Der Datenschutzbeauftragte schaut auf KI

Der eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat seinen Tätigkeitsbericht vorgelegt, und künstliche Intelligenz steht darin weit vorne. Das ist keine Überraschung, aber es ist ein Hinweis darauf, woran in den nächsten Monaten gemessen wird.

Das Gesetz gilt schon, auch ohne KI-Gesetz

Die Schweiz hat kein eigenes KI-Gesetz, und sie braucht für die meisten Fragen auch keines. Das revidierte Datenschutzgesetz ist auf eine KI-gestützte Bearbeitung unmittelbar anwendbar.

Wer Personendaten in ein Modell gibt, bearbeitet Personendaten, mit allem, was dazugehört: Zweckbindung, Verhältnismässigkeit, Information, Auskunftsrecht.

Drei Punkte, die konkret werden

• Kennzeichnung. Wer mit einer Maschine spricht, hat ein Recht darauf, das zu wissen, und wer einen Assistenten betreibt, muss das kenntlich machen. Das ist billig umzusetzen und wird trotzdem regelmässig vergessen, weil es beim Bauen niemandem wehtut.
• Automatisierte Einzelentscheidungen. Wird eine Entscheidung mit Rechtsfolge ganz ohne menschliches Zutun getroffen, muss die betroffene Person informiert werden und eine Überprüfung verlangen können. In der Praxis ist die sauberste Antwort darauf ein Freigabetor: Wo eine Person entscheidet, stellt sich die Frage gar nicht.
• Folgenabschätzung. Bei Bearbeitungen mit hohem Risiko ist sie Pflicht, und eine neue KI-Anwendung auf Personendaten ist fast immer ein Kandidat. Der Aufwand ist überschaubar, wenn Datenklassen, Zweck und Protokollierung ohnehin festgelegt sind. Ohne diese Vorarbeit wird die Folgenabschätzung zum Projekt.

Für den Bau ändert das nichts

Nichts davon ist neu, und genau das ist die Botschaft. Häuser, die Datenklassen, Freigabestellen und Protokolle sauber haben, müssen wegen dieses Berichts nichts umbauen. Häuser, die eine Anwendung eingeführt haben, ohne diese drei Fragen zu beantworten, werden sie jetzt beantworten müssen, nur unter Zeitdruck und mit bestehendem Betrieb.

Der Punkt, der am häufigsten fehlt

Aus unserer Erfahrung ist die Information der betroffenen Personen die grösste Lücke. Die Datenschutzerklärung einer Schule oder Gemeinde nennt Website, Formulare und Newsletter, aber selten den Assistenten, der eingehende Anliegen vorsortiert. Diese Ergänzung kostet eine Stunde und schliesst eine Lücke, die bei jeder Prüfung sofort auffällt.

Auskunftsrecht und Protokolle

Eine Frage, die in Projekten selten gestellt wird: Was passiert, wenn eine betroffene Person Auskunft über ihre Daten verlangt und diese Daten auch in KI-Protokollen vorkommen? Die Antwort lautet, dass sie dazugehören, soweit die Person darin erkennbar ist. Das ist ein weiterer Grund, Protokolle sparsam zu führen und Personenbezug nur dort aufzunehmen, wo er für den Nachweis wirklich nötig ist. Ein schlanker Nachweis ist im Ernstfall auch der handhabbarere.

Fazit: Aufsicht misst an dem, was ohnehin gute Bauweise ist

Kennzeichnen, entscheiden lassen, protokollieren, informieren: Das sind keine Auflagen gegen die Technik, sondern die Mindestanforderungen an eine Anwendung, die man verantworten kann. Wer sie erfüllt, hat mit einer Aufsicht wenig zu befürchten und mit seinen eigenen Leuten weniger Ärger.