Schlagwort: Künstliche Intelligenz
21. Juni 2023
Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) gab das Anhörungsschreiben frei, das an das US-amerikanische Unternehmen OpenAI gerichtet war. In dem Schreiben wird ein Fragenkatalog aufgeführt, bei dem lediglich die Namen der Ansprechpartner anonymisiert wurden. Im April 2023 haben die deutschen Landesdatenschutzbehörden ein Verwaltungsverfahren gegen das Unternehmen OpenAI eingeleitet. OpenAI hatte im November 2022 den KI-Chatbot ChatGPT der Öffentlichkeit vorgestellt. Die Datenschutzbehörden möchten prüfen, ob die Algorithmen der KI-Software den Anforderungen der europäischen Datenschutzregeln gemäß der Datenschutzgrundverordnung (DSGVO) entsprechen.
Die Fragen des ULD an OpenAI
Über 40 rechtsrelevante Fragen wurden im Rahmen der Anhörung gestellt. Diese Fragen beziehen sich auf ChatGPT und die zugehörigen Sprachmodelle GPT bis GPT-4. Die Behörden gehen davon aus, dass ChatGPT personenbezogene Daten automatisiert verarbeitet, um Antworten zu generieren. Um diese Annahme zu überprüfen, wurde OpenAI gebeten, rund 40 Fragen zu beantworten. Die schleswig-holsteinische Datenschutzbeauftragte Marit Hansen erklärt, dass der Fragebogen die wesentlichen Datenschutzfragen umfasst. Dabei geht es um Grundsätze der Datenverarbeitung, Rechtmäßigkeit, die Rechte der betroffenen Personen sowie die Gestaltung im Bereich Datenschutz und Sicherheit.
Die Datenschützer möchten beispielsweise wissen, wie OpenAI die Richtigkeit der verwendeten Daten sicherstellen wird, insbesondere wenn Betroffene Berichtigungen oder Löschungen fordern. Auch interessiert sie, aus welchen Quellen die verarbeiteten Daten stammen, die zur Schulung der Sprachmodelle verwendet werden. OpenAI wird gebeten, die entsprechenden Rechtsgrundlagen zu erläutern. Es ist unklar, ob das Unternehmen erhobene personenbezogene Daten vor dem KI-Training pseudonymisiert, anonymisiert oder anderweitig aufbereitet.
Zusätzlich soll OpenAI klären, ob eine Profilbildung der Nutzerinnen und Nutzer durch Tracking erfolgt. Falls dies der Fall ist, wird das Unternehmen gebeten, den Zweck der Profilbildung zu erläutern: Dient sie Werbezwecken oder dem Training von Methoden des maschinellen Lernens? Kann man Nutzungsdaten auch wieder löschen? In der Datenschutzerklärung von OpenAI wird erwähnt, dass Nutzungsdaten erhoben werden und es ist die Rede von “verschiedenen Online-Analytics-Produkten”. Hier soll genauer erläutert werden, was damit gemeint ist.
Des Weiteren wird OpenAI aufgefordert, eine Datenschutzfolgenabschätzung vorzulegen. Falls eine solche Abschätzung nicht durchgeführt wurde, soll das Unternehmen dies begründen. Es bestehen auch offene Fragen zum besonderen Schutz von Kindern und Jugendlichen, zum Datentransfer und schließlich zur möglichen Nutzung durch andere Dienste oder Unternehmen.
OpenAI möchte längere Frist
OpenAI hat seine Kooperationsbereitschaft gezeigt und zugesagt, die Fragen des ULD zu beantworten. Die sechswöchige Frist zur Beantwortung endete am 7. Juni 2023. Allerdings hat OpenAI bereits erfolgreich eine Verlängerung der Frist beantragt. Das ULD gab bekannt, dass der aktuelle Stand des Verfahrens auf der Webseite zu ChatGPT dokumentiert werden soll. Die Veröffentlichung der Antworten von OpenAI L.L.C. erfolgt möglicherweise nicht unmittelbar, da sie sensible Informationen wie Betriebsgeheimnisse enthalten könnten, erklärt Hansen. Sie betont, dass es sich um ein laufendes, nicht öffentliches Verfahren handelt.
Da OpenAI keine Niederlassung in der Europäischen Union hat, sind die europäischen Datenschutzaufsichtsbehörden in ihren jeweiligen Mitgliedstaaten für das Unternehmen zuständig. Im Gegensatz dazu haben Google und Microsoft eine zentrale Niederlassung in Irland, weshalb die irische Datenschutzaufsicht für sie zuständig ist. In Bezug auf die Durchsetzung der DSGVO zeigte sich die irische Aufsichtsbehörde in den vergangenen Jahren mehrfach sehr zögerlich.
Zusammenarbeit im Bereich der KI-Regulierung nötig
Die Datenschutzbehörde in Italien hob Ende April ein zuvor verhängtes Verbot gegen ChatGPT auf, das seit Ende März in Kraft war. OpenAI hatte der Behörde Maßnahmen vorgelegt, mit denen eine verbesserte Datenschutzpraxis gewährleistet werden sollte. Dennoch plant der italienische Datenschutzbeauftragte, seine Ermittlungen fortzusetzen.
“Angesichts der großen Bedeutung führen nun mehrere Landesdatenschutzbehörden Prüfungen des ChatGPT-Dienstes durch”, erklärt Hansen. Das ULD folgt dabei dem Landesverwaltungsgesetz Schleswig-Holstein, während in den anderen Bundesländern ähnliche Regelungen gelten. Die Datenschutzexpertin weist den Vorwurf zurück, dass keine einheitliche Stimme vorhanden sei. Im Gegenteil, über die Datenschutzkonferenz von Bund und Ländern und ihre Taskforce KI wurden die Fragen abgestimmt. “Wir handeln zwar getrennt und basierend auf unserem eigenen Verwaltungsrecht, sind uns jedoch in der Sache einig”, betont sie. Dies verringere auch den Aufwand für OpenAI.
