ChatGPT & Co: Chance oder eher (DSGVO-)Risiko?

Microsoft liefert sich mit anderen Firmen ja so etwas wie ein "Rattenrennen" um die schnellste KI-Einführung in Produkten. Bing, Office etc., kaum noch ein Microsoft-Produkt, in dem LLM-Funktion in Form von CoPiloten (ChatGPT) Einzug halten sollen. Auf der Hannover Messe spricht Deutschland-Chefin Marianne Janik von einer "historischen Chance" durch KI für die Industrie. Gleichzeitig ist mir ein Artikel von einem Rechtswissenschaftler unter die Augen gekommen, der sich mit der Frage der DSGVO-Kompatibilität von ChatGPT & Co. befasst. Die Botschaft: Ja, man könnte ChatGPT & Co. DSGVO-konform einsetzen, aber man muss genau hinschauen und die Hersteller müssten das Zeugs entsprechend entwickeln. Und hier erwachen meine Zweifel, dass das klappt. Nachfolgend ein Abriss dieser Themenfelder.

Die Diskussion um den Einsatz von künstlicher Intelligenz a la ChatGPT oder ähnlichem in Software-Produkten ist aktuell ja in vollem Gange. Ich hatte diverse Themen hier im Blog reflektiert. Persönlich gehöre ich eher zur Fraktion Vorsicht, die erwartet, dass die Leute sich erst einmal im Klaren sind, was eine künstliche Intelligenz in Form von LLM-Lösungen kann, welches Risiken existieren und was man realistisch erwarten kann. Es gibt aber auch eine Fraktion "einfach mal schauen, was geht", die meint, dass man zur Not die Funktionen – so die in Microsoft Office als CoPilot ausgerollt werden, ja abschalten könne. Da kommt es immer gut, wenn man auf Fundsplitter stößt, die bei der Beurteilung helfen können.

Microsoft: AI-Technik als Chance begreifen?

Im Umfeld der aktuell stattfindenden Hannover Messe hat Deutschland-Chefin Marianne Janik einige Aussagen zum Thema gemacht. Die Kollegen von Dr. Windows haben es in diesem Artikel aufgegriffen. Frau Jasik spricht "von einer historischen Chance, die gerade in Kernbereichen wie der klassischen Industrie eine enorme Schubkraft in Deutschland entwickeln könnte". Die Technologie könne nicht nur von allen auch mit viel Kreativität angewandt werden, sondern könne auch helfen, Blockaden wie den Arbeitskräftemangel zu überwinden und Innovationsprozesse zu beschleunigen, zitieren die Kollegen.

Verständis für Forderungen

Interessant fand ich dann so Aussagen, dass Microsoft Verständnis für Forderungen habe, dass man Künstliche Intelligenz nicht überhastet entwickeln solle (das ist wohl dem Thema, welches ich im Beitrag Gegenwind für ChatGPT & Co, Moratorium bei der KI-Entwicklung gefordert, und Italien-Sperre für ChatGPT aufgegriffen habe, geschuldet). Frau Jasik "meint", dass Microsoft sich bereits zu einem sehr frühen Zeitpunkt Gedanken über die ethischen Prinzipien, denen man folgen sollte, gemacht habe. Wichtig seien Fairness, Sicherheit, Zuverlässigkeit und Inklusion und am Ende müsse immer ein Mensch (bezüglich der Ergebnisse, die die KI auswerfe) rechenschaftspflichtig sein.

Behutsame Einführung?

Die Ausführungen von Frau Janik gipfeln in der Aussage, dass Microsoft neue Produkte "wie die Copilot-Erweiterungen in Microsoft 365 nicht einfach auf den Markt werfe, sondern erst sehr behutsam nach einer längeren Preview-Phase einführe". Diese Aussage löst selbst in der Dr. Windows-Leserschaft Kopfschütteln aus, wie ich einigen Kommentaren entnehme.

Ein anderer Blick

Mir ist vor einigen Tagen ein Artikel der New York Time (leider nicht frei verfügbar) mit interessanten Aussagen unter die Augen gekommen. Technologieunternehmen seien einst misstrauisch gegenüber dem, was künstliche Intelligenz leisten könnte, gewesen. Im "Rattenrennen" um die schnellste Integration von KI in Produkte würden Microsoft und Google Geschwindigkeit statt Vorsicht wählen. Jetzt geht es darum, die Kontrolle über das nächste große Ding der Branche zu gewinnen.

