KI-Innovation in Europa erfordert eine ausgewogene und risikobasierte Interpretation der DSGVO
Am 5. November nahm das ITI am Stakeholder-Workshop des Europäischen Datenschutzausschusses (EDPB) zu KI-Modellen teil. Der Workshop sollte die Stellungnahme des EDPB zur Verwendung personenbezogener Daten für KI-Modelle informieren, die vor Ende des Jahres erwartet wird. Im Vorfeld des Workshops schloss sich ITI 14 weiteren Branchenverbänden in Eine gemeinsame Erklärung (öffnet in einem neuen Tab), in der der EDPB aufgefordert wird, bei der Datenverarbeitung für die Entwicklung und den Einsatz von KI einen ausgewogenen, risikobasierten und innovationsfreundlichen Ansatz zu verfolgen.
Unternehmen müssen in der Lage sein, auf personenbezogene Daten zuzugreifen und diese für die Entwicklung und den Einsatz innovativer und transformativer KI-Technologien in Europa zu verwenden. Ein solcher Zugang ist für die Ziele der digitalen Transformation und der Wettbewerbsfähigkeit der EU von entscheidender Bedeutung. Die Stellungnahme muss anerkennen, dass dies in einer Weise geschehen kann, die verhältnismäßig, risikobasiert und mit der DSGVO in Einklang steht.
Zu diesem Zweck teilte ITI die folgenden Empfehlungen:
- Berechtigtes Interesse ist eine angemessene Rechtsgrundlage für KI-Modelltraining
Der EDPB sollte anerkennen, dass berechtigtes Interesse eine angemessene und robuste Rechtsgrundlage ist für die Verarbeitung personenbezogener Daten für die Ausbildung von KI-Modellen, wie sie auch zuvor von anderen europäischen Aufsichtsbehörden wie der französischen Datenschutzbehörde anerkannt wurden.
KI-Modelle haben das Potenzial, Gesellschaft, Unternehmen und Einzelpersonen erheblich zu nutzen. KI kann die Produktivität steigern, das Wirtschaftswachstum ankurbeln, wissenschaftliche Entdeckungen und das Gesundheitswesen unterstützen und transformative Anwendungsfälle ermöglichen. Diese Überlegungen können dazu beitragen, den legitimen Zinssaldo zugunsten des Controllers zu kippen.
Natürlich wird dies möglich sein, wenn die Umstände der Verarbeitung bewertet werden und wenn nötig die entsprechenden Sicherheitsvorkehrungen getroffen werden. Wichtig ist, dass die Meinung beachten sollte, dass das kommerzielle Ziel der Entwicklung eines KI-Modells ein berechtigtes Interesse nicht verhindern sollte. Nach Auffassung des Gerichtshofs der Europäischen Union kann ein breites Spektrum von Interessen als legitim angesehen werden, auch solche mit kommerzieller Natur.
Schließlich: In der Stellungnahme sollte die Zustimmung nicht als bevorzugte Rechtsgrundlage betrachtet werden. Angesichts des Umfangs der Daten, die für die meisten KI-Modelle benötigt werden, wäre die Einholung einer Zustimmung unpraktisch, unverhältnismäßig und würde zu einer verringerten Repräsentativität der Datensätze führen.
- KI-Modelle sind keine durchsuchbaren Datenbanken mit personenbezogenen Daten
KI-Modelle sind eine mathematische Darstellung statistischer Muster. Sie sind nicht dazu gedacht, sich Informationen über bestimmte Personen zu merken.Einmal ausgebildet, sind sie nicht durchsuchbare Datenbank mit personenbezogenen Daten.
Die Stellungnahme des EDPB sollte diese technische Realität widerspiegeln. Wenn ein KI-Modell trainiert wird, werden die Trainingsdaten in numerische „Token unterteilt. Zum Beispiel würden Token im Fall eines LLM Wörter, ihre Bedeutung und Beziehungen darstellen (z. B. wird das Wort Hund mit "Tier", aber nicht mit "Pflanze" assoziiert). Das Modell führt mathematische Operationen durch, um diese Token zu korrelieren, und lernt Korrelationen in Form von numerischen Gewichten. Wenn das Modell aufgefordert wird, liefert es dann eine Ausgabe, die die wahrscheinlichste Antwort auf die Aufforderung eines Benutzers voraussagt, basierend auf den Mustern und Korrelationen, die es gelernt hat. Zum Beispiel würden Token im Fall eines LLM Wörter, ihre Bedeutung und Beziehungen darstellen (z. B. wird das Wort Hund mit "Tier", aber nicht mit "Pflanze" assoziiert).
