Deutsche Datenschützer ziehen nach.
Nach der temporären Sperrung des KI-Chatbots ChatGPT durch italienische Behörden werden nun auch die hiesigen Datenschutzbeauftragten aktiv. Der Betreiber OpenAI in San Francisco wird nun mehrere Fragebögen beantworten müssen, die die Datenschutzlage vorläufig klären sollen. Was bedeutet das für die beliebte Text-KI?
Für den DFJV von Rechtsanwalt Christian Solmecke aus der Kanzlei WBS.LEGAL.
So vielversprechend generative KI-Systeme für die neue Weltwährung Content sind, so groß sind auch die Risiken. Das zeigt die öffentliche Debatte rund um KI-Themen wie Data Mining, Urheberrechtsschutz und Datenschutz.
Die Zweifel Italiens und die Hürden der DSGVO
Das Problem mit dem Datenschutz rief Ende April die italienische Datenschutzbehörde auf den Plan, die den KI-Chatbot ChatGPT für Nutzer des eigenen Landes bis auf Weiteres sperrte. Anlass war ein Datenleck vom 20. März, bei dem Benutzer der Plattform für kurze Zeit die persönlichen Daten anderer Nutzer sehen konnten. Doch auch über dieses Leck hinaus hat die Behörde die Befürchtung, der Betreiber OpenAI würde durch das Tool im großen Stil ohne Rechtsgrundlage sensible Daten verarbeiten – vor allem jene, die die Nutzer beiläufig in den Chat eingeben. Etwa in der Hoffnung, von ChatGPT aufgrund bestimmter Symptome ferndiagnostiziert oder in anderen Angelegenheiten „persönlich“ beraten zu werden.
Die Einschätzung der Italiener ist nicht aus der Luft gegriffen: Die Datenschutzgrundverordnung (DSGVO) erlaubt die Verarbeitung personenbezogener Daten nur, wenn das Gesetz es erlaubt. In der Praxis spielen vor allem zwei „DSGVO-Erlaubnisnormen“ eine Rolle. Zum einen die Einwilligung der Nutzer. Wenn diese nicht vorliegt, kommt alternativ nur die Berufung auf ein überwiegendes „berechtigtes Interesse“ von OpenAI in Betracht. Dieses könnte z. B. in Forschungs- oder Weiterentwicklungszwecken liegen und das persönliche Interesse des Betroffenen an der Geheimhaltung seiner Daten überwiegen.
Diese Begründung reicht aber nicht mehr aus, wenn die Daten besonders sensibel sind, etwa bei gesundheitsbezogenen Daten oder bei Daten zur sexuellen Identität. Auch wenn von ChatGPT darauf hingewiesen wird, man solle solche Daten nicht eingeben, entbindet das OpenAI nicht von der rechtlichen Pflicht, sollten Nutzer sich über dieses Gebot hinwegsetzen und die KI mit solchen Infos füttern. Diese Daten darf OpenAI aber im Zweifel nur verarbeiten, wenn zuvor eine Einwilligung der Betroffenen eingeholt wurde. Daran fehlt es aber wie gesagt aktuell. Eine Einwilligung muss nämlich aktiv vom Nutzer ausgehen. Aktuell gibt es aber nur einen kleinen Hinweis darauf, dass man mit sensiblen Eingaben vorsichtig sein soll. Das genügt nicht für eine Einwilligung.
Darüber hinaus sind die Italiener der Auffassung, es fehle an der nach DSGVO erforderlichen Transparenz. So müsste OpenAI detaillierter angeben, zu welchen Zwecken Daten verwertet werden und wie das Geschäftsmodell des Unternehmens aussieht. Wesentlich ist nach Einschätzung der italienischen Behörden außerdem, dass OpenAI nicht genügende Maßnahmen unternimmt, um Kinder und Jugendliche unter dem Mindestalter von 16 Jahren an der Nutzung zu hindern. Zudem fehle es an einer Widerspruchsmöglichkeit gegen die Datensammlung und es würden auch falsche Daten über Personen gesammelt – was ebenfalls DSGVO-widrig sein kann.
Die italienische Datenschutzbehörde steht derzeit in Gesprächen mit OpenAI, um das Problem möglichst bald wieder aufzulösen. Man wolle das Datensammeln nicht grundsätzlich verbieten. Es gehe vor allem um Transparenz. Derzeit steht eine Wiederzulassung von ChatGPT am 30. April im Raum – unter Bedingungen.
Deutschland am Zug
Was die deutschen Behörden bei den italienischen Kollegen zunächst nur mit vagem Interesse beäugt haben, nehmen sie sich nun als Beispiel für ein eigenes Vorgehen: Unter anderen haben der hessische Datenschutzbeauftragte und die Datenschutzbehörde Baden-Württemberg OpenAI nun mit einem eigenen Fragenkatalog konfrontiert. Dabei geht es auch um das Schicksal der sensiblen Daten, die Nutzer dem Chat aktiv preisgeben. Auch die Daten, mit denen das KI-System zuvor trainiert wurde, werden in den Blick genommen. Schließlich geht es auch um den Jugendschutz und die sog. Betroffenenrechte, z. B. auf Auskunft, Berichtigung und Löschung der eingegebenen Daten. Auch Schleswig-Holstein hat Fragen und setzt dem US-Unternehmen eine Frist bis zum 7. Juni. Wie lange die Verfahren tatsächlich dauern werden, bleibt abzuwarten.
Im Ernstfall kann es hier für OpenAI teuer werden. Sollte das passieren, steht auch ein Bußgeld im Raum, das sich mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes durchaus sehen lassen kann. Die Behörde könnte Open AI auch dazu zwingen, die Daten der Nutzer zu löschen oder in Zukunft nicht mehr zu sammeln.
Der bisherige Kurs steht in Deutschland allerdings eher im Zeichen der Kooperation. Von einer Sperrung hat man hier vorerst abgesehen. Zunächst wartet man die Statements seitens OpenAI ab. Man hofft also auf eine einvernehmliche Lösung.
Frankreichs Datenschutzbehörde prüft ChatGPT aktuell ebenso. Die spanische Behörde ist wohl nicht selbst aktiv geworden, sondern hat die EU-Behörden um entsprechende Schritte gebeten. Parallel dazu setzt sich auch eine Taskforce auf EU-Ebene mit ChatGPT auseinander.