Der Artikel kolportiert, dass zwei Google-Mitarbeiter, die für die Überprüfung der KI-Produkte des Unternehmens verantwortlich sind, im März 2023 versucht hätte, Google davon abzuhalten, einen KI-Chatbot zu starten. Sie waren der Meinung, dass dieser ungenaue und gefährliche Aussagen macht. Zehn Monate zuvor seien bei Microsoft ähnliche Bedenken von Ethikern und anderen Mitarbeitern geäußert worden. Die Leute äußerten in mehreren Dokumenten Bedenken, dass die KI-Technologie hinter einem geplanten Chatbot Gruppen auf Facebook mit Desinformationen überschwemmen, das kritische Denken beeinträchtigen und die faktische Grundlage der modernen Gesellschaft untergraben könnte.

Hat Microsoft nicht davon abgehalten, das KI-Rennen im Februar 2023 mit der Ankündigung der ChatBot-Integration in Bing zu eröffnen. Eine interne E-Mail von Sam Schillace, Führungskraft im Technologiebereich bei Microsoft, aus der die New York Times zitiert, macht die Stoßrichtung klar. Sam Schillace schrieb, dass es ein "absolut fataler Fehler sei, sich in diesem Moment um Dinge zu sorgen, die später behoben werden können". Das ist also eine konträres Bild zu dem, was Microsofts Vertreterin der deutschen Industrie auf der Hannover Messe ins Ohr säuselte.

ChatGPT und die DSGVO

Mich trieb ja, als ich erste Pläne zur ChatGPT-Integration in Microsoft Office (CoPilot) vernahm, sofort die Frage nach der DSGVO-Konformität um. Erste Reaktionen diverser Leute auf von mir angerissene Fragestellungen: "Ist kein DSGVO-Risiko, und zur Not schalte ich es ab – mache dich erst mal über die Technik schlau". Kann man so sehen, muss man aber nicht.

Aktuell liegt meines Wissens noch keine technische Implementierung der LLM-Modelle als CoPilot in den Office-Modulen vor. Die Winkelzüge Microsofts zur DSGVO-Konformität von Microsoft 365/Office 365 wecken bei mir aber eher Misstrauen, was die AI-Implementierung für die DSGVO-Konformität bedeutet.

Daher war ich sofort geflasht, als mir obiger Tweet von Prof. Dr. Dennis-Kenji Kipker (ein deutsch-japanischer Rechtswissenschaftler und Professor für IT-Sicherheitsrecht) unter die Augen gekommen ist. Christoph Krönke, Professor für für Öffentliches Recht I an der Universität Bayreuth hat sich der Frage angenommen, wie Technologien wie ChatGPT in Bezug auf die DSGVO einzustufen sind. Tenor seines Beitrags Attention Is All You Need: ChatGPT und die DSGVO ist "die AI-Technologie ChatGPT& Co. kann DSGVO-konform gestaltet werden", wenn die Firmen einige Prinzipien berücksichtigen.

Der Beitrag ist in meinen Augen in der typischen Form eines Juristen verfasst, der das Verbot von ChatGPT durch die Datenschützer in Italien als Fall aufspießt und dann nachweist, dass dieses Verbot "unverhältnismäßig" sei. Es lohnt sich aber auf jeden Fall, den Artikel genauer durchzulesen. Dann im Verlaufe des Beitrags beleuchtet Prof. Krönke die Fallstricke von ChatGPT & Co. in Bezug auf die DSGVO. Herausgearbeitet wird die Unterscheidung von Trainingsdaten und Betriebsdaten im Hinblick auf die DSGVO. In beiden Varianten können persönliche Daten eingeflossen sein oder einfließen.

Rechtsgrundlage für Verarbeitung

Es stellt sich also die Rechtsgrundlage für die Verarbeitung solcher Daten. Interessant war für mich, dass selbst eine Verarbeitung frei verfügbarer Daten zu Trainingszwecken nicht in unbegrenztem Maße gestattet ist. Eine Berufung auf Art. 6 Abs. 1 lit. f) DSGVO setze eine Abwägung der einander gegenüberstehenden Rechte und Interessen voraus, in deren Rahmen auch die Rechte der betroffenen Personen aus Art. 7 und 8 GRC berücksichtigt werden müssen, schreibt Krönke. Deren Interessen seien durch Programme wie ChatGPT vor allem dann berührt, wenn die KI in Beantwortung von Nutzeranfragen im Internet öffentlich verfügbare personenbezogene Informationen zusammenträgt, miteinander verknüpft und mit der Nutzeranfrage in Kontext bringt.

