Datenschutz trifft Künstliche Intelligenz

Stellen Sie sich vor, Sie entdecken eine Stellenanzeige, die Ihren Traumjob beschreibt und deren Anforderungsprofil Sie hundertprozentig erfüllen können. Sie investieren Zeit, Energie und Hoffnung in das Bewerbungsschreiben, das die Personalabteilung überzeugen soll. Trotzdem erhalten Sie kurze Zeit später statt einer Einladung zum Vorstellungsgespräch eine Absage. Was ist passiert? Statt eines Personalers hat ein „Roboter“ – gefüttert mit Algorithmen – Ihre Dokumente nach passenden Schlüsselwörtern durchsucht. Da Ihre Bewerbung nicht exakt die Keywords der Stellenausschreibung enthielt und ein wenig freier formuliert war, wurde Ihre Bewerbung aussortiert, auch wenn Sie unter anderen Umständen der Topkandidat gewesen wären.

Die sich hinter der Künstlichen Intelligenz (KI) verbergenden Algorithmen analysieren schneller und effektiver, durchsuchen strukturierte und unstrukturierte Daten, sortieren Bewerber nach vermeintlich objektiven Kriterien aus und kennen keine Vorurteile. Sind sie damit nicht gerechter als ein menschlicher Betrachter? Was im Ergebnis fehlt, ist der Faktor Mensch mit seiner Sozialkompetenz und emotionalen Komponente, der „um die Ecke“ denken kann, variabel bzw. anpassungsfähig ist, der sich gegebenen Situationen stellt und Entscheidungen trifft. Der Algorithmus hingegen matcht stringent nach Keywordvorgabe. Je weniger Übereinstimmung festgestellt wird, desto mangelhafter ist das Ergebnis mit der Konsequenz des Aussortierens.

Automatisierte Entscheidungsfindung durch künstliche Intelligenz hat Einzug in unseren Alltag gefunden, beispielsweise bei der Videoanalyse, Betrugsbekämpfung im Rahmen von Onlinebestellungen, der Kreditvergabe, im Bewerbungsprozess … Dennoch gibt es bisher keine allgemein anerkannte Definition des Begriffs der Künstlichen Intelligenz. Nach dem Verständnis der Bundesregierung geht es bei KI darum, „technische Systeme so zu konzipieren, dass sie Probleme eigenständig bearbeiten und sich dabei selbst auf veränderte Bedingungen einstellen können. Diese Systeme haben die Eigenschaft, aus neuen Daten zu ‚lernen‘“.

Wenn nun die Algorithmen selbstständig lernen, sind die Entscheidungen und Ergebnisse dieses Lernens nach einiger Zeit nicht mehr prüfbar oder evaluierbar. KI liefert Resultate, aber keinen Bericht, was gelernt wurde und welchen Einfluss das Gelernte auf den Output zu einem gegebenen Input hat.

Es steht nun außer Frage, dass nicht alles, was technisch möglich und wirtschaftlich interessant ist, auch umgesetzt werden darf. Das rechtlich zu verankern, ist ein Ziel der europäischen Datenschutz-Grundverordnung (DSGVO). Sie besagt zum Beispiel, dass Entscheidungen, die rechtliche Auswirkungen auf Menschen haben oder erhebliche Beeinträchtigungen mit sich bringen können, nicht alleine einer Maschine bzw. einem Algorithmus überlassen werden dürfen (Art. 13 Abs. 1 lit f, Art. 22 DSGVO). So darf etwa die Beurteilung der Kreditwürdigkeit und die folgende Kreditvergabe für einen Hauskauf nicht ausschließlich automatisch geschehen.

Wer automatisierte Verarbeitungsprozesse für personenbezogene Daten verwendet, greift in die Rechte und Freiheiten von Menschen ein und muss die strengen Datenschutzanforderungen einhalten. Hierzu zählen u. a.:

1. Richtigkeit: Daten sind regelmäßig auf den neuesten Stand zu bringen.
2. Datenminimierung: Es dürfen nicht mehr Daten erhoben werden als erforderlich sind.
3. Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden. Ein Matching gehört in der Regel nicht dazu.
4. Transparenz: Den von der Verarbeitung betroffenen Personen ist in einfacher und verständlicher Sprache zu erläutern, wie die „involvierte Logik“ rund um den Algorithmus und dessen Entscheidungsfindung funktioniert. Dieser Punkt ist problematisch, denn es stehen sich die gesetzliche Aufklärungspflicht und das Interesse des Unternehmens am Schutz seines Geschäftsgeheimnisses mit evtl. Einbuße eines Wettbewerbsvorteils gegenüber. Hinzukommt, dass ein Großteil der betroffenen Personen die Funktionsweise der Algorithmen sehr wahrscheinlich nicht nachvollziehen kann.
5. Rechenschaftspflicht: Das verantwortliche Unternehmen muss die Einhaltung der
   Grundsätze nachweisen können.

Aufgrund der Aktualität und des besonderen Risiko- und Gefährdungspotenzials haben die deutschen Aufsichtsbehörden Anfang April 2019 bei einem Treffen in Hambach aus dem geltenden Datenschutzrecht sieben Anforderungen abgeleitet, die schon jetzt bei dem Einsatz von KI eingehalten werden müssen. In der „Hambacher Erklärung“ zur Künstlichen Intelligenz werden als Regeln genannt.

1. KI darf Menschen nicht zum Objekt machen.
2. KI darf nur für verfassungsrechtlich legitimierte Zwecke eingesetzt werden und das
   Zweckbindungsgebot nicht aufheben.
3. KI muss transparent, nachvollziehbar und erklärbar sein.
4. KI muss Diskriminierungen vermeiden.
5. Für KI gilt der Grundsatz der Datenminimierung.
6. KI braucht Verantwortlichkeit.
   • KI benötigt technische und organisatorische Standards.

Künstliche Intelligenz bzw. sogenannte ADM-Systeme (ADM = Algorithmic Decision Making) bringen neue Risiken für den Datenschutz. Deshalb müssen datenschutzkonforme Standards mit detaillierten Anforderungen erarbeitet und dabei technische und organisatorische Maßnahmen berücksichtigt werden. Die Entwicklung und der Einsatz werden eine Herausforderung für Wirtschaft, Wissenschaft und die Datenschutzaufsichtsbehörden.

Umgehen kann man die Anforderungen des Datenschutzes durch das Anonymisieren personenbezogener Daten, denn dann muss die DSGVO nicht beachtet werden. Alternativ kann nach der automatisierten Lösungsfindung ein Mensch als Entscheider „zwischengeschaltet“ werden mit der Konsequenz, dass über die involvierte Logik weder informiert noch Art. 22 Abs. 1 DSGVO beachtet werden muss.