Als solches verarbeitet das Modell selbst keine personenbezogenen Daten im Sinne von Artikel 4 der DSGVO, wie auch von der Diskussionspapier (öffnet in einem neuen Tab) auf Large Language Models (LLMs) der Hamburger Datenschutzbeauftragten. Wenn personenbezogene Daten während der Schulung oder des Einsatzes des Modells verarbeitet werden, erfolgt dies in Übereinstimmung mit der DSGVO.
- Zugriff auf eine Vielzahl von Daten ist für robuste KI erforderlich
Die Stellungnahme sollte anerkennen, dass Die Verarbeitung einer Vielzahl von Daten - einschließlich Daten zu sensiblen Themen - ist von grundlegender Bedeutung, um robuste und repräsentative KI-Modelle zu erreichen. die die kulturelle, geografische und sprachliche Vielfalt Europas widerspiegeln.
Entscheidend ist, dass die Möglichkeit, Daten zu sensiblen Themen – also Informationen zu sensiblen Attributen (wie Geschlecht oder Religion), aber außerhalb des Anwendungsbereichs von Artikel 9 der DSGVO – rechtlich verarbeiten zu können, für Unternehmen wichtig sein wird, um potenzielle Verzerrungen zu identifizieren und zu mindern – was im EU-KI-Gesetz vorgeschrieben ist.
Anstatt sich auf die Einschränkung der Nutzung von Daten zu konzentrieren, was negative Auswirkungen auf Unternehmen und Einzelpersonen haben wird, sollte sich die Stellungnahme auf die Identifizierung und Umsetzung von Sicherheitsvorkehrungen konzentrieren, um die sichere und rechtmäßige Verarbeitung personenbezogener Daten zu gewährleisten.
- Vielfalt von KI-Modellen und Komplexität von Wertschöpfungsketten erkennen
Die genauen Sicherheitsvorkehrungen für ein bestimmtes KI-Projekt hängen von der Art des Modells und der Art der verarbeiteten Daten ab. Akteure in der gesamten KI-Wertschöpfungskette – wie Deployer und Entwickler – werden ebenfalls unterschiedliche Rollen und Risikomanagement-Verantwortungen haben. Aus diesem Grund sollte die Stellungnahme nicht vorschreibend sein und einen flexiblen Ansatz beibehalten.
Unternehmen können verschiedene Sicherheitsvorkehrungen in verschiedenen Phasen der Wertschöpfungskette implementieren, um die rechtmäßige Verarbeitung von Daten zu gewährleisten. Beispielsweise können Data-Governance-Maßnahmen, Deduplizierung, Minimierung oder Pseudonymisierung hilfreich sein, um spezifische Datenschutzrisiken in der Schulungsphase zu adressieren. Andererseits können Maßnahmen wie Eingabeaufforderungs- und Ausgabefilter dazu beitragen, generative KI-Risiken in der Bereitstellungsphase anzugehen.
Die Industrie arbeitet kontinuierlich daran, sich zu verbessern geeignete Sicherheitsvorkehrungen, Und wir hoffen, unsere Zusammenarbeit mit den Aufsichtsbehörden fortzusetzen, um den Stand der Technik weiter zu erklären. Ein starrer und vorschriftsmäßiger Ansatz kann die Bemühungen um die Entwicklung und Einführung neuer Sicherheitsvorkehrungen untergraben.
- Rechte der betroffenen Person können Beschränkungen unterliegen
Die Rechte der betroffenen Personen sind für den Schutz der betroffenen Personen von grundlegender Bedeutung. Jedoch die Stellungnahme sollte anerkennen, dass Rechte der betroffenen Person Beschränkungen unterliegen könnensowohl aus technischer als auch aus rechtlicher Sicht.
Zum Beispiel wäre es technisch unmöglich, ein Recht auf Berichtigung oder Löschung der Daten nach der Schulung des Modells umzusetzen, ohne das Modell neu zu schulen. Dies wäre unverhältnismäßig, kostspielig und ressourcenintensiv. Ebenso wäre es technisch unmöglich, Daten über eine bestimmte Person zu lokalisieren und zu entfernen, nachdem die Daten transformiert wurden und Teil eines Trainingsdatensatzes werden.
In diesen Fällen sollten alternative Maßnahmen zum Schutz der betroffenen Personen in Betracht gezogen werden. Output-Level-Filter können beispielsweise eine effektive und verhältnismäßige Lösung sein, um Inhalte zu entfernen, die von den betroffenen Personen stammen.