Dennoch beschränkt sich die Anhörung nicht nur auf diese Maßnahme. “Im Bereich KI benötigen wir nicht nur den Schulterschluss mit den europäischen Datenschutzaufsichtsbehörden, sondern es wird auch notwendig sein, uns mit Aufsichtsbehörden und Experten in anderen Rechtsbereichen wie Jugendschutz, Antidiskriminierung, Informationssicherheit, Medienaufsicht, Urheberrecht oder Kartellrecht auszutauschen”, betont Marit Hansen.
14. Juni 2023
Die EU strebt mit ihrer KI-Verordnung erstmals an, einen rechtlichen Rahmen für die Entwicklung und Nutzung von Künstlicher Intelligenz zu etablieren. Heute steht die lang erkämpfte Vorlage zur Abstimmung im Parlament.
Die europäische KI-Verordnung stellt den weltweit ersten Versuch dar, ein umfassendes Gesetz zur Regulierung von Künstlicher Intelligenz zu schaffen. Damit geht die EU als Vorreiter voran. Die EU-Kommission hofft, dass dieses Gesetz ähnlich wie die Datenschutzverordnung international Nachahmer finden wird. Jedoch war es für die Gesetzgeber in Brüssel eine Herausforderung, die Verordnung in ausgewogener Form zu verfassen. Die relevanten Ausschüsse im EU-Parlament haben 18 Monate lang um eine Position zu dem Vorschlag der EU-Kommission gerungen.
Klassifizierung der KI
Die Verordnung sieht vor, dass Künstliche Intelligenz je nach den damit verbundenen Risiken in verschiedene Kategorien eingestuft wird, darunter risikoarm, begrenzt riskant, riskant und verboten. Jegliche Form von Künstlicher Intelligenz, die Menschen unterdrücken kann, soll vollständig verboten werden. Hierzu gehören beispielsweise “Social Scoring”-Systeme, die das Verhalten von Menschen bewerten, die automatisierte Erkennung von Emotionen bei Verhören von Verdächtigen sowie eine umfassende Überwachung der Öffentlichkeit mittels biometrischer Echtzeitdaten.
Gemäß dem derzeitigen Entwurf darf jedoch auf Anordnung eines Richters im Nachhinein auf die Daten zugegriffen werden, sofern es sich um schwere Straftaten handelt.
Risikobasierter Ansatz maßgebend
Die Bestimmungen basieren auf einem risikobasierten Ansatz und legen Verpflichtungen für Anbieter und Nutzer fest, die sich nach dem potenziellen Risiko richten, das von KI-Systemen ausgeht. KI-Systeme, die ein unakzeptables Sicherheitsrisiko für Menschen darstellen, wären strikt untersagt. Dazu zählen Systeme, die unterschwellige oder absichtlich manipulative Techniken einsetzen, die die Schwächen von Menschen ausnutzen oder für Social Scoring verwendet werden, bei dem Menschen aufgrund ihres sozialen Verhaltens, ihres sozioökonomischen Status oder persönlicher Merkmale klassifiziert werden.
Die Abgeordneten haben die Liste der Verbote für aufdringliche und diskriminierende Anwendungen von KI-Systemen erheblich überarbeitet. Dazu gehören:
- Biometrische Erkennungssysteme in Echtzeit in öffentlich zugänglichen Räumen.
- Biometrische Erkennungssysteme im Nachhinein, mit Ausnahme von Strafverfolgungsbehörden zur Verfolgung schwerer Straftaten und nur mit richterlicher Genehmigung.
- Biometrische Kategorisierungssysteme, die sensible Merkmale wie Geschlecht, Rasse, ethnische Zugehörigkeit, Staatsangehörigkeit, Religion und politische Orientierung verwenden.
- Prädiktive Polizeisysteme, die auf Profilerstellung, Standort oder früherem kriminellen Verhalten basieren.
- Systeme zur Erkennung von Emotionen bei der Strafverfolgung, beim Grenzschutz, am Arbeitsplatz und in Bildungseinrichtungen.
- Unbefugtes Auslesen biometrischer Daten aus sozialen Medien oder Videoüberwachungsaufnahmen zur Erstellung von Gesichtserkennungsdatenbanken, was Menschenrechte und das Recht auf Privatsphäre verletzt.
Transparenzmaßnahmen
Die Abgeordneten haben Anforderungen für Anbieter von Foundation-Modellen, einem aufstrebenden Bereich der KI, eingeführt. Diese Anforderungen zielen darauf ab, einen soliden Schutz der Grundrechte, Gesundheit, Sicherheit, Umwelt, Demokratie und Rechtsstaatlichkeit sicherzustellen. Die Anbieter sind verpflichtet, Risiken zu bewerten und zu mindern, Vorschriften zur Auslegung, Information und Umwelt einzuhalten sowie sich in der EU-Datenbank zu registrieren.
Generative Foundation-Modelle wie GPT müssen zusätzliche Transparenzanforderungen erfüllen. Es ist beispielsweise erforderlich, offen zu legen, dass die Inhalte von KI generiert wurden. Diese Modelle müssen auch so entwickelt sein, dass sie keine illegalen Inhalte generieren und keine Zusammenfassungen urheberrechtlich geschützter Daten veröffentlichen.
