Max Schrems: Wie KI zum Problem für Datenschutz wird

Immer mehr KI-Anwendungen wie ChatGPT von Open AI erscheinen auf der Bildfläche. Damit gehen auch Bedenken im Sinne des Datenschutzes einher. Das zeigen auch die Beschwerden, die der Datenschützer und Jurist Max Schrems mit der NGO Noyb in der Vergangenheit eingebracht hat. 

Wir haben ihn gefragt, wie wir unsere Daten schützen können. Welche Tipps er hat und wie er die Umsetzung der Datenschutzgrundverordnung (DSGVO) beurteilt, liest du jetzt: 

Es erscheinen immer mehr KI-Anbieter auf der Bildfläche. Müssen wir uns im Zeitalter von KI von unserer Privatsphäre verabschieden?

In der Regel nicht, dafür gibt es ja auch Gesetze. Natürlich ist das jetzt die Art von Datenverarbeitung, wo immer die Angst bestand, irgendwann kommt der Algorithmus, der X, Y und Z kann. Diese KI-Anwendungen können einiges, man muss aber die Kirche im Dorf lassen und schauen, was wirklich möglich ist. Es wird sicherlich schnell noch mehr gehen, es gibt aber auch gewisse Dinge, die nicht gehen.

Grundsätzlich gibt es ja schon Regelungen, die KI-Anwendungen betreffen. Haben Sie ein Beispiel, das in diesem Zusammenhang besonders relevant ist? 

Da gibt es zum Beispiel die Zweckbindung. Das bedeutet: Ich gebe Informationen für einen bestimmten Zweck her und diese dürfen dann nicht für etwas anderes verwendet werden. 

Es gibt auch das Recht auf Korrektur. Also wenn die KI ein falsches Ergebnis liefert, was wirklich noch sehr häufig und sehr massiv vorkommt, habe ich eigentlich auch die Möglichkeit, das korrigieren und richtig stellen zu lassen.

Wenn es diese Rechte gibt, was ist dann das Problem? 

Die große Frage ist, wie das alles umgesetzt wird. Wenn wir diese Rechte geltend machen wollen, dann ist die Antwort oft: „Ja, eh süß, aber technisch können wir das nicht.“ So kann das System natürlich nicht funktionieren. Das Recht kann sich nicht der Technik beugen, sondern in dem Fall muss es eher umgekehrt sein.

Dieses Recht auf Korrektur betrifft ja ihre Beschwerde gegen Open AI. Können Sie kurz erklären, worum es dabei geht und wie weit das Verfahren ist. 

Die Beschwerde gegen OpenAI ist eine sehr technische und einfache. Da geht es einfach nur um die Richtigstellung von Informationen und um Auskunftsrechte. Je komplexer ein Algorithmus oder System ist, desto relevanter ist es zu verstehen, woher die Daten kommen, wie ich sie korrigieren kann und wer Falschinformationen bekommen hat. Das ist eigentlich alles gesetzlich geregelt. Open AI konnte aber all diese Fragen nicht beantworten. 

Der konkrete Fall war relativ banal. Da ging es um mein Geburtsdatum, das falsch war. Was ist aber, wenn von ChatGPT behauptet wird, dass jemand etwas strafrechtlich Relevantes gemacht hat. Wie lösche ich das wieder, wie korrigiere ich das wieder? Und wie stelle ich sicher, dass alle, die das bekommen haben, zum Beispiel ein Update oder irgendeine Information bekommen?

Das ist eigentlich alles gesetzlich vorgesehen. Wenn man dann bei OpenAI nachfragt, ist die Antwort: “Das können wir technisch alles gar nicht.“ Das war für uns als Juristen natürlich schon spannend. Momentan läuft das Verfahren noch.

Meta will seine KI-Software Meta AI mit Nutzerdaten trainieren. Als Nutzer musste man aktiv Widerspruch erheben, um die eigenen Daten zu schützen. Warum ist es ein Problem, wenn Konzerne wie Meta unsere Daten verwenden? 

