Mit dem sogenannten Digital Omnibus möchte die EU-Kommission die Datenschutz-Grundverordnung (DSGVO) an die Anforderungen moderner KI-Systeme anpassen. Ziel ist es, Innovationen zu fördern, ohne den Datenschutz aufzugeben.
Das zentrale Problem
Moderne KI-Systeme benötigen große Datenmengen für Training, Tests und Betrieb. Dabei können auch personenbezogene Daten oder sogar besondere Kategorien personenbezogener Daten verarbeitet werden, beispielsweise Gesundheitsdaten, politische Ansichten oder Informationen zur sexuellen Orientierung.
Nach der aktuellen Rechtsprechung des Europäischen Gerichtshofs werden diese sensiblen Daten sehr weit ausgelegt. Bereits eine indirekte Ableitung kann dazu führen, dass ein kompletter Datensatz unter die strengen Regelungen des Artikel 9 DSGVO fällt.
Was die EU-Kommission ändern möchte
Der Digital Omnibus sieht vor, die Verarbeitung sensibler Daten im Zusammenhang mit der Entwicklung und dem Betrieb von KI-Systemen unter bestimmten Voraussetzungen zu erleichtern.
Künftig soll die Verarbeitung zulässig sein, wenn sensible Daten lediglich unbeabsichtigt oder als unvermeidbarer Bestandteil großer Datensammlungen enthalten sind und der Verantwortliche angemessene technische sowie organisatorische Maßnahmen ergriffen hat.
Zusätzlich soll klargestellt werden, dass sich Unternehmen bei der Entwicklung und dem Betrieb von KI auf berechtigte Interessen als Rechtsgrundlage stützen können.
Kritik an den Vorschlägen
Nach Ansicht der Autorin greifen die Reformen zu kurz. Zwar würden einige praktische Probleme adressiert, gleichzeitig blieben die grundlegenden datenschutzrechtlichen Hürden bestehen.
Insbesondere die vorgesehenen Verpflichtungen zur Filterung, Überwachung und Entfernung sensibler Daten könnten die Entwicklung leistungsfähiger europäischer KI erheblich erschweren. Gerade bei großen Sprachmodellen oder Bild-KI-Systemen bestehe die Gefahr, dass wichtige Trainingsdaten verloren gehen und dadurch die Qualität der Modelle sinkt.
Nicht jede Verarbeitung sensibler Daten ist gleich problematisch
Die Autorin schlägt einen anderen Ansatz vor: Entscheidend sollte nicht sein, ob sensible Daten technisch vorhanden sind, sondern ob die Verarbeitung darauf abzielt, sensible Eigenschaften einer bestimmten Person auszuwerten.
Wird ein KI-Modell lediglich mit großen Datenmengen trainiert, ohne gezielt sensible Merkmale einzelner Personen auszuwerten, sollte dies datenschutzrechtlich privilegiert werden.
Warum das berechtigte Interesse allein nicht ausreicht
Die geplante Regelung zum berechtigten Interesse schafft nach Auffassung der Autorin kaum zusätzliche Rechtssicherheit. Entwickler und Betreiber von KI-Systemen müssten weiterhin nahezu sämtliche Anforderungen der DSGVO erfüllen und umfassende Interessenabwägungen dokumentieren.
Damit bleibe die praktische Unsicherheit für Unternehmen weitgehend bestehen.
Vorschlag der Autorin
Statt einzelner Anpassungen fordert die Autorin ein eigenständiges Datenschutzregime für KI nach dem Vorbild von Artikel 89 DSGVO, der bereits heute besondere Erleichterungen für Forschung und Statistik vorsieht.
Denkbar wären beispielsweise:
- Erleichterungen bei Informationspflichten für große Trainingsdatensätze
- Vereinfachte Regelungen für die Weiterverarbeitung vorhandener Daten
- Angepasste Auskunfts- und Löschpflichten
- Klare Regeln für Widersprüche von Betroffenen
- Mehr Rechtssicherheit für KI-Entwickler
Fazit
Die geplanten Änderungen der DSGVO sind ein erster Schritt, lösen jedoch die grundlegenden Herausforderungen zwischen Datenschutz und KI-Innovation nicht. Soll Europa bei der Entwicklung leistungsfähiger KI-Systeme wettbewerbsfähig bleiben, wird nach Ansicht der Autorin eine deutlich weitergehende Modernisierung des Datenschutzrechts erforderlich sein.
