Künstliche Intelligenz – Datenschutz als Hemmschuh?

Der Einsatz Künstlicher Intelligenz (KI) ist bereits heute aus unserem Alltag nicht mehr wegzudenken: Nicht nur beim automatisierten Fahren oder in der Robotik, auch in der medizinischen Forschung, z. B. zur Auswertung großer Datenmengen im Rahmen der Genomforschung, zeigt sich ihr Potenzial. KI tangiert dabei eine Vielzahl an Rechtsgebieten, etwa die Frage, wem die Rechte an den oftmals nicht-personenbezogenen Verarbeitungsergebnissen zustehen sollen. Markus Häuser, Partner der Wirtschaftskanzlei CMS, gibt einen Überblick.

Angesichts der zahlreichen Anwendungsgebiete überrascht es nicht, dass KI als Megatrend gilt und auch im politischen Diskurs zunehmend an Relevanz gewinnt. So wurde kürzlich eine Enquete-Kommission „Künstliche Intelligenz – Gesellschaftliche Verantwortung und wirtschaftliche, soziale und ökologische Potenziale“ eingesetzt und auch die EU-Kommission hat bereits im April 2018 ein europäisches Konzept zur Förderung von Investitionen und Entwicklung ethischer Leitlinien beim Einsatz von KI veröffentlicht.

KI tangiert dabei eine Vielzahl an rechtlichen Themengebieten, wie etwa die Frage, wem die Rechte an den oftmals nicht-personenbezogenen Verarbeitungsergebnissen zustehen sollen oder wie beim Einsatz von KI Transparenz erreicht werden kann. Auch ist die Frage nach einer Datenherrschaft nach wie vor ungeklärt. Dieser Frage soll sich, insbesondere auch im Kontext von KI, ab dem 5.9.18 die Datenethikkommission der Bundesregierung widmen. Jedoch können sich bereits heute Transparenzpflichten aus der Datenschutzgrundverordnung (DSGVO) ergeben. Diese Pflichten sollen von der Enquete-Kommission weiter evaluiert werden, um einen „effektive[n] Schutz gegen Verzerrungen, Diskriminierungen, Manipulationen oder sonstige missbräuchliche Nutzungen insbesondere beim Einsatz von Algorithmen-basierten Prognose- und Entscheidungssystemen“ zu erreichen.

Transparenz, Erklärbarkeit und Überprüfbarkeit
„Transparenz“ (im weiteren Sinne) besteht laut den „2018 AI Predictions“ (Prognosen für die Entwicklung von KI im Jahr 2018) der Beratungsgesellschaft PwC dabei aus den Stufen der „Transparenz“ (im engeren Sinne), der „Erklärbarkeit“ und der „Überprüfbarkeit“ bzw. „Nachweisbarkeit“. Unter „Transparenz“ (im engeren Sinne) wird eine an die Allgemeinheit gerichtete abstrakte Beschreibung der einem KI-Algorithmus zugrundeliegenden Prinzipien und Gesetzmäßigkeiten verstanden. Mit „Erklärbarkeit“ wird die Darlegung der einer konkreten automatisierten Einzelentscheidung zugrundeliegenden Entscheidungsgründe bezeichnet. „Überprüfbarkeit“ bzw. „Nachweisbarkeit“ bedeutet letztlich, dass automatisierte Einzelentscheidungen auch mathematisch überprüft, also nachgerechnet werden können sollen.

Während die Herstellung von Transparenz beim Einsatz von KI generell begrüßenswert und auch geboten ist, muss dennoch beachtet werden, dass dies auf der Kehrseite stets mit einem Eingriff in Betriebs- und Geschäftsgeheimnisse verbunden sein kann. Fraglich ist daher, welches Maß an Transparenz die seit Ende Mai 2018 geltende DSGVO heute bereits fordert.

Neue Pflichten nach DSGVO

Die DSGVO sieht Transparenzpflichten beim Einsatz von KI dann vor, wenn eine so genannte „automatisierte Entscheidungsfindung“ zum Einsatz kommt. Dies ist der Fall, wenn eine Entscheidung ausschließlich auf Grund einer automatisierten Verarbeitung von Persönlichkeitsmerkmalen getroffen wird und diese Entscheidung gegenüber einem Betroffenen rechtliche Wirkung entfalten oder diesen in ähnlicher Weise erheblich beeinträchtigen kann. So könnte ein KI-Algorithmus verwendet werden, um den Versicherungs- oder Kredit-Score eines Betroffenen auf Grund von Persönlichkeitsmerkmalen, wie z. B. Einkommen oder Gesundheitszustand, zu berechnen.

In solchen Fällen ist der Verantwortliche nach der DSGVO verpflichtet, den Betroffenen über die Tragweite und die angestrebten Auswirkungen der Datenverarbeitung sowie über die involvierte Logik in aussagekräftiger Weise aufzuklären. In welcher Intensität und in welchem Ausmaß dies zu erfolgen hat, ist jedoch noch nicht umfassend geklärt.

Zumindest die Frage, ob hierbei auch etwaige Berechnungsformeln offengelegt werden müssen, muss dabei aber verneint werden. Dies würde letztendlich den Wortlaut der Vorschriften überstrapazieren, die lediglich aussagekräftige Informationen „über“ die involvierte Logik fordern.

Schwieriger zu beantworten ist dagegen die Frage, ob die Transparenzpflichten der DSGVO auch die Mitteilung von konkreten Entscheidungsgründen im jeweiligen Einzelfall fordern, z. B. bei der Frage, welche Faktoren zu einer konkreten Entscheidung geführt haben. Auch hierbei ist zweifelhaft, ob eine dahingehende Auskunftspflicht tatsächlich aus dem Wortlaut der Vorschriften gefolgert werden kann.

Fazit

Derzeit bestehen nach DSGVO nur abstrakte Informationspflichten. Die zugrundeliegenden KI-Algorithmen müssen gegenüber dem Betroffenen lediglich deskriptiv erläutert werden. Hierin ist eher keine Gefahr für die Betriebs- und Geschäftsgeheimnisse von KI-Betreibern und KI-Herstellern zu sehen. Sollen diese Transparenzpflichten zukünftig erweitert werden, so ist dies aus Betroffenensicht zwar generell begrüßenswert. Gleichwohl müssen dabei jedoch die gegen-überliegenden Interessen, insbesondere der Schutz von Know-how, in angemessener Weise berücksichtigt werden.