Generell ist das nicht immer ein Problem. Es kommt darauf an, was diese Unternehmen konkret machen und, dass ich die Möglichkeit habe zu sagen, ja, das will ich oder das will ich nicht. Das Problem bei Meta AI war, dass sie gesagt haben: „Wir nehmen alle Daten für irgendeinen Zweck und geben sie an Dritte weiter”. Damit hätten sie einen Instagram Filter machen können, aber auch einen Algorithmus, wie bei Cambridge Analytica, der zur Wahlmanipulation eingesetzt wird. Damit kann man also auch wirklich problematische Dinge machen. 

Die Bandbreite dessen, was Meta hätte machen können, ist extrem groß. Das war eigentlich das Problem, dass sie nicht konkreter gesagt haben, was sie jetzt mit den Daten machen. Da stelle ich mir die Frage, will ich, dass meine Daten für solche Trainings verwendet werden? Und zweitens, ob ich will, dass meine Daten enthalten sind, weil dann der Algorithmus potenziell wieder auf mich angewendet wird.

Was sollte man tun, um die eigenen Daten bzw. die Privatsphäre im Zeitalter der KI zu schützen?

Als Einzelner habe ich eine überschaubare Anzahl von Möglichkeiten. Es ist wichtig, die Verantwortung nicht auf den Nutzer abzuwälzen, weil der einzelne Nutzer in der Regel nicht viele Möglichkeiten hat. Ich kann natürlich schauen, was öffentlich über mich zu finden ist und was ich nicht öffentlich mache. Die Grundrechte sollen aber auch gelten, wenn man öffentlich kommuniziert. 

Unser Ansatz ist, die Potentiale der KI nutzen zu können, ohne dass man die Panik haben muss, dass etwas Problematisches dabei passiert. Das ist der Grund, warum wir eine gesetzliche Regelung haben. In der Diskussion sehen wir aber, dass die Verantwortung auf den Nutzer abgewälzt wird. Das ist von der Grundlogik etwas, das wir nicht akzeptieren wollen, weil die Idee ist, dass sich nicht der einzelne Bürger besonders schützen muss, sondern dass er durch das Gesetz geschützt wird.

Sind Klagen die einzige Option, um unsere Daten zu schützen?

Es ist eine Option. Die Realität ist, dass es für den normalen Nutzer sehr schwer ist, die Daten zu schützen. Generell haben wir ein riesiges Marktversagen. Wir haben praktisch Monopolstrukturen oder Duopole. Da müssen wir generell ran, aber das ist unabhängig vom Datenschutz.

Wir brauchen also Alternativen aus der Wirtschaft. Wir können technische Lösungen finden, um die Daten zu schützen. Es gibt also viele Räume, wo man Dinge verbessern kann. Unser Raum ist der rechtliche. In der Demokratie ist das auch nicht ganz unwichtig. Wenn sich niemand an Gesetze hält,  ist es auch ein demokratisches Problem, weil zum Beispiel die Datenschutzgrundverordnung über 90 Prozent Zustimmung im Europäischen Parlament hatte.

Was ist das Problem an der Datenschutzgrundverordnung? 

Das Spannende in diesem Bereich, im Vergleich zu anderen Rechtsbereichen ist, dass die Datenschutzgrundverordnung einfach nicht durchgesetzt wird. Die Behörden machen einfach nichts. Es ist in der Gesetzgebung immer so, dass sie nicht hundertprozentig eingehalten wird. Also kein Gebäude entspricht wahrscheinlich hundertprozentig der Bauordnung, aber zumindest zu 99 Prozent, damit es nicht zusammenfällt. Bei der DSGVO sind wir am anderen Ende. In diesem Bereich fehlt die Ernsthaftigkeit oder die Kultur und das ist auch der Grund, warum es juristisch spannend ist, weil da viel zu tun ist.

Was sind Ihrer Meinung nach die größten Herausforderungen im Bereich Datenschutz heutzutage?

Die Rechtsdurchsetzung ist sicherlich der spannendere Teil. Oft werden auch neue Gesetze in diesem Bereich gefordert, aber diese brauchen wir gar nicht, weil wir durchaus die gesetzlichen Möglichkeiten haben. Das Problem ist, man muss sie auch nutzen.

Titelbild: Georg Molterer