Bericht : „Die Zukunft des Datenschutzes – Ist die DS‑GVO bereit für KI?“ – Diskussionsrunde im Bildungszentrum des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg : aus der RDV 5/2023 Seite 339 bis 340
Ein Veranstaltungsbericht von Moritz Köhler *
Die EU geht voran und will den weltweit ersten gesetzlichen Rahmen zur Regulierung Künstlicher Intelligenz (KI) schaffen. Die geplante Pioniertat stellt Gesetzgeber und Rechtsanwender vor Herausforderungen. So stammt die DS-GVO aus dem Jahr 2018 und damit aus einer Zeit, in der die heutigen KI-Systeme kaum vorstellbar waren. Und sogar bei aktuellen Gesetzgebungsvorhaben steht der Gesetzgeber vor der Herausforderung der rasant voranschreitenden technischen Entwicklung: Während der Verhandlungen zur KI-Verordnung, die 2024 in Kraft treten soll, lenkte das Aufkommen von ChatGPT Anfang 2023 die öffentliche Aufmerksamkeit auf generative KI-Systeme. Der Gesetzgeber in Brüssel musste im Zuge der anschließenden Debatte über generative KI-Systeme feststellen, dass diese nach dem damaligen Entwurf der Verordnung weitgehend unreguliert blieben. Der mittlerweile im Trilog befindliche Entwurf wurde zwar um Vorschriften zu generativen KI-Systemen ergänzt. Was aber bleibt, ist die Frage, wie der Gesetzgeber mit einer Technologie umgehen soll, die sich schneller entwickelt, als er Gesetze erlassen kann.
Über diese Frage und ihre Auswirkungen für die Praxis diskutierte der frisch gewählte Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, Tobias Keber, am 13. Juli 2023 mit seinen Gästen unter der Überschrift „Die Zukunft des Datenschutzes – Ist die DS-GVO bereit für KI?“. Mit Axel Voss (Mitglied des Europäischen Parlaments), Tobias Haar (Chefsyndikusanwalt bei Aleph Alpha), Rolf Schwartmann (Vorsitzender GDD und Leiter der Kölner Forschungsstelle für Medienrecht) und Kai Zenner (Büroleiter für Axel Voss) waren Vertreter aus dem Maschinenraum der europäischen Gesetzgebung, aus der Wissenschaft und aus der Praxis eingeladen, die ihre Perspektiven zur aktuellen Regulierung von KI in der EU teilten.
Zum Einstieg in die Diskussion war die Frage zu klären, was unter KI genau zu verstehen ist. Kai Zenner, der als Berater für Digitalpolitik im Büro von Axel Voss für die Ausgestaltung der KI-Verordnung zuständig ist, berichtete, wie diese Frage das Europäische Parlament monatelang beschäftigt hat. Demnach setzten sich insbesondere die Sozialdemokraten und die Grünen für eine breite Definition des KI-Begriffs ein, die im Ergebnis auch einfache Algorithmen abgedeckt hätte. Die konservativen und liberalen Parteien wollten den Begriff der KI hingegen auf Formen des maschinellen und tiefen Lernens beschränken. Schließlich einigte man sich für die KI-Verordnung auf eine Definition, die an die Begriffsbestimmung der OECD aus dem Jahr 2019 anknüpft.[1]Dies habe, so Zenner, den Vorteil, dass die EU an internationale Standards anknüpfe und dadurch eine Vergleichbarkeit schaffe. Außerdem sei es begrüßenswert, dass das Europäische Parlament mit dieser klaren gesetzlichen Definition von dem Verweis auf einen Annex abrücke, den der Kommissionsvorschlag zur KI-Verordnung noch vorgesehen hatte. Die Frage, was als KI im Sinne der Verordnung zu verstehen ist, sei so wesentlich, dass sie der Gesetzgeber durch ein materielles Gesetz selbst zu regeln habe.
Gespalten war die Runde bezüglich der Frage, ob DS-GVO und KI-Verordnung neben der Sicherung von Individualrechten gewährleisten können, dass Europa als Standort für KI Entwicklung nicht den Anschluss an die USA und China verliert. Axel Voss äußerte diesbezüglich erhebliche Zweifel. Er sehe im Moment nicht, wie Europa den Anschluss halten wolle, wenn es weiterhin eine angstgetriebene Regulierung neuer Technologien verfolge. Demnach sei eine umfassende Modernisierung der DS-GVO erforderlich, die Europa als Wirtschaftsstandort für die Zukunft attraktiv mache. Rolf Schwartmann trat der Forderung nach einer umfassenden Reform der DS-GVO entgegen und vertrat die Ansicht, dass es vielmehr zielführend sei, das Gesetz konstruktiv auszulegen und anzuwenden. Tobias Haar fügte hinzu, dass die vergleichsweise strenge Regulierung in der EU nicht ausschließlich Nachteile für die Unternehmen mit sich bringe. So wendeten sich mittlerweile vermehrt Kunden an Aleph Alpha, die auf die Qualität europäischer KI-Systeme vertrauten und sich nicht von den weitgehend unregulierten Branchenführern abhängig machen wollten. Langfristig könne sich der Fokus auf eine sichere und umsichtige Anwendung von KI daher sogar auszahlen.
