte somit darauf geachtet werden, dass das KI-Modell rechtmäßig trainiert wurde und gegebenenfalls anonymisiert ist.
Be the first to comment