Einführung
In der heutigen digitalen Ära spielt die Künstliche Intelligenz (KI) eine immer größere Rolle in unserem Alltag. Von personalisierten Empfehlungen auf unseren Smartphones bis hin zu komplexen Algorithmen. Sie sollen uns dabei helfen, Muster in großen Datenmengen zu erkennen – die Möglichkeiten scheinen endlos. Besonders im sozialen Bereich kann die KI dazu beitragen, Prozesse zu optimieren, Ressourcen effizienter zu nutzen und letztlich die Lebensqualität der Menschen zu verbessern. Doch mit der zunehmenden Verbreitung von KI-Technologien wächst auch die Notwendigkeit, den Datenschutz zu gewährleisten. In Deutschland, einem Land, das für seine strengen Datenschutzgesetze bekannt ist, ist dies besonders relevant.
Der Schutz personenbezogener Daten ist nicht nur gesetzlich vorgeschrieben, sondern auch ein grundlegendes Menschenrecht. Spätestens mit der Einführung der DSGVO haben sich alle Unternehmen umfassend mit dem Thema Datenschutz beschäftigt. Im Sozialwesen werden häufig Gesundheitsdaten verarbeitet. Diese Daten bedürfen einen besonderen Schutz und dürfen nie leichtfertig verarbeitet oder Datenverarbeitungsprogrammen zugeführt werden.
In diesem Blogbeitrag werden wir uns mit den Datenschutzaspekten bei der Verwendung von Künstlicher Intelligenz im sozialen Bereich beschäftigen. Wir werden die Herausforderungen und Möglichkeiten diskutieren, die sich aus dem Einsatz von KI ergeben, und dabei insbesondere den deutschen Kontext berücksichtigen. Unser Ziel ist es, ein Bewusstsein für die Bedeutung des Datenschutzes in diesem aufstrebenden Bereich zu schaffen und Lösungsansätze aufzuzeigen. Es gilt die Vorteile der KI nutzen zu können, ohne dabei unsere Privatsphäre zu gefährden.
Grundlagen des Datenschutzes
Die Grundprinzipien des Datenschutzes sind in der Datenschutz-Grundverordnung (DSGVO) festgelegt und umfassen:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.
- Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.
- Datenminimierung: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
- Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein.
- Speicherbegrenzung: Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
- Integrität und Vertraulichkeit: Personenbezogene Daten müssen auf eine Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet.
In Deutschland gibt es einige besondere Herausforderungen im Zusammenhang mit dem Datenschutz. Seit die DSGVO im Mai 2018 in Kraft getreten ist, wurden Regelungen konkretisiert, erste Urteile gesprochen und die Datenschutzlandschaft durch zusätzliche Gesetze ergänzt. Eine der größten Herausforderungen ist die Verarbeitung riesiger Datenmengen durch Künstliche Intelligenz (KI). Die KI verarbeitet enorme Mengen an Daten – mitunter auch personenbezogener Natur. Das allein bietet bereits ausreichend Zündstoff für die Einhaltung des Datenschutzes bei künstlicher Intelligenz.
Die Standards, die eingehalten werden müssen, sind in der DSGVO und im Bundesdatenschutzgesetz (BDSG) festgelegt. Sie betreffen unter anderem die Rechtmäßigkeit der Datenverarbeitung, die Einhaltung der Grundsätze der Datenminimierung und Zweckbindung, die Sicherheit der Daten und die Rechte der betroffenen Personen.
Anwendung von KI im sozialen Bereich
Bereits in einen der vorigen Beiträge wurde eine kleine Auswahl an Anwendungsbeispielen vorgestellt. Dabei wurde bisher auf die Teilhabe am Arbeitsleben und die Nutzung von Sprachmodellen eingegangen. Es lohnt sich einen Blick zurückzuwerfen, um die nachfolgenden Punkte noch besser in ihrer Bedeutung verstehen zu können.
Datenschutzprobleme bei der Verwendung von KI
Die Gefahren, die sich bei der Verwendung von KI ohne Berücksichtigung von Datenschutzaspekten ergeben, sind vielfältig. Sie reichen von der Beeinträchtigung der Privatsphäre und der Diskriminierung durch voreingenommene Algorithmen bis hin zu Sicherheitsrisiken und dem Missbrauch von Daten. Ein weiteres Risiko besteht darin, dass sensible Informationen in falsche Hände geraten und für betrügerische Zwecke verwendet werden. Daher ist es wichtig, Datenschutzmaßnahmen zu implementieren, um den Schutz personenbezogener Daten zu gewährleisten.