Der Fall Jonathan Turley, Rechtswissenschafter mit Professur an der George Washington University, ist in meinen Augen bereits ein Beispiel für solche Konstruktionen, der aufzeigt, was schief laufen kann. ChatGPT hatte in einer Anfrage den Professor fälschlicherweise der sexuellen Belästigung beschuldigt und das Ganze mit einem frei erfundenen Artikel belegt, wie z.B. hier zu lesen ist. Turleys hat nun jedenfalls Klage gegen OpenAI, den Entwickler von ChatGPT eingereicht.

Bei der Verarbeitung von Betriebsdaten wird die Sache noch kritischer. Deren Verwendung zu Trainingszwecken ist kaum mehr mit Art. 6 Abs. 1 lit. f DSGVO zu begründen. Es liefe auf eine Einwilligung durch betroffene Benutzer hinaus – in der Praxis eine schwierige Sache, die die Datenschützer in Firmen in einige Zwickmühlen bringen dürfte. Hier kommt es also darauf an, wie Microsoft das konkret implementiert und wie sichergestellt wird, dass ein "Ausschluss" der Verwendung von Betriebsdaten für Trainingszwecke im Rahmen der kontinuierlichen Updates über Jahre sichergestellt werden kann – ich halte dies für nicht möglich.

Fazit: Es könnte klappen …

Das Fazit des Beitrag sollte sich jeder Verantwortliche auf der Zunge zergehen lassen: Für die Anbieter von Programmen wie ChatGPT gilt in der Gesamtschau: Datenschutzrechtliche Sorgfalt und Aufmerksamkeit lohnen sich. Die Ansprüche des europäischen Datenschutzrechts sind durchweg erfüllbar, verlangen aber sowohl beim Betrieb als auch bereits bei der Entwicklung innovativer KI-Produkte entsprechende Anstrengungen. Es gilt damit, in Anlehnung an den von den Schöpfern des Transformer-Modells ausgegebenen Leitsatz, auch in datenschutzrechtlicher Hinsicht: "Attention is all you need".

… oder eher Prinzip "Hoffnung"?

Dieses Fazit ist von der Hoffnung und dem Glaube an das "Gute im Menschen" bzw. in den Produkten der Firmen getragen, dass es schon gut gehen wird. Geht man den Artikel durch, lese ich zwischen den Zeilen bereits heraus, dass der Punkt "Datenschutz bei der Entwicklung von KI-Produkten" bereits bei OpenAI vernachlässigt wurde – und frank heraus gesprochen, ich sehe den Punkt auch nicht bei Microsofts Produktentwicklern. Dort wird die europäischen GDPR (DSGVO) sofern überhaupt bekannt, als unwichtiges Anhängsel gesehen, welches man ignoriert, solange kein Stopp in der Nutzung von Office 365 kommt.

Die besondere Erfahrung, die Samsung mit der versuchsweisen Verwendung von ChatGPT machen durften (siehe ChatGPT: Fabuliermaschine und Plappermaul für Firmengeheimnisse), habe ich hier noch gar nicht angesprochen. Binnen 20 Tagen konnte man intern bereits drei Fälle identifizieren, bei denen Mitarbeiter Firmeninterna durch Verwendung von ChatGPT geleaked hatten. Samsung will jetzt eine eigene, intern gehostete AI-Lösung entwickeln, um solche Fälle zu vermeiden.

Ergänzung: Nachdem ich den obigen Artikel publiziert habe, bin ich bei den Kollegen von Golem auf den Artikel Ist der KI-Kollege eine Datenkrake? gestoßen, wo Florian Zandt genau die Fragen stellt, die auch mir so durch den Kopf gehen.

Ähnliche Artikel:
Bericht: Microsoft plant Bing bis März 2023 mit ChatGPT-Suche zu erweitern
ChatGPT Perlen und Neuigkeiten zum Sonntag
Microsoft plant nach einem Bericht Office mit ChatGPT-4-Funktionen zu erweitern
Microsoft 365 Copilot vorgestellt: KI-Funktionen für alle Office-Apps
Gegenwind für ChatGPT & Co, Moratorium bei der KI-Entwicklung gefordert, und Italien-Sperre für ChatGPT
ChatGPT Perlen und Neuigkeiten zum Sonntag