Mit seinem bereits im letzten Jahr veröffentlichten KI-Chatbot ChatGPT hat das Unternehmen OpenAI die Wahrnehmung von Bürger_innen auf KI neu geprägt. Auch wenn die Bewertung des Chatbots vom „plappernden Papagei“ bis zur Schwelle der technologischen Singularität reicht, an der künstliche Intelligenz menschliche Intelligenz übertrifft, gilt es auch hier, bestehendes Datenschutzrecht umzusetzen. Und OpenAI muss den Aufsichtsbehörden die Fragen beantworten, die sie gestellt haben.
Am 30. März 2023 erließ die italienische Aufsichtsbehörde gegen OpenAI ein vorläufiges Verbot der Verarbeitung personenbezogener Daten von Betroffenen in Italien, da insbesondere keine ausreichende Transparenz über die Verarbeitung bestehe, eine Rechtsgrundlage für das Training des KI-Modells nicht erkennbar sei, die Korrektheit der verarbeiteten Daten nicht gewährleistet und der Jugendschutz nicht ausreichend sei. Diese Untersagung bescherte der datenschutzrechtlichen Diskussion um generative KI einen enormen Schwung. Die Datenschutzkonformität von ChatGPT wird nun sowohl auf europäischer als auch auf deutscher Ebene unter die Lupe genommen: Die Datenschutzaufsichtsbehörden der EU nehmen eine koordinierte Prüfung in der eigens dafür gegründeten Taskforce ChatGPT des Europäische Datenschutzausschuss (EDSA) vor, während die deutschen Aufsichtsbehörden in der DSK-Taskforce KI zu dem Thema zusammenarbeiten. Die Untersagung in Italien wurde, nach entsprechenden Nachbesserungen in den genannten Punkten durch OpenAI, beendet. Die Prüfung ist jedoch nicht abgeschlossen.
Die weitere Prüfung der europäischen wie deutschen Aufsichtsbehörden wird sich insbesondere darauf konzentrieren, wie bei der Verarbeitung personenbezogener Daten die Einhaltung der Grundsätze des Art. 5 DSGVO, nämlich der Rechtmäßigkeit, der Zweckbindung, der Datenminimierung und Speicherbegrenzung sowie der Richtigkeit der Daten sichergestellt wird. Dabei sind sowohl die Daten zu berücksichtigen, mit denen die Anwendung ursprünglich trainiert wurde, als auch die Daten, die die Nutzer_innen über sich und Dritte eingeben, sowie die personenbezogenen Daten, die durch ChatGPT generiert werden. Der Schutz Minderjähriger, der Schutz sensibler personenbezogener Daten und die Umsetzung der Betroffenenrechte müssen gegeben sein. Nicht zuletzt muss auch die datenschutzrechtliche Verantwortlichkeit geklärt werden, wenn Dritte den Dienst für ihre Zwecke nutzen. Um all dem näher auf den Grund zu gehen, unterstützen wir die Arbeit beider Taskforces.
Quelle: LfDI BW
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter. Alles zu IT-Betrieb, IT-Sicherheit und Administration von Websites
- Tragbarer Tresor für die Reise zum Schutz von Wertsachen
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
Dieser Absatz enthält Affiliatelinks/Werbelinks