Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) Prof. Dr. Alexander Roßnagel hat das Unternehmen OpenAI aufgefordert, einen weiteren Fragenkatalog zur Datenverarbeitung beim KI-Dienst ChatGPT zu beantworten. Bereits im April hatte er zusammen mit anderen Datenschutzaufsichtsbehörden von dem US-amerikanischen Unternehmen, das ChatGPT betreibt, Informationen zu dem Dienst eingefordert, die den Datenschutz bei der Datenerhebung, beim Training und bei der Nutzung von ChatGPT betreffen. OpenAI hat daraufhin im Juni eine umfangreiche Antwort vorgelegt. Diese wurde in der Zwischenzeit von der Taskforce KI der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) ausgewertet. Sie haben zu weiteren Fragen des Datenschutzes bei den generativen Sprachmodell ChatGPT geführt.
„Wir werden weiterhin Informationen über ChatGPT sammeln und gemeinsam mit den anderen Aufsichtsbehörden in Deutschland und Europa bewerten. Sollten wir Verstöße gegen die Datenschutz-Grundverordnung feststellen, werden wir die in der Verordnung vorgesehenen Instrumente nutzen, um die Verstöße abzustellen und notfalls auch zu sanktionieren. Dabei geht es mir nicht darum, der gesellschaftlichen Bewertung von KI-Systemen vorzugreifen. Vielmehr fordere ich von amerikanischen KI-Anbietern den gleichen Datenschutz wie von europäischen Anbietern“, so Roßnagel.
Die 79 neuen Fragen betreffen weiterhin die Gewährleistung des Grundrechts- und Datenschutzes. Trotz der vorliegenden Antworten bestünden Zweifel an der Rechtskonformität der Erhebung der Daten, die für das Training des KI-Systems aus dem Web gewonnen werden, wie Roßnagel ausführt. Diese Zweifel beträfen insbesondere die Erhebung von besonderen Kategorien personenbezogener Daten wie etwa Gesundheitsdaten oder Daten zur politischen, religiösen oder sexuellen Orientierung. Zudem sei zu klären, ob die Betroffenenrechte, insbesondere die Rechte auf Korrektur, Löschung, und auf Auskunft, überhaupt rechtskonform erfüllt werden können. Schließlich scheine auch fraglich, ob die Art und Weise wie Nutzungsdaten von Nutzerinnen und Nutzern zum Nachtraining verwendet werden, im Einklang mit den Vorgaben der Datenschutz-Grundverordnung (DS-GVO) steht.
Da OpenAI keine Niederlassung in der EU unterhält, sind alle europäischen Datenschutzaufsichtsbehörden dafür zuständig, in ihrem jeweiligen örtlichen Zuständigkeitsbereich die Einhaltung der DS-GVO durch Open AI zu überwachen.
Die Fragen des HBDI sind mit anderen deutschen Aufsichtsbehörden abgestimmt. Mit der Hessischen Aufsichtsbehörde haben weitere Aufsichtsbehörden OpenAI zur Beantwortung ihrer Fragen aufgefordert. Innerhalb der EU findet eine Koordination des Umgangs mit OpenAI in einer Taskforce des Europäischen Datenschutzausschusses statt.