KI und die Einhaltung von Datenschutzgesetzen: Ein Leitfaden für Organisationen

Der Einsatz von Werkzeugen der künstlichen Intelligenz (KI) wird sowohl im organisatorischen als auch im persönlichen Kontext immer häufiger. Das Spektrum der KI-Tools und die Arten von Informationen, die sie verarbeiten, nehmen rasch zu. 

Dieser Artikel befasst sich mit den wichtigsten Überlegungen, die Unternehmen beim Einsatz von KI-Tools berücksichtigen sollten, um die Einhaltung der Datenschutzgesetze zu gewährleisten. 

UK-Datenschutzgesetze 

Der Datenschutzrahmen des Vereinigten Königreichs besteht aus folgenden Elementen: 

• Die beibehaltene EU-rechtliche Fassung der Allgemeine Datenschutzverordnung (EU 2016/679); 

• Die Datenschutzgesetz 2018 (DPA 2018); 

• Die Verordnung über den Schutz der Privatsphäre und die elektronische Kommunikation (EG-Richtlinie 2003) (SI 2003/2426) 

Es ist wichtig zu beachten, dass die Die Allgemeine Datenschutzverordnung der EU (EU 2016/679) hat extraterritoriale Wirkung und kann auch auf für die Verarbeitung Verantwortliche und Auftragsverarbeiter im Vereinigten Königreich Anwendung finden, die innerhalb der EU tätig sind. 

KI-Tools und Daten 

In den letzten Jahren haben wir die Entwicklung von KI-Tools beobachtet, die in hohem Maße auf personenbezogene Daten angewiesen sind. Beispielsweise sammelt Amazons Alexa, die von den Einwohnern des Vereinigten Königreichs häufig genutzt wird, routinemäßig große Mengen an Daten, darunter: 

• Zahlungsinformationen 

• Live-Standort 

• Aufzeichnungen von Kommunikationsanfragen, die personenbezogene Daten enthalten können 

• Kaufhistorie 

• Einkaufsgewohnheiten 

Ähnlich verhält es sich mit Meltwater, einem KI-Tool für Medien, soziale Medien und Verbraucher, das durch die Verarbeitung von Daten aus verschiedenen Quellen, darunter Live-Chats, Konten in sozialen Medien und Kaufhistorien, Einblicke in das Kundenverhalten ermöglicht. 

Da sich die KI-Tools rasch weiterentwickeln, bleibt die Datenerhebung ein wesentlicher Bestandteil ihrer Funktion. Es ist fast sicher, dass die von einigen KI-Tools gesammelten Daten personenbezogene Daten, Daten besonderer Kategorien und möglicherweise Daten über Kinder enthalten werden. 

Daher ist es für Organisationen von entscheidender Bedeutung, die Einhaltung der Datenschutzgesetze zu gewährleisten. 

Die AI-Anleitung 

Das Information Commissioner's Office (ICO) hat einen Leitfaden zu KI und Datenschutz (die "KI-Lenkung"), um Organisationen bei der Auslegung der einschlägigen Datenschutzgesetze zu helfen, die auf KI anwendbar sind. Die KI-Leitlinien enthalten auch Empfehlungen zu bewährten Verfahren für organisatorische und technische Maßnahmen zur Minderung der Risiken, die KI für den Einzelnen mit sich bringen kann. 

Die ICO definiert KI im weitesten Sinne und erkennt sie als Standardbegriff der Branche an, der verschiedene Technologien umfasst. Ein Schlüsselbereich der KI ist das "maschinelle Lernen", bei dem computergestützte Verfahren zur Erstellung statistischer Modelle aus großen Datensätzen eingesetzt werden. Diese Modelle werden dann verwendet, um Vorhersagen oder Klassifizierungen über neue Daten zu machen, und ein Großteil des aktuellen Interesses an KI dreht sich um maschinelles Lernen. 

Die KI-Leitlinien befassen sich daher in erster Linie mit den Datenschutzrisiken und -herausforderungen, die sich aus der auf maschinellem Lernen basierenden KI ergeben. Es wird jedoch auch anerkannt, dass andere Formen der KI zusätzliche Herausforderungen für den Datenschutz mit sich bringen können. 