ChatGPT bliebe erlaubt
Neben der verbotenen KI wird es weitere Kategorien von Künstlicher Intelligenz geben. Hochrisikobehaftete, mäßig riskante und niedrig riskante Anwendungen wie beispielsweise KI-betriebene Spielzeuge sollen grundsätzlich erlaubt sein. Dies gilt auch für generative KI wie den Chatbot ChatGPT, der eigenständig Artikel verfassen kann, basierend auf im Internet gesammelten Informationen. Jedoch gelten für diese Anwendungen bestimmte Prinzipien: Je riskanter die KI ist, desto strenger sind die Anforderungen. Hersteller müssen die Risiken ihrer Produkte bewerten und bestimmte Standards für Trainingsdaten erfüllen. Die Überwachung dieser Vorgaben obliegt den Prüfbehörden.
Die Verordnung zielt auch darauf ab sicherzustellen, dass Künstliche Intelligenz nicht auf verzerrte Datensätze zurückgreift und somit keine Diskriminierung von Personen erfolgt. Zum Beispiel darf KI bei der Kreditwürdigkeitsprüfung oder bei der Personalakquise nicht diskriminierend wirken.
Spannungsfeld zwischen Innovationsförderung und Rechtschutz der Bürger
Um die Förderung von KI-Innovation zu unterstützen, haben die Abgeordneten Ausnahmen für Forschungstätigkeiten und KI-Komponenten unter Open-Source-Lizenzen in die Vorschriften integriert. Das neue Gesetz legt Wert auf die Schaffung von Reallaboren (regulatory sandboxes) oder kontrollierten Umgebungen, die von öffentlichen Behörden etabliert werden, um KI vor ihrer Implementierung zu testen.
Die Abgeordneten beabsichtigen, das Recht der Bürgerinnen und Bürger zu stärken, Beschwerden über KI-Systeme einzureichen und Erklärungen zu erhalten, die auf risikoreichen KI-Systemen basieren und ihre Rechte erheblich beeinträchtigen. Zudem haben sie die Rolle des EU-Amtes für künstliche Intelligenz neu definiert, das für die Überwachung der Umsetzung des KI-Regelwerks zuständig sein soll.
Bedenken und Erwartungen an das KI-Gesetz
Die Erwartungen an das europäische KI-Gesetz sind hoch, genauso wie die Bedenken. Sam Altman, CEO des Unternehmens OpenAI, das ChatGPT entwickelt hat, hat vor existenziellen Gefahren bei unregulierter KI gewarnt. Kleine Entwickler haben hingegen Bedenken, dass sie die umfangreichen Dokumentationsanforderungen nicht erfüllen können. Bürgerrechtler hoffen, dass das KI-Gesetz keine Diskriminierung und Benachteiligung weiter vorantreibt.
Nach der Abstimmung im Parlament können anschließend Verhandlungen mit den EU-Mitgliedsstaaten beginnen. Besonders die Regeln für den Einsatz von Künstlicher Intelligenz in der Strafverfolgung dürften für Kontroversen sorgen.
Wenn eine Einigung vor den Europawahlen im kommenden Jahr erzielt wird, könnte die KI-Verordnung voraussichtlich im Jahr 2026 in Kraft treten. Bis dahin wird sich die Künstliche Intelligenz weiterentwickeln. Es ist absehbar, dass in der Europäischen Union weitere KI-Regulierungen folgen werden.
10. Mai 2023
Welche Änderungen wurden vorgenommen und was müssen die Benutzer wissen?
OpenAI, das Unternehmen hinter dem erfolgreichen ChatGPT, stand in letzter Zeit aufgrund von Datenschutzbedenken im Rampenlicht, insbesondere in der Europäischen Union. Die italienische Datenschutzbehörde Garante verhängte am 3A1. März ein vorübergehendes Verbot für die Plattform, nachdem Berichte über eine Datenpanne bekannt geworden waren, die die Gespräche und Zahlungsinformationen der ChatGPT-Nutzer betraf. Infolge des Verbots nahm OpenAI Gespräche mit der Behörde auf, um Bedenken hinsichtlich der Einhaltung der Vorschriften auszuräumen, und machte Fortschritte bei der Verbesserung seiner Dienste.
Am 28. April gab die Garante bekannt, dass sie ChatGPT in Italien wieder zugelassen hat, weil OpenAI bei der Ausräumung ihrer Bedenken kooperiert hat. Aber was genau hat das Unternehmen getan, um die Aufhebung des Verbots zu rechtfertigen?
Bis vor kurzem wurden alle Unterhaltungen zwischen privaten Nutzern und dem Bot für das Training des Algorithmus verwendet, was die Möglichkeit eröffnete, dass die Eingaben der Nutzer von der Maschine für künftige öffentliche Antworten verwendet wurden. Dies stellte eines der größten Datenschutzrisiken der Software dar, da persönliche Daten, die in das System eingegeben wurden, potenziell an andere Nutzer weitergegeben werden konnten. Es war auch ein rotes Tuch für geschützte Informationen, insbesondere Firmengeheimnisse und Code, die versehentlich öffentlich gemacht werden könnten. OpenAI war sich dieses Problems bewusst und verlangte von den Nutzern, in Gesprächen keine “sensiblen Informationen” preiszugeben, aber viele taten es trotzdem, was zu Kontroversen in Unternehmen wie Amazon und Samsung führte.
