Europäischer Ausschuss für den Datenschutz veröffentlicht Stellungnahme zur Datenverarbeitung während der Bereitstellung von KI-Modellen

Die Datenschutzbehörde der Europäischen Union äußerte sich zu aufkommenden Fragen bezüglich der Rechtmäßigkeit von GenAI. Der Ausschuss untersuchte Schlupflöcher, die KI-Entwickler ausnutzen könnten, um personenbezogene Daten zu verarbeiten, ohne gegen die aktuelle Gesetzgebung zu verstoßen..  

Der Europäische Ausschuss für den Datenschutz stellte Fragen zur rechtlichen Grundlage für die Verarbeitung personenbezogener Daten durch KI-Entwickler. In einer Stellungnahme veröffentlicht am 17. Dezember behandelte der Ausschuss verschiedene Angelegenheiten von allgemeiner Anwendung im Einklang mit Artikel 64(2) der DSGVO.  

Europäische Datenschutzbehörde äußert sich zu Fragen im Datenschutz und bei der KI-Bereitstellung 

Der Europäische Ausschuss für den Datenschutz (EDPB) gab die Stellungnahme auf Anfrage der irischen Aufsichtsbehörde heraus. Der Ausschuss stellte fest, dass er eine gesetzliche Mandat unter der Datenschutz-Grundverordnung (DSGVO) hat, um eine Stellungnahme zu Angelegenheiten abzugeben, die mehr als einen Mitgliedstaat in der Europäischen Union betreffen. 

Die Agentur wies darauf hin, dass die von der irischen Behörde vorgelegten Anfragen die Verarbeitung personenbezogener Daten während der Phasen der Entwicklung und Bereitstellung von Künstlicher Intelligenz (KI) betrafen. Sie beschränkte die Stellungnahme auf vier Fragen im Zusammenhang mit dem Datenschutz in der Europäischen Union. 

Zu den Fragen gehörten, wann und wie ein KI-Modell als anonym betrachtet werden kann und wie Verantwortliche die Notwendigkeit eines berechtigten Interesses bei der Bereitstellung darlegen können. Der Ausschuss untersuchte auch die Folgen unrechtmäßiger Datenverarbeitung während der Entwicklungsphase eines KI-Modells auf den anschließenden Betrieb des KI-Modells. 

Bezüglich der Frage, wann und wie die Anonymität eines KI-Modells bestimmt werden kann, erklärte der Ausschuss, dass eine zuständige lokale Behörde eine solche Bestimmung von Fall zu Fall treffen sollte. Der Ausschuss äußerte dass er nicht alle KI-Modelle, die mit personenbezogenen Daten trainiert wurden, als anonym betrachtete. 

Der Ausschuss empfahl, dass nationale Aufsichtsbehörden die vom Verantwortlichen bereitgestellten relevanten Dokumente bewerten, um die Anonymität eines Modells zu bestimmen. Er fügte hinzu, dass Verantwortliche auch die relevanten Schritte unternehmen sollten, um die Sammlung personenbezogener Daten während des Trainings zu begrenzen und potenzielle Angriffe abzumildern.

Zur Frage des berechtigten Interesses als geeignete rechtliche Grundlage für die Verarbeitung personenbezogener Daten während der Bereitstellung von KI-Modellen überließ der Ausschuss es den Verantwortlichen, die geeignete rechtliche Grundlage für die Verarbeitung solcher Daten zu bestimmen. 

Der EDPB betonte den dreistufigen Test zur Bestimmung des berechtigten Interesses durch Aufsichtsbehörden. Die Schritte umfassten die Identifizierung des tatsächlichen berechtigten Interesses und die Analyse seiner Notwendigkeit. Verantwortliche müssen auch bewerten, ob das berechtigte Interesse mit den Rechten und Freiheiten der betroffenen Personen im Gleichgewicht steht. 

Bei der Bewertung der Folgen verwies der Ausschuss das Ermessen an die Aufsichtsbehörden in den jeweiligen Staaten. Er fügte hinzu, dass die SAs die angemessenen Folgen je nach den Fakten jedes Szenarios wählen sollten. 

Irische Datenschutzkommentare zur EDPB-Stellungnahme zur Regulierung von KI-Modellen 

Die irische Datenschutzkommission reagierte in einer Erklärung und stellte fest, dass die Stellungnahme eine effektive und konsistente Regulierung von KI-Modellen in der EU fördern würde. Kommissar Dale Sunderland kommentierte:

Es wird auch das Engagement der DPC mit Unternehmen unterstützen, die neue KI-Modelle entwickeln, bevor sie auf dem EU-Markt starten, sowie die Bearbeitung der vielen KI-bezogenen Beschwerden, die bei der DPC eingereicht wurden.

Dale Sunderland 

Beschwerden über den Hersteller von ChatGPTs, OpenAI, wurden reportedly in den letzten Monaten auf den Rahmen gestellt. Die polnische Datenschutzbehörde stellte im vergangenen Jahr Fragen zur Einhaltung der DSGVO durch den KI-Entwickler. 

Die Aufsichtsbehörde rügte, dass OpenAI Anforderungen wie die vorherige Konsultation der Regulierungsbehörden bei Risiko eines Verstoßes gegen den Schutz personenbezogener Daten ignoriert habe. Die Aufsichtsbehörde stellte fest, dass OpenAI ChatGPT ohne Rücksprache mit den lokalen Regulierungsbehörden eingeführt habe, was gegen die DSGVO-Leitlinien verstoße. 

Italiens Garante ordnete OpenAI zudem an, die Verarbeitung personenbezogener Daten im Jahr 2023 einzustellen, bevor die mit der Plattform des Unternehmens identifizierten Probleme behoben würden. Es wurde hervorgehoben, dass das in San Francisco ansässige Unternehmen nicht über die gesetzlich vorgeschriebenen Maßnahmen verfügte, um Minderjährigen den Zugang zur Technologie zu untersagen. 

Die Aufsichtsbehörde warnte, dass bei Nichteinhaltung der Leitlinien Strafen verhängt würden, die vier Prozent des jährlichen Umsatzes oder zwanzig Millionen Euro betragen würden, je nachdem, welcher Betrag höher ist.