Am 17. Dezember 2024 hat der Europäische Datenschutzausschuss (EDSA) die Stellungnahme 28/2024 zur Nutzung personenbezogener Daten für das Training und den Einsatz von KI-Modellen verabschiedet. Die Stellungnahme ergeht als Reaktion auf ein Ersuchen der irischen Datenschutzbehörde (DPA). 

Entwickler großer Modelle, darunter Meta und OpenAI, die KI-Modelle innerhalb der EU anbieten, stehen unter der Beobachtung von politischen Entscheidungsträgern und Regulierungsbehörden in der EU. Diese Entwickler, Unternehmen, die deren Produkte nutzen, sowie die Regulierungsbehörden in den EU-Ländern haben allesamt nach klaren Leitlinien gesucht, wie KI-Modelle mit personenbezogenen Daten trainiert und eingesetzt werden können, ohne gegen die DSGVO zu verstoßen.

Die EDSA-Stellungnahme 28/2024 bietet Orientierungshilfe in diesen Fragen. Obwohl sie für Unternehmen nicht bindend ist, werden sich die Datenschutzbehörden bei der Auslegung der DSGVO und der Priorisierung von Durchsetzungsmaßnahmen voraussichtlich an diesen Leitlinien orientieren. 

Wann gilt ein Modell als anonym – und fällt somit nicht unter die DSGVO?

Obwohl anonyme KI-Modelle nicht der DSGVO unterliegen, waren Analysten bislang unterschiedlicher Meinung darüber, ob ein trainiertes KI-Basismodell als anonym anzusehen ist.

Die EDSA-Stellungnahme 28/2024 stellt klar, dass ein solches Modell als anonym betrachtet werden kann, wenn eine geringe Wahrscheinlichkeit besteht, „(1) Personen, deren Daten zur Erstellung des Modells verwendet wurden, direkt oder indirekt zu identifizieren, und (2) solche personenbezogenen Daten durch Abfragen aus dem Modell zu extrahieren.“ Die Stellungnahme weist darauf hin, dass diese Analyse im Einzelfall durchgeführt werden muss, und enthält eine nicht abschließende und nicht vorgeschriebene Liste von Methoden, die zur Erreichung der Anonymität beitragen können.

Wann darf ein KI-Entwickler personenbezogene Daten verarbeiten?

Gemäß DSGVO benötigen Unternehmen eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Analysten haben darauf hingewiesen, dass von den verfügbaren Rechtsgrundlagen nur das „berechtigte Interesse“ für die Art und Weise relevant zu sein scheint, wie führende Entwickler KI-Basismodelle trainieren. Die EDSA-Stellungnahme 28/2024 bestätigt, dass ein Unternehmen das „berechtigte Interesse“ als Grundlage für das Training von KI-Modellen unter Verwendung personenbezogener Daten nutzen kann, nachdem eine Analyse von drei Faktoren durchgeführt wurde: 

Zweck: ob das Interesse rechtmäßig, klar und präzise formuliert sowie real und gegenwärtig ist;

Erforderlichkeit: ob personenbezogene Daten zur Erreichung des Zwecks erforderlich sind;

Abwägung: basierend auf einer Analyse der Vorteile, Nachteile und Erwartungen der Personen, deren Daten verarbeitet werden, ob die Interessen und Rechte dieser Personen das berechtigte Interesse des Unternehmens nicht überwiegen

Die EDSA-Stellungnahme 28/2024 beschreibt zudem, wie ein KI-Modell, das unter Verstoß gegen die DSGVO mit personenbezogenen Daten entwickelt wurde, entweder gar nicht oder nur in eingeschränkter Form unter Vorbehalt von Bewertungen und Sicherheitsvorkehrungen eingesetzt werden darf.

Wie geht es weiter?

Die EU wird auch weiterhin Auslegungen und Leitlinien dazu bereitstellen, wie die DSGVO, das EU-KI-Gesetz (AIA) und andere EU-Vorschriften auf KI-Basismodelle anzuwenden sind, während Entwickler großer Modelle kontinuierlich beeindruckende neue Modelle auf den Markt bringen.

Die EDSA-Stellungnahme 28/2024 bringt für viele andere Schnittpunkte von Datenschutz und KI keine Klarheit, einschließlich des Konzepts „Privacy by Design“ oder der Verarbeitung anderer sensibler Informationen (wie etwa der Gemütsverfassung oder der politischen Ansichten von Nutzern).

Unternehmen, die KI-Systeme einsetzen, sollten die regulatorischen Entwicklungen in der EU und weltweit aufmerksam verfolgen und entsprechende Auslegungen und Leitlinien in ihre KI-Governance-Programme integrieren.

Enzai ist hier, um zu helfen

Die KI-GRC-Plattform von Enzai kann Ihrem Unternehmen dabei helfen, KI in Übereinstimmung mit Best Practices und neuen Vorschriften, Standards und Frameworks wie dem EU-KI-Gesetz, dem Colorado AI Act, dem NIST AI RMF und ISO/IEC 42001 einzusetzen. Um mehr zu erfahren, kontaktieren Sie uns hier.

Enzai ist die führende Plattform für KI-Governance in Unternehmen, die speziell dafür entwickelt wurde, Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere Plattform für KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung der Governance von agentischer KI, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU-KI-Gesetz erforderlich ist. Durch die Automatisierung komplexer Arbeitsabläufe versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST zu wahren.