CNIL Präzisiert die GDPR-Basis für KI-Training
Die französische CNIL hat kürzlich eine wichtige Klarstellung zur Anwendung des legitimen Interesses als Rechtsgrundlage im Kontext des KI-Trainings veröffentlicht. Diese Klarstellung ist von großer Bedeutung, da sie Licht auf einen umstrittenen Punkt wirft: die Nutzung personenbezogener Daten, die aus öffentlichen Quellen extrahiert wurden.
Obwohl diese Klarstellung erheblich ist, stellt sie nur eine Schicht in einem komplexen Geflecht von Regulierungsfragen dar, die das konforme Training von KI-Modellen umgeben. Wichtige rechtliche Fragen, wie Urheberrecht, Datenbankrechte und die rechtlichen Risiken nach dem Training, bleiben ungeklärt und hängen von anderen Rechtsrahmen ab, einschließlich der EU-Urheberrechtsrichtlinie und dem AI-Gesetz.
Was die CNIL-Klarstellung präzisiert
Die CNIL bestätigt, dass das Training von KI-Modellen mit personenbezogenen Daten, die aus öffentlichen Inhalten stammen, unter bestimmten Bedingungen rechtmäßig sein kann. Diese Bedingungen erfordern eine glaubwürdige Abwägung der Interessen, nachweisbare Schutzmaßnahmen und eine klare Dokumentation.
Einige zentrale Punkte der Klarstellung umfassen:
- Web-Scraping kann zulässig sein, sofern es die kontextuellen Datenschutz-Erwartungen respektiert. Scraping sollte nicht von Seiten erfolgen, die dies aktiv verbieten, oder von Plattformen, die sich an Minderjährige richten.
- Die Nutzung von Daten im Trainingsmaßstab ist nicht grundsätzlich rechtswidrig. Die CNIL erkennt an, dass große Datensätze für die effektive Entwicklung von KI notwendig sein können.
- Der Nutzer-Nutzen kann zugunsten des Verantwortlichen in der Interessenabwägung berücksichtigt werden.
- Die Risiken der Regurgitation müssen adressiert werden, nicht eliminiert. Die CNIL erwartet Nachweise für Minderung.
- Die Rechte der betroffenen Personen können indirekt respektiert werden, auch wenn dies die Implementierung von individuellem Löschen erschwert.
- DPIAs könnten weiterhin erforderlich sein, wenn das Training große Datenmengen oder besondere Kategorien von Daten umfasst.
Vergleich mit anderen Regulierungsbehörden
Obwohl die CNILs Klarstellung die strukturierteste bisher ist, agieren andere Datenschutzbehörden mit unterschiedlichen Klarheitsebenen:
- Die UK ICO hat anerkannt, dass die bestehenden GDPR-Regeln möglicherweise ausreichen, um das KI-Training in bestimmten Kontexten zu rechtfertigen.
- Die Irische Datenschutzkommission und der Italienische Garante konzentrieren sich hauptsächlich auf die Durchsetzung in der Einsatzphase.
- Ein einheitlicher, pan-europäischer Ansatz fehlt derzeit noch.
Die breitere Landschaft: Rechtliche Unsicherheiten jenseits der GDPR
Die Klarstellung der CNIL bietet eine verteidigbare GDPR-Position für das Modelltraining, löst jedoch nicht alle rechtlichen Einschränkungen, die die Lebensfähigkeit von KI-Systemen, insbesondere in kommerziellen Umgebungen, weiterhin einschränken.
- Urheberrecht und Datenbankrecht bleiben bindend.
- Vertragliche Bedingungen schränken den Zugriff und die Wiederverwendung ein.
- Die Bereitstellung bringt neue Schichten der Compliance mit sich.
Operative Prioritäten und rechtliche Positionierung
Für rechtliche, datenschutzrechtliche und Produktteams, die diese überlappenden Regime navigieren, besteht die Priorität nicht darin, die Governance neu zu erfinden. Vielmehr geht es darum, strukturiertes Urteilsvermögen zu Schlüsselmomenten anzuwenden:
- Verwenden Sie die Klarstellung der CNIL zur Stärkung der bestehenden Datenschutz-Governance.
- Die Compliance in der Trainingsphase ermöglicht nicht die kommerzielle Nutzung.
- Die Bereitstellung bleibt eine separate Compliance-Ebene.
- Effiziente, funktionsübergreifende Zusammenarbeit ist entscheidend.
- Interne Verantwortlichkeit zuweisen.
- Auf Inkonsistenzen planen – und alles dokumentieren.
Selbst mit dieser Klarheit sollten Organisationen vermeiden, die Compliance in der Trainingsphase der GDPR als gelöst zu betrachten. Die Interpretation kann von Mitgliedstaat zu Mitgliedstaat variieren, und die Durchsetzung wird sich wahrscheinlich auf die Gesamtergebnisse konzentrieren.