Neue Datenschutzeinstellungen für ChatGPT
Am 25. April kündigte OpenAI diesbezügliche Änderungen an. Die Nutzer können nun ihre Datenschutzeinstellungen ändern und die Option “Chatverlauf und Training” deaktivieren. Wenn diese Einstellung deaktiviert ist, werden die Unterhaltungen zwischen dem Benutzer und dem Bot nicht für das Training des Algorithmus verwendet und erscheinen nicht im Chatverlauf. Dadurch wird das Risiko verringert, dass Chat-Informationen versehentlich an Dritte weitergegeben werden.
OpenAI hat außerdem eine neue Datenschutzrichtlinie veröffentlicht, die von der Registrierungsseite für neue Nutzer aus zugänglich ist, und in Italien eine “Willkommen zurück”-Seite eingerichtet, die Links zu der neuen Datenschutzrichtlinie und zu Informationshinweisen über die Verarbeitung personenbezogener Daten zum Zwecke des Algorithmentrainings enthält.
Als Reaktion auf Bedenken hinsichtlich der Richtigkeit der vom Bot über natürliche Personen gelieferten Daten hat das Unternehmen einen Mechanismus geschaffen, der es den betroffenen Personen ermöglicht, die Korrektur falscher oder irreführender Informationen, die der Bot über sie verbreitet, zu verlangen. Wenn es technisch unmöglich ist, das Problem zu korrigieren, können die betroffenen Personen auch verlangen, dass ihre Daten aus der Ausgabe von ChatGPT entfernt werden.
Schließlich hat OpenAI eine Altersfreigabe eingeführt, bei der die Nutzer selbst bestätigen müssen, dass sie mindestens 18 Jahre alt sind oder zwischen 13 und 17 Jahren alt sind und die Zustimmung ihrer Eltern zur Nutzung des Dienstes eingeholt haben. Diese Maßnahme soll Minderjährige davor schützen, über den Bot auf unangemessene Informationen zuzugreifen.
Weiterhin Bedenken
Obwohl die Änderungen ein willkommener Schritt in Richtung Datenschutzkonformität sind, ist die Situation noch lange nicht perfekt. Selbst wenn ein Nutzer die Option “Chatverlauf und Training” deaktiviert hat, um zu vermeiden, dass seine Unterhaltungen zum Trainieren des Algorithmus verwendet werden, können die Mitarbeiter von OpenAI zu Moderationszwecken darauf zugreifen. Das bedeutet, dass es immer noch wichtig ist, auf die Eingaben zu achten, die man der Maschine zur Verfügung stellt, und nichts zu schreiben, was nicht von Dritten gelesen werden sollte, einschließlich persönlicher Daten, sensibler Informationen und Geschäftsgeheimnisse.
Darüber hinaus befinden sich alle Server von OpenAI in den Vereinigten Staaten, einem Land, in dem die Datenschutzrechte nicht in gleichem Maße geschützt sind wie in der DSGVO. Jedes Mal, wenn personenbezogene Daten in das ChatGPT-System eingespeist werden, findet eine internationale Übertragung in ein unsicheres Land statt, wodurch die Daten potenziell gefährdet sind.
Schließlich hat die Garante OpenAI aufgefordert, ein Altersverifikationssystem zu implementieren und eine Informationskampagne durchzuführen, um die Italiener über die Geschehnisse und ihr Recht zu informieren, der Verarbeitung ihrer personenbezogenen Daten für das Algorithmustraining zu widersprechen.
Datenschutzbedenken beeinflussen das Verhalten der Unternehmen
Dieser Fall ist ein praktisches Beispiel dafür, wie Datenschutzvorschriften und rechtzeitige Kontrollen durch Behörden das Verhalten von Unternehmen beeinflussen und den Schutz der Grundrechte und -freiheiten der Nutzer in Echtzeit verbessern können. OpenAI scheint sich mit seinen Produkten um einen konformeren Ansatz zu bemühen, aber es bleibt noch viel zu tun, um sicherzustellen, dass KI-Technologien auf verantwortungsvolle und ethische Weise eingesetzt werden. Wir sind gespannt, welche neuen Änderungen in den kommenden Wochen umgesetzt werden.
Während wir uns weiterhin mit den Herausforderungen neuer Technologien auseinandersetzen, ist es wichtig, dass die Nutzer wachsam bleiben und Maßnahmen ergreifen, um ihre persönlichen Daten bei der Interaktion mit KI-Systemen zu schützen. Eine Möglichkeit, dies zu tun, ist die Ablehnung von Gesprächen, die zum Trainieren von Chatbots verwendet werden, wie es OpenAI jetzt erlaubt, sowie die Vermeidung der Weitergabe sensibler Informationen und die Verwendung von Pseudonymen. Durch die Zusammenarbeit von Regulierungsbehörden, Unternehmen und Nutzern kann sichergestellt werden, dass die Vorteile von KI-Technologien genutzt werden und gleichzeitig die Risiken für die Privatsphäre und die Sicherheit des Einzelnen minimiert werden.
26. April 2023
Dr. Jan Wacke, der leitende Beamte beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, betont, dass Anwendungen im Einklang mit dem europäischen Rechtsrahmen und unseren europäischen Werten stehen sollten. Derzeit führt er Gespräche mit dem Betreiber von ChatGPT, bevor er eine Bewertung des Dienstes vornimmt. Für das Vertrauen der Bürger in den technologischen Fortschritt ist es unerlässlich, dass die eingesetzten Technologien die Bürgerrechte auch im digitalen Raum respektieren.
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit ist auf das in San Francisco ansässige Unternehmen OpenAI zugegangenen und hat es zur Stellungnahme zu dem von ihm betriebenen Dienst ChatGPT aufgefordert.