Für wen gilt der KI-Leitfaden? 

Der AI-Leitfaden richtet sich an zwei große Zielgruppen: 

1. Diejenigen mit Schwerpunkt auf der Einhaltung von Vorschriften, einschließlich: 

• Datenschutzbeauftragte 

• Syndikus 

• Risiko-Manager 

• Leitende Angestellte 

• Die Auditoren des ICO, die die AI Guidance als Grundlage für ihre Audits im Rahmen der Datenschutzgesetzgebung nutzen werden. 

2. Technologie-Spezialisten, einschließlich: 

• Entwickler für maschinelles Lernen und Datenwissenschaftler 

• Software-Entwickler/Ingenieure 

• Cybersecurity und IT-Risikomanager 

Dieser Artikel konzentriert sich auf die Aspekte der AI-Leitlinien, die für diejenigen relevant sind, die sich auf die Einhaltung von Vorschriften konzentrieren. Die Organisationen werden jedoch ermutigt, die AI-Leitlinien in ihrer Gesamtheit zu betrachten. 

Hauptaspekte der AI-Leitlinien 

Der KI-Leitfaden ist umfangreich und detailliert. Im Folgenden heben wir die wichtigsten Punkte für Organisationen hervor, die KI einsetzen. 

Welche Auswirkungen hat die KI auf die Rechenschaftspflicht und die Governance? 

Organisationen müssen: 

• ihre internen Strukturen, Rollen und Zuständigkeiten, Schulungsanforderungen, Richtlinien und Anreize mit ihren KI-Governance- und Risikomanagementstrategien in Einklang bringen. 

• Kontinuierlich nachweisen, wie sie den Datenschutz durch Design und Standardverpflichtungen berücksichtigt haben. 

• sicherstellen, dass ihre Governance- und Risikomanagementkapazitäten im Verhältnis zum Einsatz von KI stehen. 

• Entwicklung eines allgemeinen Rahmens für die Rechenschaftspflicht als Grundlage für den Nachweis ihrer Rechenschaftspflicht im Rahmen der Datenschutzgesetze, auf dem sie ihren Ansatz für die KI-Rechenschaftspflicht aufbauen können. 

Wie lässt sich Transparenz in der KI gewährleisten? 

• Organisationen müssen transparent machen, wie sie personenbezogene Daten im Rahmen von KI-Systemen verarbeiten, um den Transparenzgrundsatz zu erfüllen. 

• Bevor eine Organisation mit der Verarbeitung personenbezogener Daten beginnt, muss sie ihre Transparenzpflichten gegenüber den Personen, deren personenbezogene Daten sie zu verarbeiten beabsichtigt, berücksichtigen. 

• Die Organisation muss in ihren Datenschutzinformationen Angaben zu den Zwecken der Verarbeitung personenbezogener Daten, zu den Aufbewahrungsfristen für diese Daten und zu den Stellen, an die sie weitergegeben werden, machen. 

• Werden die Daten direkt von Einzelpersonen erhoben, müssen die Datenschutzinformationen zum Zeitpunkt der Erhebung bereitgestellt werden, bevor sie zum Trainieren eines Modells oder zur Anwendung dieses Modells verwendet werden. Werden die Daten aus anderen Quellen erhoben, müssen die Datenschutzinformationen innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats, bereitgestellt werden. 

Wie lässt sich die Rechtmäßigkeit von KI sicherstellen? 

• Um den Grundsatz der Rechtmäßigkeit einzuhalten, muss eine Organisation jeden einzelnen Verarbeitungsvorgang aufschlüsseln und den Zweck und eine geeignete Rechtsgrundlage für jede Verarbeitung angeben. 

• Wann immer personenbezogene Daten verarbeitet werden, sei es, um ein neues KI-System zu trainieren oder um mit einem bestehenden System Vorhersagen zu treffen, muss die Organisation über eine angemessene Grundlage für die Verarbeitung verfügen. 

Was müssen Organisationen über Fairness und statistische Genauigkeit wissen? 

• Die statistische Genauigkeit bezieht sich auf den Anteil der richtigen und falschen Antworten, die von einem KI-System erzeugt werden. 

