OpenAI sieht sich potenziellen GDPR-Verstoßvorwürfen in Italien ausgesetzt

OpenAI, die Organisation hinter dem KI-Chatbot ChatGPT, wird von der italienischen Datenschutzbehörde wegen potenzieller Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union untersucht. Nach einer mehrmonatigen Untersuchung hat die italienische Behörde eine Rüge ausgesprochen und vermutet, dass OpenAI gegen die EU-Datenschutzbestimmungen verstoßen haben könnte. Die Details des Entwurfs der Ergebnisse wurden nicht bekannt gegeben, aber OpenAI hat 30 Tage Zeit, um zu antworten und eine Verteidigung gegen die Vorwürfe vorzulegen.

Hintergrund und frühere Maßnahmen der italienischen Behörde

Die italienische Datenschutzbehörde hatte zuvor Bedenken hinsichtlich der DSGVO-Konformität von OpenAI geäußert, als sie ein vorübergehendes Verbot der lokalen Datenverarbeitung von ChatGPT anordnete, was zur Aussetzung des KI-Chatbots auf dem italienischen Markt führte. Die Behörde hob Probleme wie das Fehlen einer geeigneten Rechtsgrundlage für die Erhebung und Verarbeitung personenbezogener Daten zum Training der ChatGPT-Algorithmen hervor. Auch der Kinderschutz und die Tendenz des KI-Tools, „zu halluzinieren“ und ungenaue Informationen über Personen zu produzieren, wurden als Bedenken geäußert.

Obwohl OpenAI einige von der italienischen Behörde aufgeworfenen Probleme vorübergehend behoben hat, stehen nun vorläufige Schlussfolgerungen im Raum, dass ChatGPT gegen EU-Recht verstößt. Der Kern der Angelegenheit liegt in der Rechtsgrundlage, die OpenAI für die Verarbeitung personenbezogener Daten zum Training seiner KI-Modelle beansprucht, insbesondere unter Berücksichtigung der Tatsache, dass ChatGPT mit Daten trainiert wurde, die aus dem öffentlichen Internet, einschließlich personenbezogener Daten von Einzelpersonen, gescrappt wurden.

Rechtsgrundlage für die Datenverarbeitung und mögliche Konsequenzen

OpenAI behauptete zunächst, die „Erfüllung eines Vertrags“ sei die Rechtsgrundlage für das Training des ChatGPT-Modells, aber die italienische Behörde wies es an, diesen Verweis zu entfernen. Dies hinterließ OpenAI nur zwei potenzielle Rechtsgrundlagen: Einwilligung oder berechtigte Interessen. Die Einwilligung der großen Anzahl von Personen, deren Daten verarbeitet wurden, zu erhalten, erscheint unpraktisch, sodass berechtigte Interessen als primäre Rechtsgrundlage übrig bleiben. Diese Grundlage erfordert jedoch, dass OpenAI den betroffenen Personen die Möglichkeit gibt, der Verarbeitung zu widersprechen, was für den kontinuierlichen Betrieb eines KI-Chatbots Herausforderungen mit sich bringt.

Die umfassendere Frage ist, ob der Garante, die italienische Datenschutzbehörde, berechtigte Interessen in diesem Kontext letztlich als gültige Rechtsgrundlage akzeptieren wird. Vorherige Entscheidungen des obersten Gerichts der EU deuten auf potenzielle Hürden hin, da berechtigte Interessen eine sorgfältige Abwägung zwischen den Interessen des Datenverarbeiters und den Rechten und Freiheiten der Einzelpersonen erfordern. Bemerkenswerterweise befand das Gericht diese Grundlage für das geschäftliche Verhaltenswerbe-Geschäft von Meta als ungeeignet.

OpenAIs Antwort und laufende Bemühungen zur DSGVO-Konformität

OpenAI hat auf die steigenden regulatorischen Risiken reagiert, indem es versuchte, eine physische Basis in Irland zu etablieren und diese als Diensteanbieter für die Daten der EU-Nutzer zu benennen. Das Ziel ist es, den Status der „Hauptsitzes“ in Irland zu erlangen und die DSGVO-Konformitätsaufsicht von der irischen Datenschutzkommission leiten zu lassen. Dieser Status steht jedoch noch aus, und ChatGPT könnte weiterhin Untersuchungen von Datenschutzbehörden (DPAs) in anderen EU-Ländern erfahren.

Neben der italienischen Untersuchung steht OpenAI auch in Polen unter Beobachtung, nachdem eine Beschwerde über ungenaue Informationen, die von ChatGPT erzeugt wurden, sowie über OpenAIs Reaktion auf den Beschwerdeführer eingereicht wurde. OpenAIs Bemühungen, sich mit den EU-Datenschutzbehörden durch den Europäischen Datenschutzausschuss zu koordinieren, könnten zu einer stärkeren Harmonisierung der Ergebnisse führen, doch bleiben die einzelnen Behörden für die Erlassung von Entscheidungen in ihren jeweiligen Märkten zuständig.