Verpflichtungen für OpenAI aus der DSGVO
Im Rahmen der Datenschutz-Grundverordnung ist es erforderlich, dass Anbieter von Dienstleistungen, bei denen personenbezogene Daten verarbeitet werden, in der Lage sind, zu erklären, welche Daten zu welchem Zweck und auf welche Weise verarbeitet werden. Zusätzlich müssen angemessene technische und organisatorische Maßnahmen ergriffen werden, um die Sicherheit dieser Daten zu gewährleisten. Wenn jedoch sensible Daten wie Informationen zum Gesundheitszustand, zur sexuellen Identität, zur Weltanschauung oder zur familiären und finanziellen Situation verarbeitet werden, müssen spezielle Regelungen eingehalten werden. Außerdem müssen die Rechte der Betroffenen, wie beispielsweise das Recht auf Berichtigung oder Auskunft, respektiert werden.
Zusammenarbeit des LfDI mit dem EDSA
Im Rahmen eines datenschutzrechtlichen Aufsichtsverfahrens lässt sich der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg die Verarbeitung von personenbezogenen Daten im Zusammenhang mit ChatGPT erläutern. Die Aufsichtsbehörden der Länder haben die Fragen, die an OpenAI gerichtet sind, gemeinsam abgestimmt. Der Landesbeauftragte arbeitet auch auf europäischer Ebene intensiv in einer entsprechenden Arbeitsgruppe des Europäischen Datenschutz-Ausschusses (EDSA) mit, um ein einheitliches Vorgehen bei der Untersuchung von ChatGPT zu fördern. Diese Zuständigkeit ergibt sich aus Artikel 55 Absatz 1 DS-GVO in Verbindung mit § 40 BDSG, wenn keine Niederlassung von OpenAI in Europa genannt wird.
Aufklärung über künstliche Intelligenz durch LfDI
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg beschäftigt sich seit einiger Zeit mit KI-Anwendungen. Er berät verantwortliche Stellen in Baden-Württemberg, wo immer möglich, um Datenschutz und Digitalisierung zusammenzubringen und so eine nachhaltige technologische Entwicklung zu fördern. Im vergangenen Jahr hat der Landesbeauftragte eine Veranstaltungsreihe zum Thema Künstliche Intelligenz organisiert und zahlreiche Vorträge auf seinem PeerTube-Server zur Verfügung gestellt. Auch in diesem Jahr wird er im Oktober wieder Behörden, Unternehmen und BürgerInnen zu einer KI-Veranstaltungsreihe einladen, um über Anforderungen an eine bürgerfreundliche digitale Entwicklung und ihre gesellschaftlichen Auswirkungen zu sprechen und aufzuklären sowie zu diskutieren.
Der Landesbeauftragte berichtet in seinem Tätigkeitsbericht in Kapitel 1.5, ab Seite 23 ausführlich über Künstliche Intelligenz.
9. Februar 2023
Anlässlich des Safer Internet Day 2023 veröffentlichte der Landesbeauftragte für Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) eine Mitteilung, der zufolge das Thema künstliche Intelligenz in den Mittelpunkt der Diskussion gerückt werden solle. Dabei beleuchtete er wichtige Fragen, die den Umgang mit künstlicher Intelligenz betreffen.
ChatGPT an Schulen
Laut dem LfDI RLP, Prof. Dr. Dieter Kugelmann biete vor allem der Sprach-Roboter ChatGPT einen Anlass zur Diskussion. Insbesondere Schüler nutzten das Online-Programm. Mit Hilfe von ChatGPT können die Schüler ihre Hausaufgaben schnell und einfach von der künstlichen Intelligenz schreiben lassen. Für sie sei es nicht mehr notwendig, selbst Quellen herauszusuchen und diese in einem eigenhändig geschriebenen Text zusammenzufassen. Alle diese Aufgaben übernehme ChatGPT innerhalb weniger Minuten. (Über weitere Funktionen von ChatGPT berichteten wir hier.)
Der LfDI RLP betonte, dass eine Sensibilisierung von Schülern hinsichtlich eines sorgfältigen Umgangs mit künstlicher Intelligenz erforderlich sei. Hierfür bedürfe es einer konstruktiven und kritischen Auseinandersetzung mit den Schülern. Zur Förderung dieser Auseinandersetzung erklärte der LfDI RLP, dass er künftig weiter Informationen zur Nutzung in Schulen bereitstellen werde.
Datenschutz und Algorithmen
Im Hinblick auf den Datenschutz begegneten der Anwendung allerdings einige Bedenken. Diese habe die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) zum Teil bereits 2019 in der Hambacher Erklärung zur Künstlichen Intelligenz behandelt. Die DSK habe in der Erklärung sieben datenschutzrechtliche Anforderungen an künstliche Intelligenz formuliert.
Außerdem solle man laut dem LfDI RLP bei künstlicher Intelligenz ein besonderes Augenmerk auf ihren Algorithmus legen. Dieser sei für die Ergebnisse, die die künstliche Intelligenz generiere, verantwortlich. Der Algorithmus richte sich dabei maßgeblich nach seinen Entwicklern. Wenn bereits im Rahmen der Entwicklung eines Algorithmus falsche oder gar rassistische Tendenzen erkennbar seien, können dies später ein Problem darstellen. Auch das Ergebnis, dass die künstliche Intelligenz präsentiere, sei möglicherweise falsch oder diskriminierend.
