Infopaket Künstliche Intelligenz
"Künstliche Intelligenz" gibt es schon lange. Eine ganz neue Dynamik hat die Thematik in 2023 mit der allgegenwärtigen Nutzung von Large Language Models (LLM) wie z. B. "ChatGPT", "Microsoft Copilot" oder "Google Germini" zur KI-Generierung von Texten zu beliebigen Themen bekommen. Solche KI-Systeme können jedoch mit Risiken behaftet sein. Sie können mit personenbezogenen Daten datenschutzwidrig trainiert worden sein. Bei der Nutzung können datenschutzwidrig personenbezogene Daten eingegeben bzw. ausgegeben werden. Durch die Verarbeitung großer Mengen personenbezogener Daten kann dann das Recht auf informationelle Selbstbestimmung Einzelner betroffen sein.
Mit dem Einsatz von KI-Systemen können darüber hinaus erhebliche gesamtgesellschaftliche Gefahren einhergehen. Es können massenhaft Desinformationen gezielt ausgespielt werden. Einzelne oder Gruppen von Menschen können Opfer sich verstärkender Diskriminierung mit fatalen persönlichen Folgen werden. Um diese Risiken einzudämmen, wurde die Verordnung über künstliche Intelligenz (KI-VO) erlassen. Sie gilt ab dem 2. August 2026 und tritt sukzessive vorab in Kraft. Nach ihrem Erwägungsgrund 1 soll die KI-VO das Funktionieren des Binnenmarkts verbessern, die Einführung menschenbezogener und vertrauenswürdiger Künstlicher Intelligenz fördern und gleichzeitig ein hohes Niveau des Schutzes der Gesundheit, der Sicherheit, der in der Charta verankerten Grundrechte, einschließlich der Demokratie, der Rechtsstaatlichkeit und des Umweltschutzes, vor den schädlichen Auswirkungen von KI-Systemen in der Europäischen Union gewährleisten und Innovationen unterstützen. Die Europäische Kommission gibt Erklärungen auf ihrer Webseite "Künstliche Intelligenz – Fragen und Antworten".
Die DS-GVO ist weiterhin neben der KI-VO abwendbar (Art. 2 Abs. 7 S. 2 KI-VO). Unabhängig vom In-Kraft-Treten der KI-VO müssen datenschutzrechtliche Vorgaben von Anbietern und Betreibern (Nutzern) von KI-Anwendungen - schon jetzt - eingehalten werden, wenn sie personenbezogene Daten verarbeiten. Für die ausschließlich private Nutzung von KI-Systemen greift die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c) DS-GVO.
Die KI-Aufsichts- und Marktüberwachungsbehörden müssen durch nationales Recht bestimmt und nach Art. 70 Abs. 2 KI-VO bis 2. August 2025 an die Europäische Kommission gemeldet werden. Da ein Großteil von KI-Anwendungen in den Phasen des Trainings, Inputs oder Outputs personenbezogene Daten verarbeitet, fällt die Nutzung solcher KI-Systeme gleichsam in die Zuständigkeit der Datenschutzaufsichtsbehörden nach Art. 51 DS-GVO. In dem Positionspapier "Nationale Zuständigkeiten für die Verordnung zur Künstlichen Intelligenz (KI‐VO)" vom 3. Mai 2024 fordert die Datenschutzkonferenz (DSK) behördliche Zuständigkeiten nach der KI-VO den Datenschutzaufsichtsbehörden über die DS-GVO hinaus zu übertragen. Der Europäische Datenschutzausschuss hat sich hier ebenfalls positioniert. Eine gesetzliche Regelung steht noch aus.
In jeder Phase des Lebenszyklus einer KI-Anwendung - insbesondere aber bei der Nutzung von KI-Anwendungen - können sich Fragen zum Datenschutz ergeben. Die unten aufgeführten Dokumente bieten Hilfestellungen bei der Einordnung:
Mit der Hambacher Erklärung der DSK zur Künstlichen Intelligenz vom 3. April 2019 positionierte sich die DSK zu den Grundsätzen der Verarbeitung von personenbezogenen Daten in einem KI-System. In dem Positionspapier zu empfohlenen technischen und organisatorischen Maßnahmen bei der Entwicklung und dem Betrieb von KI-Systemen vom 6. November 2019 werden die Anforderungen der DS-GVO anhand der Lebenszyklen von KI-Systemen erläutert.
Für öffentliche Verwaltungen und Unternehmen, die LLM nutzen wollen, erweist sich die von der DSK am 6. Mai 2024 veröffentlichte Orientierungshilfe "Künstliche Intelligenz und Datenschutz" als Hilfestellung. Praxisnah adressiert die Orientierungshilfe Fragen, die datenschutzrechtlich Verantwortliche bei der Konzeption des Einsatzes, der Auswahl, der Implementierung und der Nutzung von KI-Anwendungen wie der LLM stellen und beantworten müssen. Ob Zweckbestimmung, Transparenzpflichten, Betroffenenrechte oder Richtigkeit von Ergebnissen: Die Orientierungshilfe erörtert – auch anhand von Beispielen – wichtige Kriterien entlang der Vorgaben der DS-GVO und zeigt Leitlinien für entsprechende Entscheidungen auf. Sie richtet sich mittelbar auch an Entwickler, Hersteller und Anbieter von KI-Systemen, denn sie enthält Hinweise zur Auswahl datenschutzkonformer KI-Anwendungen, die auf die Gestaltung der Produkte zurückwirken. Die Entwicklung von KI-Anwendungen und das Training von KI-Modellen sind allerdings nicht Schwerpunkt dieser Orientierungshilfe.
Weitere Materialien wurden vom Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg "Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz" (Version 2.0 vom 17.10.2024) sowie vom Bayerischen Landesamt für Datenschutzaufsicht "Datenschutzkonforme Künstliche Intelligenz - Checkliste mit Prüfkriterien nach DS-GVO" (Stand: 24.01.2024) veröffentlicht.