Die Schnittstelle zwischen Datenschutz und KI-Regulierung navigieren
Die Regulierung von Künstlicher Intelligenz (KI) steht vor der Herausforderung, sich mit bestehenden Datenschutzgesetzen zu überschneiden. Der GDPR (Allgemeine Datenschutzverordnung) der EU und des Vereinigten Königreichs findet Anwendung in vielen Sektoren und hat potenzielle Auswirkungen, die über die Grenzen der EU hinausgehen. Organisationen, die KI-Systeme zur Verarbeitung personenbezogener Daten nutzen, müssen sich wahrscheinlich an die GDPR oder andere relevante Datenschutzgesetze halten. Verletzungen können zu hohen Geldstrafen führen.
Ein Beispiel hierfür ist die Untersuchung der italienischen Datenschutzbehörde gegen Open AI im Jahr 2023, die zu einer Geldstrafe von 15 Millionen Euro führte, weil gegen die GDPR-Bestimmungen zur Verwendung personenbezogener Daten zur Schulung ihres Modells verstoßen wurde.
Datenschutzregeln: Auf der regulatorischen Beobachtungsliste
Um Unternehmen bei der Einhaltung der Vorschriften zu unterstützen, hat das Information Commissioner’s Office (ICO) im Vereinigten Königreich sowie der Europäische Datenschutzausschuss eine Reihe von Leitfäden herausgegeben. Diese Materialien unterstützen Unternehmen bei der Interpretation des bestehenden Rechts und der Vorbereitung auf kommende Gesetzesänderungen.
Ein wichtiger Aspekt dieser Leitfäden sind die Datenschutz-Folgenabschätzungen (DPIAs), die es ermöglichen, Datenflüsse und Logiken zu analysieren, um „allokative“ und „repräsentative“ Schäden zu identifizieren. Dazu gehört beispielsweise der Einsatz eines KI-Tools im Recruiting, das geschlechtsspezifische Diskriminierung verursacht.
„Organisationen können sich nicht einfach aus der KI-Blackbox zurückziehen und sagen, sie hätten ‚keine Ahnung, was dort vor sich geht‘,“ sagt ein Partner einer renommierten Kanzlei. „Sie müssen in der Lage sein, auf transparente Weise zu erklären, wie KI-Entscheidungen und -Ergebnisse generiert werden.“
EU KI-Gesetz: Ein globaler Gamechanger
Die Regulierung von KI ist so umfassend, dass sie ihre eigenen technologie-spezifischen Gesetze benötigt. Das EU KI-Gesetz, das im August 2023 in Kraft trat, ist das erste umfassende Regelwerk für KI weltweit. Es hat grenzüberschreitende Anwendung, verfolgt einen klaren risikobasierten Ansatz und sieht hohe Geldstrafen von bis zu 35 Millionen Euro oder 7 Prozent des globalen Umsatzes bei Verstößen vor.
Das EU KI-Gesetz kategorisiert KI-Systeme nach Risiko und verbietet den Einsatz von KI für Praktiken wie soziale Bewertung oder subliminale Manipulation. Es hat strenge Verpflichtungen für hochriskante KI-Systeme, wie solche, die in der Biometrie oder Strafverfolgung eingesetzt werden.
Ein wichtiges Element der Gesetzgebung ist das Konzept des allgemeinen KI-Systems, das aufgrund des rasanten Anstiegs von Anwendungen wie ChatGPT eingeführt wurde.
Compliance-Prioritäten für KI-Nutzer
Unternehmen müssen sich nicht nur an die GDPR-Verpflichtungen halten, sondern auch die Anforderungen des EU KI-Gesetzes erfüllen. Um sich auf die Einhaltung vorzubereiten, sollten Unternehmen:
- Geeignete Due Diligence bei Anbietern durchführen, die KI zur Verarbeitung personenbezogener Daten nutzen.
- Vertragliche Schutzmaßnahmen von Anbietern aushandeln, die die Funktionsweise der KI und die Einhaltung gesetzlicher Verpflichtungen betreffen.
- Menschenliche Beteiligung und Aufsicht bei der Funktionsweise der KI fordern.
- Datenschutz durch Design praktizieren, indem Datenschutzüberlegungen bereits in der Entwicklungsphase der KI-Systeme integriert werden.
- Regelmäßige DPIAs durchführen, um Risiken zu identifizieren und zu mindern.
- Über die sich entwickelnden Datenschutz- und KI-Gesetze informiert bleiben.
Die Herausforderungen der Einhaltung dieser neuen Regelungen sind erheblich. Doch die Prinzipien der GDPR sind direkt relevant für die Regulierung von KI und sollten Innovationen nicht behindern, sondern fördern.
Unternehmen müssen agil und proaktiv in ihren Compliance-Strategien bleiben, um sich an neue Vorschriften und technologische Fortschritte anzupassen. Die Zusammenarbeit mit Interessengruppen, einschließlich rechtlicher Experten und Technologieanbietern, ist entscheidend, um die Komplexität der KI-Compliance zu navigieren.