Darüber hinaus sei zu bedenken, wie die künstliche Intelligenz, bzw. ihr Algorithmus lerne. Die bereits frei verfügbare Anwendung ChatGPT benötige eine große Anzahl menschlicher Daten, um ihre Ergebnisse verbessern zu können. Diese Daten von menschlichen Nutzern müsse die Betreiberfirma OpenAI allerdings nicht für eine große Summe Geld einkaufen. Indem das Unternehmen die Anwendung kostenlos zur Verfügung stelle, würden ihre Nutzer die erforderliche Datenmenge bereitstellen. Somit seien die Nutzer einerseits Testgruppe und trügen andrerseits zum Erfolg der Anwendung durch die einhergehenden Verbesserungen bei.
31. Januar 2023
Kaum jemand bleibt derzeit vom Hype um ChatGPT verschont. Das Textverarbeitungstool ist ein auf künstliche Intelligenz (KI) gestütztes System, das nicht nur Texte zusammenfassen oder übersetzen, sondern auch Fragen beantworten und sogar eigene Artikel schreiben kann. Allerdings wird ChatGPT auch kritisch gesehen. KI-Experten und Wissenschaftler warnen vor den Gefahren eines sorglosen Umgangs.
Was ist ChatGPT?
ChatGPT wurde von OpenAI entwickelt, einer KI-Firma, die maßgeblich von Microsoft finanziert wird. Das Programm sieht zunächst aus wie ein Chatfeld. In dieses können Nutzer ihre Fragen oder auch Arbeitsanweisungen stellen. ChatGPT antwortet dann auf Basis seines Trainings in einem Dialogformat. So stellt das Programm auch Rückfragen, wenn man noch etwas klarstellen oder konkretisieren soll. Die Antworten klingen zumeist auf den ersten Blick plausibel. In den USA konnte die KI sogar eine Jura-Prüfung der Universität von Minnesota bestehen.
Veraltete Daten, manipulationsanfälliges System
Die Problematik erschließt sich nicht auf den ersten Blick. Für Nutzer ist ChatGPT ein harmloses Tool, für die meisten eine Spielerei. Allerdings stammen die Trainingsdaten aus dem Jahr 2021. Sie sind damit keineswegs aktuell. Zudem hat die TU Darmstadt zusammen mit dem Forschungslabor „Leap in Time“ herausgefunden, dass man dieses System manipulieren kann. Schwachstellen zeigten sich demnach insbesondere in antisemitischen und rassistischen Äußerungen sowie falschen und ins Leere laufenden Quellenangaben. So habe eine Frage nach dem Klimawandel zu einem Link auf eine Internetseite zu Diabeteserkrankungen geführt. Es kann zudem nicht nachvollzogen werden, welche Quellen ChatGPT wie in seine Aussagen einbezogen hat.
Zwar gebe es Sicherheitsmechanismen, die beispielsweise kriminelle Inhalte verhindern sollen. Diese ließen sich allerdings leicht umgehen. Ändere man das Vorgehen, zeige „die Software einem, wie man eine betrügerische Mail generiert oder wirft auch gleich drei Varianten aus, wie Trickbetrüger beim Enkeltrick vorgehen können. Auch eine Anleitung für einen Wohnungseinbruch liefert GPT. Falls man auf Bewohner treffe, könne man auch Waffen oder physische Gewalt einsetzen.“
Datenschutzbedenken
Auch Datenschutzbedenken mehren sich im Zusammenhang mit ChatGPT. Ein Problem ergibt sich bereits daraus, dass sich alle Server in den USA befinden. Angesichts der allgemeinen rechtlichen Problematik bei Datentransfers in die USA ist daher auch die Nutzung von ChatGPT datenschutzrechtlich bedenklich. Die KI verarbeitet zahlreiche Daten der Nutzer in einer Art und Weise, die für diese nicht nachvollziehbar ist.
Während die Nutzung im privaten Rahmen wohl tatsächlich eine eher unbedenkliche Spielerei ist, müssen sich Unternehmen gut überlegen, ob und wie sie ChatGPT einsetzen wollen. Insbesondere, da Microsoft angekündigt hat, das Tool im Rahmen seines Cloud-Services Azure und in den Office-Paketen verfügbar zu machen, ist die Versuchung groß, es auch im Unternehmen zu verwenden. Hier sollte darauf geachtet werden, möglichst keine personenbezogenen Daten mit ChatGPT zu verarbeiten.
10. Januar 2023
Am 10. Januar 2023 ist Chinas Richtlinie zur Regulierung von Deepfakes in Kraft getreten. Damit will die chinesische Regierung unter anderem Deepfakes ohne Einwilligung der betroffenen Person sowie Verleumdungen und Betrug verhindern.
Was sind Deepfakes?
Deepfakes (oder auch „deep systhesis“ Technologien) sind „realistisch wirkende Medieninhalte (Foto, Audio und Video), die durch Techniken der künstlichen Intelligenz abgeändert und verfälscht worden sind.“ Damit kann beispielsweise in einem Video ein Gesicht mit dem einer anderen Person ersetzt oder in einer Aufnahme eine Stimme ausgetauscht werden. Während die Technologie unzählige Möglichkeiten in der Kunst eröffnet, wird sie in vielen Fällen zu Betrugszwecken eingesetzt. Besonders problematisch sind Deepfakes, bei denen in pornografischen Inhalten das Gesicht der Darsteller ausgetauscht wird. Auch Politiker werden oft Opfer von Deepfakes, die beispielsweise ihre Reden abändern. Für die meisten Menschen ist es nicht erkennbar, wenn sie einen Deepfake-Inhalt vor sich haben.
China als Vorreiter im Kampf gegen den Missbrauch von Deepfake-Technologien?