• KI-Systeme müssen statistisch hinreichend genau sein, um sicherzustellen, dass die Verarbeitung personenbezogener Daten mit dem Grundsatz der Fairness vereinbar ist. 

• Um den Grundsatz der Fairness einzuhalten, müssen Organisationen sicherstellen, dass personenbezogene Daten in einer Weise behandelt werden, die der Einzelne vernünftigerweise erwarten kann, und nicht in einer Weise, die ungerechtfertigte nachteilige Auswirkungen auf ihn hat. 

• Organisationen sollten es vermeiden, personenbezogene Daten in einer Weise zu verarbeiten, die für die betroffenen Personen unangemessen nachteilig, unerwartet oder irreführend ist. Die konsequente Verbesserung der statistischen Genauigkeit der Ergebnisse eines KI-Systems ist eine Möglichkeit, die Einhaltung des Grundsatzes der Fairness zu gewährleisten. 

Wie sollten Unternehmen die Sicherheit und die Datenminimierung bei KI bewerten? 

• Bei der Verarbeitung personenbezogener Daten müssen die Organisationen ein angemessenes Sicherheitsniveau gegen unbefugte oder unrechtmäßige Verarbeitung, versehentlichen Verlust, Zerstörung oder Beschädigung gewährleisten. 

• Die von einer Organisation ergriffenen Sicherheitsmaßnahmen sollten in einem angemessenen Verhältnis zum Umfang und zur Art der Risiken stehen, die sich aus den spezifischen Verarbeitungstätigkeiten ergeben. 

• Zur Sicherung der Schulungsdaten sollten die technischen Teams alle Bewegungen und die Speicherung personenbezogener Daten aufzeichnen und dokumentieren. Außerdem sollten alle Zwischendateien, die nicht mehr benötigte personenbezogene Daten enthalten, gelöscht werden. 

• Unabhängig davon, ob KI-Systeme intern, extern oder in einer Kombination aus beidem entwickelt werden, müssen Unternehmen sie auf Sicherheitsrisiken prüfen. 

• Das Personal muss mit den notwendigen Fähigkeiten und Kenntnissen ausgestattet sein, um Sicherheitsrisiken zu begegnen. 

Wie gewährleisten Organisationen die Rechte des Einzelnen in ihren KI-Systemen? 

• Die Datenschutzgesetze gewähren Einzelpersonen mehrere Rechte in Bezug auf ihre personenbezogenen Daten. Im Kontext der KI gelten diese Rechte immer dann, wenn personenbezogene Daten in irgendeiner Phase der Entwicklung und des Einsatzes eines KI-Systems verwendet werden. 

• Das Recht auf Berichtigung kann zum Beispiel für personenbezogene Daten gelten, die zum Training eines KI-Systems verwendet werden. Je wichtiger die Genauigkeit dieser Daten ist, desto mehr Aufwand sollten Organisationen betreiben, um die Richtigkeit der Daten zu überprüfen und sie erforderlichenfalls zu berichtigen. 

• Organisationen können auch Anträge auf die Löschung personenbezogener Daten im Rahmen von Schulungsdaten erhalten. Obwohl das Recht auf Löschung nicht absolut ist, müssen solche Anträge berücksichtigt werden, es sei denn, die Daten werden aufgrund einer gesetzlichen Verpflichtung oder einer öffentlichen Aufgabe verarbeitet. 

• Um Fairness und Transparenz zu gewährleisten, müssen Organisationen Einzelpersonen darüber informieren, ob ihre personenbezogenen Daten zum Training eines KI-Systems verwendet werden. Diese Informationen sollten zum Zeitpunkt der Datenerhebung bereitgestellt werden. 

Kontaktieren Sie uns - Anwälte für AI und Datenschutz 

Sali Zaher, Handelsrechtliche Streitigkeiten Associate, kann bei Streitigkeiten im Zusammenhang mit KI und Datenschutz helfen. Sollten Sie Fragen zu diesem Thema haben, wenden Sie sich bitte an Sali Zaher per E-Mail an S.Zaher@rfblegal.co.uk oder per Telefon unter 020 7467 5766.