Security Think Tank: Warum die DSGVO mit KI nicht Schritt halten kann

DSGVO und KI: Eine Verordnung für eine andere Ära

Als die DSGVO im Vereinigten Königreich und in der Europäischen Union durchsetzbar wurde, existierte künstliche Intelligenz, wie wir sie heute kennen, in gängigen Geschäftswerkzeugen kaum. Die Verordnung wurde geschaffen, um zu regeln, wie Organisationen personenbezogene Daten erheben, verarbeiten und speichern, mit Kernprinzipien wie Zweckbindung, Datenminimierung und dem Recht auf Löschung. Diese Prinzipien ergaben Sinn in einer Welt von Datenbanken und klar definierten Datenflüssen.

KI, insbesondere generative und maschinelle Lernsysteme, funktioniert nicht so. Modelle werden auf massiven Datensätzen trainiert, die personenbezogene Informationen enthalten können, die von unzähligen Orten gescrapt, lizenziert oder bezogen wurden. Sobald diese Daten in die Gewichte eines Modells eingebrannt sind, wird es außerordentlich schwierig, die Informationen einer einzelnen Person zu isolieren, zu korrigieren oder zu löschen, etwas, das das Recht auf Löschung der DSGVO als möglich voraussetzt. Diese Diskrepanz zwischen der Konzeption des Gesetzes und der tatsächlichen Funktionsweise von KI-Systemen steht im Zentrum der laufenden Analyse des Security Think Tank von Computer Weekly, der untersucht hat, wie Datenschutzstandards im Vereinigten Königreich und in Europa Schwierigkeiten haben, mit dem neuen Paradigma Schritt zu halten, das die KI eingeführt hat.

Wo sich die Risse zeigen

Die Spannung ist nicht nur theoretisch. Sie zeigt sich auf praktische, alltägliche Weise für Organisationen, die KI verantwortungsvoll einsetzen und gleichzeitig konform bleiben wollen. Die Zweckbindung, die Idee, dass für einen Grund erhobene Daten nicht ohne Einwilligung anderweitig verwendet werden sollten, wird unklar, wenn KI-Anbieter Trainingsdaten über mehrere Produkte hinweg wiederverwenden oder Modelle mit Daten feinabstimmen, die ursprünglich für etwas völlig anderes gesammelt wurden.

Auch die Transparenzanforderungen geraten unter der Komplexität der KI an ihre Grenzen. Die DSGVO erwartet, dass Organisationen erklären, wie personenbezogene Daten verarbeitet werden, und Einzelpersonen aussagekräftige Informationen über automatisierte Entscheidungsfindung geben, die sie betrifft. Doch viele KI-Systeme, insbesondere große Sprachmodelle, funktionieren selbst für ihre eigenen Entwickler als Black Boxes. Zu erklären, warum genau ein Modell eine bestimmte Ausgabe erzeugt hat oder welche spezifischen Datenpunkte sie beeinflusst haben, ist oft nicht einmal dem Anbieter vollständig möglich. Wie in einem verwandten Computer Weekly Think Tank-Beitrag darüber, wie KI die Kernregeln der DSGVO belastet untersucht wird, ist dies keine geringfügige technische Randnotiz. Es trifft ins Herz dessen, was die DSGVO garantieren sollte: dass Menschen echte Transparenz und Kontrolle über ihre eigenen Daten haben.

Diese Lücken sind aus Sicherheitsperspektive ebenso wichtig wie aus Compliance-Perspektive. Datenschutz und Cybersicherheit waren schon immer miteinander verwoben, und wenn der rechtliche Rahmen, der gute Datenhygiene durchsetzen soll, nicht sauber auf die Art und Weise abbildet, wie KI-Systeme tatsächlich mit Informationen umgehen, können Organisationen blinde Flecken entwickeln. Sensible Daten könnten in KI-Werkzeuge eingespeist werden, ohne ein klares Verzeichnis darüber, wohin sie gelangen, wer darauf zugreifen kann oder wie lange sie bestehen bleiben, was genau die Art von unverwalteter Datenausbreitung schafft, die Sicherheitsteams jahrelang zu beseitigen versuchen.

Compliance im KI-Zeitalter neu denken

Die Analyse des Security Think Tank legt nahe, dass es nicht ausreicht, die DSGVO Stück für Stück zu flicken. Stattdessen müssen Organisationen und Regulierungsbehörden gleichermaßen überdenken, wie Compliance aussieht, wenn Daten nicht in einer statischen Datenbank liegen, sondern durch Trainingspipelines, Modellaktualisierungen und KI-Plattformen Dritter fließen. Das bedeutet stärkere Daten-Governance, bevor Informationen überhaupt ein KI-System erreichen: zu wissen, welche personenbezogenen Daten existieren, ihre Sensibilität zu klassifizieren und einzuschränken, was überhaupt in KI-Werkzeuge eingespeist wird.

Für Regulierungsbehörden im Vereinigten Königreich und in Europa wirft dies auch Fragen zur Durchsetzung auf. Die Prinzipien der DSGVO bleiben im Geiste fundiert, aber ihre Anwendung auf KI erfordert neue Auslegungsleitlinien und möglicherweise neue Regeln, um Themen wie die Herkunft von Trainingsdaten, das Neutraining von Modellen nach Löschungsanträgen und die Rechenschaftspflicht anzugehen, wenn KI-Anbieter und ihre Kunden die Verantwortung für die Compliance teilen.

Was das für Sie bedeutet

Wenn Ihre Organisation KI-Werkzeuge nutzt, sei es ein Chatbot, eine interne Analyseplattform oder ein auf großen Sprachmodellen basierender Dienst eines Drittanbieters, ist die DSGVO- und KI-Compliance nichts, von dem Sie annehmen können, dass sie standardmäßig erledigt wird. Selbst kleinere Unternehmen, die KI-Produkte von der Stange verwenden, können exponiert sein, wenn personenbezogene Daten auf eine Weise verarbeitet werden, die die Datenschutzrichtlinie des Anbieters nicht klar erklärt.

Für Einzelpersonen ist die Erkenntnis eine Erinnerung daran, dass mit KI-gestützten Diensten geteilte Daten möglicherweise nicht so einfach abzurufen oder zu löschen sind wie Daten, die in einem traditionellen Konto gespeichert sind. Sobald Informationen zum Trainieren oder Feinabstimmen eines Modells verwendet werden, wird die Ausübung von Rechten wie der Löschung in der Praxis weitaus komplizierter, als das Gesetz annimmt.

Umsetzbare Erkenntnisse

Bevor Sie KI-Werkzeuge einführen oder weiter nutzen, die personenbezogene Daten berühren, sollten Sie diese Schritte in Betracht ziehen:

• Fragen Sie Anbieter direkt, ob Ihre Daten für das Modelltraining verwendet werden und ob sie später vollständig entfernt werden können.
• Erfassen Sie, welche personenbezogenen Daten in jedes KI-System fließen, das Ihre Organisation nutzt, einschließlich Werkzeuge Dritter.
• Prüfen Sie Datenschutzrichtlinien für KI-Produkte mit derselben Sorgfalt, die Sie auf jeden anderen Datenverarbeiter anwenden würden.
• Bleiben Sie über sich entwickelnde Leitlinien informiert, da sich die Compliance-Regeln für DSGVO und KI wahrscheinlich weiter verschieben werden, während die Regulierungsbehörden aufholen.

Die Lücke zwischen DSGVO und KI verschwindet nicht von selbst. Bis die Regulierung aufholt, bleiben Vorsicht und Informiertheit der beste Schutz, den Einzelpersonen und Organisationen haben.