Ziel der Richtlinie ist laut der Cyberspace Administration of China (CAC), „die Verwaltung von Internet-Informationsdiensten in einer tiefgreifenden Synthese zu stärken, die sozialistischen Grundwerte zu fördern, die nationale Sicherheit und die sozialen öffentlichen Interessen zu schützen und die legitimen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen zu wahren“. Dabei ist anzunehmen, dass sich China als Vorreiter in der Regulierung von Deepfake-Technologien positionieren möchte.
Kern der Regeln ist zunächst Transparenz. So muss die Einwilligung der Person eingeholt werden, die vom Deepfake betroffen ist, und es muss angegeben werden, dass der Inhalt durch Technologie geändert wurde. Zudem muss die Identität des Erstellers erkennbar sein. Dieser muss sich unter seinem echten Namen registrieren.
Allerdings stellt die neue Richtlinie auch Anforderungen an die erlaubten Inhalte. So sind Inhalte, die gegen bestehende Gesetze verstoßen, ebenso verboten wie solche, die nationale Sicherheit und Interessen gefährden, das nationale Image schädigen oder die Wirtschaft stören. Damit reiht sie sich in Chinas von Zensur geprägtes System ein.
Regulierung von Deepfakes in der EU
Die Vorreiterrolle hat China mit der Richtlinie insoweit angenommen, als es die Entwicklung der Technologie antizipiert und im Vergleich zum Rest der Welt frühzeitig reguliert hat. Die Europäische Union (EU) arbeitet derzeit an der KI-Verordnung, welche auch Deepfake-Technologien erfassen wird.
10. November 2022
Unter Federführung von „Algorithm Watch“ haben insgesamt 24 zivilrechtliche Organisationen, darunter „Amnesty International“ und „Reporter ohne Grenzen“ einen Brief an die Bundesregierung veröffentlich. Inhalt des offenen Briefes ist die Forderung, dass sich die Regierung bei den Verhandlungen im europäischen Rat zur „Artificial Intelligence“-Verordnung für ein striktes Verbot der biometrischen Überwachung einsetzen solle.
Der Verordnungsentwurf zu künstlicher Intelligenz
Hintergrund der Artificial Intelligence Verordnung ist die Frage, wie die Europäische Union (EU) einen sicheren Rechtsrahmen für den Umgang mit künstlicher Intelligenz schaffen kann. Hiermit befasst sich die europäische Kommission bereits seit 2018. Im April 2021 hatte diese einen Verordnungsentwurf vorgelegt.
In ihrem offenen Brief stellten die unterzeichnenden Organisationen fest, dass nach Art. 5 Abs. 1 lit. d des Verordnungsentwurfes der Einsatz von biometrischer Überwachung grundsätzlich verboten sei. Allerdings sehe der Artikel eine Vielzahl an Ausnahmen vor, nach denen die Mitgliedstaaten Technologien zur Identifikation von Personen anhand ihrer biometrischer Daten in öffentlichen Räumen einsetzten können.
Kritik an der Verordnung
Die Möglichkeit sog. „biometrischer Echtzeit-Fernidentifizierungssysteme“ einsetzen zu können, kritisierten nun Algorithm Watch und die weiteren unterzeichnenden Organisationen in ihrem offenen Brief.
Dabei erinnerten die unterzeichnenden Organisationen an den Koalitionsvertrag der Bundesregierung. Laut Algorithm Watch und den weiteren Organisationen habe die Bundesregierung im Koalitionsvertrag beabsichtigt, dass „(…) biometrische Identifikation im öffentlichen Raum durch eine EU-weite Gesetzgebung ausgeschlossen werden muss.“
Diesbezüglich stellten die Organisationen fest, dass die Verordnung in ihrer derzeitigen Fassung zu einem möglichen Verbot der biometrischen Identifikation beitragen könne. Vor allem Art. 5 Abs. 1 lit. d des Verordnungsentwurfes interpretieren die Organisationen als ein sinnvolles Instrument für ein solches künftiges Verbot.
Jedoch weise der Verordnungsentwurf im Hinblick auf ein Verbot biometrischer Identifikation noch Lücken auf. Die Organisationen kritisierten, dass sich Art. 5 Abs. 1 lit. d des Verordnungsentwurfs nur auf „Echtzeit“ Systeme zur biometrischen Identifikation beziehe. Außerdem sei das Verbot zum Einsatz biometrischer Überwachung lediglich auf Strafverfolgungsbehörden beschränkt. Demnach sei es möglich, dass andere öffentliche oder private Stellen die Überwachungssysteme einsetzten. Überdies, so die Organisationen, weichen die Ausnahmen des Art. 5 des Verordnungsentwurfes das Verbot auf.
Zudem können Mitgliedstaaten sich auf die „nationale Sicherheit“ berufen, um den Einsatz künstlicher Intelligenz zu rechtfertigen. Folglich sei es möglich, dass aufgrund dieser Rechtfertigung Überwachungssysteme eingesetzt werden.
Fazit
Die Organisationen forderten in ihrem Brief, dass sich die Bundesregierung für ein Verbot biometrischer Überwachung in weiteren Verhandlungen auf europäischer Ebene einsetze. Es gehe darum, Grundrechtsverletzungen die biometrische Überwachung erzeugen könnten zu verhindern.
30. Juni 2022
Was ist KI im rechtlichen Sinne ?
