OpenAI drohen in Italien Anklagen wegen Verstoßes gegen die DSGVO

OpenAI, das Unternehmen hinter dem KI-Chatbot ChatGPT, wird von der italienischen Datenschutzbehörde wegen möglicher Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union geprüft. Nach mehrmonatigen Ermittlungen hat die italienische Behörde eine Beschwerdemitteilung erlassen, da sie den Verdacht hegt, dass OpenAI gegen EU-Datenschutzbestimmungen verstoßen haben könnte. Die Einzelheiten des vorläufigen Untersuchungsberichts wurden nicht veröffentlicht, OpenAI hat jedoch 30 Tage Zeit, um zu den Vorwürfen Stellung zu nehmen und sich zu verteidigen.

Hintergrund und bisherige Maßnahmen der italienischen Behörden

Die italienische Datenschutzbehörde hatte zuvor Bedenken hinsichtlich der Einhaltung der DSGVO durch OpenAI geäußert und die lokale Datenverarbeitung von ChatGPT vorübergehend untersagt, was zur Einstellung des KI-Chatbots auf dem italienischen Markt führte. Die Behörde bemängelte unter anderem das Fehlen einer geeigneten Rechtsgrundlage für die Erhebung und Verarbeitung personenbezogener Daten zum Training der ChatGPT-Algorithmen. Auch die Sicherheit von Kindern und die Tendenz des KI-Tools, „halluzinatorische“ und damit ungenaue Informationen über Einzelpersonen zu generieren, wurden als problematisch angesehen.

Obwohl OpenAI einige von den italienischen Behörden aufgeworfene Probleme vorübergehend beheben konnte, sieht sich das Unternehmen nun vorläufigen Schlussfolgerungen gegenüber, dass ChatGPT gegen EU-Recht verstößt. Kernpunkt ist die Rechtsgrundlage, die OpenAI für die Verarbeitung personenbezogener Daten zum Training seiner KI-Modelle anführt, insbesondere da ChatGPT mithilfe von Daten entwickelt wurde, die aus dem öffentlichen Internet gesammelt wurden und darunter auch personenbezogene Daten von Einzelpersonen enthalten.

Rechtsgrundlage für die Datenverarbeitung und mögliche Folgen

OpenAI berief sich zunächst auf die „trac“ als Rechtsgrundlage für das Training des ChatGPT-Modells, doch die italienischen Behörden wiesen das Unternehmen an, diese Angabe zu entfernen. Damit blieben OpenAI nur noch zwei mögliche Rechtsgrundlagen: Einwilligung oder berechtigte Interessen. Die Einholung der Einwilligung der großen Anzahl an Personen, deren Daten verarbeitet wurden, erscheint unpraktisch, sodass berechtigte Interessen die primäre Rechtsgrundlage darstellen. Diese Grundlage verpflichtet OpenAI jedoch dazu, den Betroffenen ein Widerspruchsrecht gegen die Verarbeitung zu gewähren, was den kontinuierlichen Betrieb eines KI-Chatbots erschwert.

Die übergeordnete Frage ist, ob die italienische Datenschutzbehörde (Garante) berechtigte Interessen letztlich als gültige Rechtsgrundlage in diesem Kontext anerkennen wird. Frühere Entscheidungen des Europäischen Gerichtshofs deuten auf mögliche Hürden hin, da berechtigte Interessen eine sorgfältige Abwägung zwischen den Interessen des Datenverarbeiters und den Rechten und Freiheiten der Betroffenen erfordern. Insbesondere hielt das Gericht diese Rechtsgrundlage für Metas Geschäftsmodell der verhaltensbasierten Werbung für ungeeignet.

OpenAIs Reaktion und laufende Bemühungen um die Einhaltung der DSGVO

OpenAI hat auf die zunehmenden regulatorischen Risiken reagiert, indem das Unternehmen versucht, einen physischen Standort in Irland zu errichten und Irland als Dienstanbieter für die Daten von EU-Nutzern zu benennen. Ziel ist es, in Irland den Status einer „Hauptniederlassung“ zu erlangen und die Einhaltung der DSGVO durch die irische Datenschutzkommission überwachen zu lassen. Dieser Status ist jedoch noch nicht erteilt, und ChatGPT könnte weiterhin mit Untersuchungen von Datenschutzbehörden in anderen EU-Ländern konfrontiert werden.

Neben den Ermittlungen in Italien steht OpenAI auch in Polen unter Beobachtung, nachdem eine Beschwerde über fehlerhafte Informationen von ChatGPT und OpenAIs Antwort an den Beschwerdeführer eingegangen war. OpenAIs Bemühungen um eine Koordinierung mit den EU-Datenschutzbehörden über den Europäischen Datenschutzausschuss könnten zu einheitlicheren Ergebnissen führen, die einzelnen Behörden bleiben jedoch für Entscheidungen in ihren jeweiligen Märkten zuständig.