Es gibt verschiedene Beispiele für Datenschutzverletzungen durch KI, typische Szenarien sind:
- Unzureichende Sicherheitsvorkehrungen: Bei der Entwicklung von KI-Systemen können fehlende oder unzureichende Sicherheitsvorkehrungen zu Datenschutzverletzungen führen.
- Unzureichende Anonymisierung: Wenn personenbezogene Daten durch KI-Systeme verarbeitet werden, kann eine unzureichende Anonymisierung zu Datenschutzproblemen führen.
- Fehlerhafte Datenübermittlung: Fehler bei der Datenübermittlung zwischen verschiedenen KI-Systemen können ebenfalls zu Datenschutzverletzungen führen.
- Unberechtigter Zugriff: Hacker oder böswillige Dritte können auf KI-Systeme zugreifen und dadurch Datenschutzverletzungen verursachen.
- Menschliche Fehler: Unbeabsichtigtes Veröffentlichen von personenbezogenen Daten kann ebenfalls zu Datenschutzverletzungen führen.
Ein spezifisches Beispiel für eine Datenschutzverletzung durch den Einsatz künstlicher Intelligenz ist die Verwendung von Tools, die den Gefühlszustand von Klienten*innen oder Mitarbeiter*innen feststellen. Solche Tools können personenbezogene Daten auf unzulässige Weise verarbeiten und dadurch Datenschutzverletzungen verursachen. Dadurch dass die Verarbeitung der Daten häufig in einer Art „Blackbox“ geschieht, lassen sich Betroffenenrechte (u.a. Recht auf Auskunft, Löschung und Korrektur) nur schwer umsetzen.
Es ist wichtig zu beachten, dass die Datenschutzgesetze, einschließlich der DSGVO und des BDSG, strenge Anforderungen an die Verarbeitung personenbezogener Daten durch KI stellen. Unternehmen, die KI einsetzen, müssen daher sicherstellen, dass sie diese Anforderungen erfüllen, um Datenschutzverletzungen zu vermeiden.
Lösungsansätze
Basierend auf den aufgezeigten Risiken, gibt es eine Reihe von Maßnahmen, um Datenschutz zu gewährleisten.
- Sicherheitsvorkehrungen: Unternehmen sollten angemessene Sicherheitsvorkehrungen treffen, um ihre KI-Systeme vor unberechtigtem Zugriff zu schützen.
- Anonymisierung von Daten: Bei der Verarbeitung personenbezogener Daten durch KI-Systeme ist eine ausreichende Anonymisierung der Daten wichtig.
- Schulung der Mitarbeiter*innen: Mitarbeiter*innen sollten in Bezug auf Datenschutz und den Umgang mit KI-Systemen geschult werden.
- Einhaltung von Datenschutzbestimmungen: Unternehmen müssen die geltenden Datenschutzgesetze und -vorschriften einhalten, einschließlich der DSGVO und des BDSG.
- Überwachung der Vorschriften: Unternehmen sollten die Entwicklung von Vorschriften und guten Praktiken im Zusammenhang mit dem Einsatz von KI-Tools kontinuierlich überwachen.
- Einsatz von KI zur Verbesserung der Datensicherheit: KI kann auch dazu beitragen, Bedrohungen schneller zu erkennen und darauf zu reagieren, sowie sie zu antizipieren und zu verhindern, um die allgemeine Datensicherheit zu verbessern.
Es ist wichtig zu beachten, dass die Einhaltung dieser Maßnahmen eine fortlaufende Aufgabe ist und dass Unternehmen proaktiv sein müssen, um Datenschutzrisiken zu minimieren
Unterstützung durch den Einsatz von Technologien
Es gibt allerdings auch verschiedene Technologien und Methoden, die zur Verbesserung des Datenschutzes bei der Verwendung künstlicher Intelligenz eingesetzt werden können.
So können Datenanonymisierung und Pseudonymisierung dazu beitragen, die Identifizierbarkeit von Daten zu reduzieren. Dazu verändern sie personenbezogene Daten so, dass sie nicht mehr direkt mit einer bestimmten Person in Verbindung gebracht werden können. Durch den Einsatz von differential Privacy können statistische Daten über eine Population gesammelt werden, ohne die Privatsphäre der einzelnen Mitglieder dieser Population zu gefährden. Mit der Methode des federated Learning werden Modelle auf den Geräten der Benutzer*innen trainiert und nur die Modellaktualisierungen an den Server gesendet, nicht die Rohdaten. Eine weitere Technik ist die homomorphe Verschlüsselung. Diese Technik ermöglicht es, Berechnungen auf verschlüsselten Daten durchzuführen, ohne sie zu entschlüsseln. Dies kann dazu beitragen, die Privatsphäre der Daten während der Verarbeitung zu schützen. Und die secure multi-party Computation (SMPC): ermöglicht es mehreren Parteien, gemeinsam Berechnungen auf ihren Daten durchzuführen, ohne die Daten selbst preiszugeben.