Bisher gibt es keine allgemeine anerkannte Definition für KI. Die Bundesregierung versteht unter KI „ein Teilgebiet der Informatik, welches sich mit der Erforschung von Mechanismen des intelligenten menschlichen Verhaltens befasst. Dabei geht es darum, technische Systeme so zu konzipieren, dass sie Probleme eigenständig bearbeiten und sich dabei selbst auf veränderte Bedingungen einstellen können“ (BT-Drs. 19/1982, S. 2). Ähnlich wird dies von der EU-Kommission gesehen. Danach bezeichnet KI „Systeme mit einem ,intelligenten‘ Verhalten, die ihre Umgebung analysieren und mit einem gewissen Grad an Autonomie handeln, um bestimmte Ziele zu erreichen“ (COM(2018) 237, S. 1).
Die DSGVO spricht an keiner Stelle ausdrücklich von KI, jedoch ist Erwägungsgrund 15 DSGVO zu entnehmen, dass der Schutz natürlicher Personen technologieneutral und unabhängig von einer verwendeten Technologie sein soll. KI-Systeme als Technologie sind für deren Funktionieren auf die zugeführten Daten angewiesen. Die DSGVO ist einschlägig, sobald diese Daten personenbezogen sind. Von datenschutzrechtlicher Bedeutung ist demnach die Verarbeitung personenbezogener Daten zum Zweck des Trainings und der Erzeugung einer KI-Anwendung. Daneben ist die Anwendung einer bereits trainierten KI auf einen gewissen Sachverhalt relevant. Die KI könne dabei helfen, einige der größten Herausforderungen besser zu bewältigen, dabei müsse aber immer sichergestellt sein, dass Persönlichkeitsrechte, das Recht auf informationelle Selbstbestimmung und andere Grundrechte nicht verletzt würden.
Verarbeitungen personenbezogener Daten durch die KI müssen auf jeden Fall den in Art. 5 Abs. 1 DSGVO entsprechenden Datenschutzgrundprinzipien entsprechen, und somit insbesondere einen legitimen Zweck verfolgen, außerdem auf einer Rechtsgrundlage beruhen und zudem transparent ausgestaltet sein.
Ist bei der Anwendung von künstlicher Intelligenz eine Datenschutz-Folgenabschätzung notwendig?
Die Datenschutz-Folgenabschätzung (DSFA) gem. Art. 35 DSGVO ist die Prüfung einer oder mehrerer Verarbeitungstätigkeiten, die einer Risikoanalyse unterzogen werden. Die DSFA ist also ein zentrales Instrument, welches seinen Zweck darin hat, zu prüfen, ob der Einsatz von KI für eine Verarbeitungstätigkeit auch geeignet ist.
Vorab muss jedoch eine Erforderlichkeitsprüfung gem. Art. 35 Abs. 1 S. 1 DSGVO durchgeführt werden. Es geht darum, ob eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, auf Grund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Weitere Anhaltspunkte ergeben sich zudem aus Erwägungsgrund 91 S. 1 DSGVO, wonach bei Verarbeitungsvorgängen von großen Mengen personenbezogener Daten ein Bedürfnis nach einer DSFA besteht.
Wird KI auf Grundlage personenbezogener Daten angewendet, ist damit in der Regel eine DSFA durchzuführen. Dafür spricht auch das Regelbeispiel in Art. 35 Abs. 3 lit. a DSGVO, das u.a. Profiling, welches häufig mit KI-bedienten Tools ausgeführt wird, nennt. Ist kein Regelbeispiel einschlägig, ist die Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (vgl. Art. 35 Abs. 4 S. 1 DSGVO), der Aufsichtsbehörden vom 18.7.2018 zu berücksichtigen. In Nr. 11 und Nr. 13 der Liste wird der Einsatz von KI und Algorithmen genannt. Außerdem können die in den Leitlinien der Art. 29-Datenschutzgruppe aufgestellten Kriterien zur Erforderlichkeit der DSFA führen. Im Falle einer KI-Anwendung werden wohl nicht selten alle Kriterien erfüllt sein. Bleibt die Frage nach einer verpflichtenden DSFA offen, sollte eine Durchführung dennoch in Erwägung gezogen werden, da Verantwortliche von einer begleitenden DSFA immer profitieren.
Mit einer sorgfältig durchgeführten DSFA können KI-Anwendungen aus ganz unterschiedlichen Einsatzfeldern über den gesamten Entwicklungsprozess datenschutzrechtlich sicher ausgestaltet werden.
3. November 2021
Der kürzlich in Meta umbenannte Internetkonzern Facebook stellt nach über zehn Jahren die Automatische Gesichtserkennung auf dem sozialen Medium ein.
In einem Blogeintrag auf der Website von Meta verkündete Jerome Pesenti, Vize-Chef der Abteilung für Künstliche Intelligenz, die Beendigung des Projekts der automatischen Gesichtserkennung. Seit 2010 identifiziert diese automatisch die auf den Fotos der Usern abgebildeten Personen. Dadurch wird eine Verknüpfung von Gesicht und Konto möglich gemacht. Laut Pesenti ergebe die Einstellung des Tools Nachteile, wie zum Beispiel Einschränkungen der Nutzbarkeit durch blinde User. Starke gesellschaftliche Kritik sowie eine unklare Gesetzeslage über den Einsatz der Technologie hätten jedoch zu der Abschaffung der automatischen Gesichtserkennung geführt.
Zudem kündigte Pesenti an, die zur automatischen Gesichtserkennung erhobenen Daten der User zu löschen. Dies betrifft rund eine Milliarde Nutzerdaten.
Bereits im Februar dieses Jahres unterlag Facebook einer Sammelklage, in welcher es um die Funktion der automatischen Gesichtserkennung ging, und wurde zu einer Zahlung von 650 Millionen US-Dollar verurteilt.
Wann die Software abgeschaltet wird und die erhobenen Daten gelöscht werden, ist jedoch noch unklar.