Nichtsdestotrotz waren sich die Diskussionsteilnehmer einig, dass bei der Anwendung von DS-GVO und KI-Verordnung Konkretisierungen für die Rechtsanwender erforderlich sind: So ergeben sich Abgrenzungsprobleme zwischen den Verordnungen, wenn die Praxis zum Risikomanagement nach der KI-VO und zur Risikofolgenabschätzung nach der DS-GVO verpflichtet wird.
Daneben sind einige Fragen zur KI-Regulierung weiterhin ungeklärt. Hierzu zählt die Regulierung der in die KI-Systeme eingespeisten Trainingsdaten. Haar erklärte in diesem Zusammenhang, dass ein KI-System, das gänzlich unverzerrte Ergebnisse liefert, kaum vorstellbar sei. Dies warf die Frage auf, ob der Gesetzgeber durch eine Regulierung der einzusetzenden Trainingsdaten die Gefahr von Verzerrungen der Ergebnisse von KI-Systemen minimieren darf oder ob derartige Regelungen mit Blick auf die Medienfreiheit abzulehnen seien. Schwartmann verwies insofern auf die Rechtsprechung des Bundesverfassungsgerichts zur pluralen Rundfunkordnung und stand einer solchen Regulierung dem Grunde nach offen gegenüber.
Zum Abschluss der Diskussionsrunde kamen die Teilnehmer auf ein Thema zu sprechen, das nach Aussage Zenners einen der größten Streitpunkte zwischen den Parteien im Europäischen Parlament bildet und aufgrund seiner politischen Brisanz wohl erst zum Ende des Trilog-Verfahrens auf höchster politischer Ebene entschieden wird: die biometrische Echtzeitidentifizierung zu Strafverfolgungszwecken. Im Kommissionsentwurf sollte diese in eng umgrenzten Ausnahmefällen erlaubt sein, so etwa bei der gezielten Suche nach vermissten Kindern oder zum Abwenden eines Terroranschlags. In der Verhandlungsposition des Parlaments zur KI-Verordnung fallen diese Ausnahmetatbestände restlos weg. Was bleibt, ist ein vollständiges Verbot der biometrischen Echtzeitidentifizierung im öffentlichen Raum. Eine Entwicklung, die Axel Voss scharf kritisierte. Der Datenschutz sei kein Supergrundrecht, das werde in der politischen Diskussion nicht mehr hinreichend berücksichtigt. In Europa gäbe es keine Massenüberwachung, vielmehr müsse man sich fragen, wie man die Strafverfolgung in der modernen Welt von ihrem aktuellen Postkutschenlevel heben könne. Tobias Keber pflichtete Voss zwar bei, dass das Datenschutzrecht genauso wie alle anderen Grundrechte mit Ausnahme der Menschenwürde einer Abwägung zugänglich sei. Man müsse aber bei Maßnahmen wie der Echtzeitidentifizierung immer den worst case mitdenken und sich die Frage stellen, was bei einem Systemwechsel passieren kann.
Die politische Brisanz einiger ungeklärter Probleme der KI-Regulierung wird im Trilog-Verfahren zur KI-Verordnung zu langen Diskussionen führen. Letztlich ist eine klare Entscheidung des europäischen Gesetzgebers bei diesen grundrechtlich wesentlichen Fragen aber unvermeidlich, so der Konsens in der Diskussionsrunde. Bei darüber hinausgehenden Abgrenzungsschwierigkeiten und Auslegungsfragen seien dagegen die Aufsichtsbehörden gefragt, die den Unternehmen beratend zur Seite stehen sollen.
* Moritz Köhlerist wissenschaftlicher Mitarbeiter der Kölner Forschungsstelle für Medienrecht und Doktorand bei Prof. Dr. Rolf Schwartmann
[1] Hierzu OECD, Empfehlung des Rats zu Künstlicher Intelligenz, S. 5, abrufbar unter https://www.oecd.org/berlin/presse/Empfehlung-des-Rats-zu-kuenstlicher-Intelligenz.pdf, zuletzt abgerufen am 19.07.2023.