Die Auswahl der geeigneten Technologie hängt stets von den spezifischen Anforderungen und dem Kontext des KI-Projekts. Es ist daher ratsam, eine gründliche Risikobewertung durchzuführen und gegebenenfalls Expertenrat einzuholen.
Zukunftsausblick
Auf unterschiedlichen Ebenen gibt es bereits Leitlinien zum Verantwortungsvollen Umgang mit KI. Neben ethischen Aspekten spielen dabei auch stets die datenschutzrechtlichen Bestimmungen eine entscheidende Rolle. So gibt es von der UNESCO eine Empfehlung zur Ethik Künstlicher Intelligenz, speziell zu Bedingungen zur Implementierung in Deutschland. Auch das BMAS hat bereits eine Selbstverpflichtung für den KI-Einsatz erstellt. Entscheidende Eckpunkte sind dabei:
- Menschliches Handeln und Aufsicht: KI-Systeme sollten so gestaltet sein, dass sie menschliche Entscheidungen ergänzen und nicht ersetzen. Es sollte immer eine menschliche Aufsicht geben, um sicherzustellen, dass die KI-Systeme wie beabsichtigt funktionieren.
- Transparenz: Die Funktionsweise von KI-Systemen sollte transparent sein. Dies bedeutet, dass sowohl die Daten, die zur Schulung der KI verwendet werden, als auch die Algorithmen, die zur Entscheidungsfindung verwendet werden, für die Benutzer*innen verständlich sein sollten.
- Vielfalt, Nichtdiskriminierung und Fairness: KI-Systeme sollten so gestaltet sein, dass sie Vielfalt fördern und Diskriminierung vermeiden. Dies bedeutet, dass sie nicht voreingenommen sein sollten und alle Benutzer*innen unabhängig von ihrem Geschlecht, ihrer Rasse, ihrer Religion oder anderen persönlichen Merkmalen fair behandeln sollten.
- Gesellschaftliches und ökologisches Wohlergehen: KI-Systeme sollten so gestaltet sein, dass sie das gesellschaftliche und ökologische Wohlergehen fördern. Dies bedeutet, dass sie dazu beitragen sollten, soziale Probleme zu lösen und nicht zur Verschärfung von Ungleichheiten beizutragen.
- Datenschutz: KI-Systeme sollten so gestaltet sein, dass sie die Privatsphäre der Benutzer*innen respektieren und schützen. Dies bedeutet, dass sie nur die notwendigen Daten sammeln und verarbeiten sollten und dass sie geeignete Maßnahmen ergreifen sollten, um die Daten vor unbefugtem Zugriff zu schützen.
- Verantwortung: Die Entwickler und Betreiber von KI-Systemen sollten die Verantwortung für die Auswirkungen ihrer Systeme übernehmen. Dies bedeutet, dass sie Maßnahmen ergreifen sollten, um negative Auswirkungen zu minimieren und dass sie zur Rechenschaft gezogen werden sollten, wenn ihre Systeme Schaden anrichten.
AI-Act
Der AI-Act ist das erste umfassende Gesetz zur Künstlichen Intelligenz (KI) von einem großen Regulierungsorgan. Dieses Gesetz wurde von der Europäischen Union (EU) vorgeschlagen und zielt darauf ab, die Risiken der KI zu adressieren und Europa in eine führende Rolle auf globaler Ebene zu bringen.
Die wichtigsten Aspekte des AI-Act sind:
- Risikokategorien: Das Gesetz teilt KI-Anwendungen in verschiedene Risikogruppen ein.
- Anforderungen und Verpflichtungen: Es stellt klare Anforderungen und Verpflichtungen für KI-Entwickler und -Anwender bezüglich spezifischer Anwendungen von KI.
- Datenschutz: Es legt besonderen Wert auf den Schutz personenbezogener Daten und die Einhaltung der Datenschutzgesetze.
Der endgültige Entwurf des AI-Act wurde im Jahr 2024 von den 27 EU-Mitgliedsstaaten einstimmig gebilligt. Dieses Gesetz ist wahrscheinlich das Gesetz, das in Kraft treten wird