Am 15.07.2024 hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) ein Diskussionspapier zum Verhältnis der DSGVO auf Large Language Models (LLMs) veröffentlicht. Auf der Webseite des HmbBfDI heißt es:
„Zweck des Diskussionspapiers ist es, einen Debattenimpuls zu setzen und Unternehmen und Behörden bei der Bewältigung datenschutzrechtlicher Fragestellungen im Zusammenhang mit LLM-Technologien zu unterstützen. Das Papier beinhaltet eine eingehende Erläuterung der technischen Aspekte von LLMs sowie deren Bewertung im Licht der einschlägigen Rechtsprechung des Europäischen Gerichtshofs zum Begriff des personenbezogenen Datums nach der DSGVO. Dabei unterscheidet der HmbBfDI entsprechend der am 2. August 2024 in Kraft tretenden KI-Verordnung zwischen einem LLM als KI-Modell (etwa GPT-4o) sowie als Bestandteil eines KI-Systems (zum Beispiel ChatGPT).
Die wesentlichen Thesen des Papiers lauten:
- Die bloße Speicherung eines LLMs stellt keine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO dar. Denn in LLMs werden keine personenbezogenen Daten gespeichert. Soweit in einem LLM-gestützten KI-System personenbezogene Daten verarbeitet werden, müssen die Verarbeitungsvorgänge den Anforderungen der DSGVO entsprechen. Dies gilt insbesondere für den Output eines solchen KI-Systems.
- Mangels Speicherung personenbezogener Daten im LLM können die Betroffenenrechte der DSGVO nicht das Modell selbst zum Gegenstand haben. Ansprüche auf Auskunft, Löschung oder Berichtigung können sich jedoch zumindest auf Input und Output eines KI-Systems der verantwortlichen Anbieter:in oder Betreiber:in beziehen.
- Das Training von LLMs mit personenbezogenen Daten muss datenschutzkonform erfolgen. Dabei sind auch die Betroffenenrechte zu beachten. Ein gegebenenfalls datenschutzwidriges Training wirkt sich aber nicht auf die Rechtmäßigkeit des Einsatzes eines solchen Modells in einem KI-System aus.
Auch die Folgen dieser Thesen für die Praxis werden beleuchtet. Die Veröffentlichung dieses Diskussionspapiers will einen Beitrag zur fachlichen Auseinandersetzung mit den aufgeworfenen Fragen leisten.“
Das Diskussionspapier in voller Länge finden Sie hier.