Irlands DPC stellt Transparenzprobleme bei 180 KI-Produkten und -Diensten fest

Irlands Datenschutzkommission (DPC) zufolge bleiben mangelhafte Transparenz und Unsicherheit über die Rechtsgrundlage für das Training von KI wiederkehrende Probleme. Das geht aus einer Prüfung von rund 180 KI-Produkten und -Diensten hervor, die zwischen 2021 und 2025 entwickelt oder eingesetzt wurden. Die Untersuchung umfasste Tausende Seiten mit Risikoanalysen, technischen Maßnahmen und Unterlagen zur Einhaltung datenschutzrechtlicher Vorgaben von Organisationen, die KI entwickeln oder nutzen.

Transparenz bleibt das wichtigste Problem

Die DPC erklärte, dass 72 Prozent der Entscheidungen ihrer Aufsichtsfunktion Fragen der Transparenz betrafen. Nach ihren Leitlinien müssen Datenschutzhinweise an die betroffenen Personen gerichtet und verfügbar sein, bevor ihre personenbezogenen Daten verarbeitet werden. Ein Hinweis, der nur schwer auffindbar ist, sich an die falsche Zielgruppe richtet oder sich auf eine Funktion bezieht, die Menschen tatsächlich nicht nutzen, kann diese Anforderung verfehlen.

Die Behörde wies außerdem darauf hin, dass Transparenz mit betrieblichen Interessen kollidieren kann, wenn Systeme Betrug oder illegale Aktivitäten erkennen sollen. Würden Funktionsweise oder Existenz eines solchen Systems bekannt, könnte dies Menschen helfen, die Erkennung zu umgehen. Nach Angaben der DPC beseitigen nachträgliche Erläuterungen jedoch nicht die Pflicht, vor Beginn der Verarbeitung angemessene Informationen gemäß der DSGVO bereitzustellen.

Trainingsdaten im rechtlichen Fokus

Ein weiteres wiederkehrendes Problem war die Berufung auf ein berechtigtes Interesse als Rechtsgrundlage für die Verarbeitung von Daten zum Training von KI-Systemen. Die DPC verwies auf Metas Vorhaben vom Mai 2024, KI mit personenbezogenen Daten seiner Nutzer zu trainieren. Nachdem die Behörde Empfehlungen ausgesprochen hatte, darunter das Filtern und die De-Identifizierung von Daten vor dem Training, setzte Meta diese Maßnahmen laut der Prüfung letztlich um.

Agentische KI wirft neue Fragen auf

Die DPC erklärte, sie habe sich mit fünf Verantwortlichen zu deren Einführung agentischer KI in der Europäischen Union befasst. Gemeinsame Muster seien noch nicht eindeutig erkennbar gewesen. Als anhaltende Unsicherheiten nannte die Behörde jedoch die Transparenz, den Umgang dieser Systeme mit personenbezogenen Daten, ihre Funktionsweise und mögliche Auswirkungen auf die Rechte der Nutzer.

Die Prüfung warnte außerdem davor, das Datenschutzrecht als Ersatz für umfassendere ethische oder gesellschaftliche Standards zu betrachten. Als Beispiel nannte die DPC die Erstellung nicht einvernehmlicher intimer oder sexualisierter Bilder, für die andere rechtliche oder regulatorische Rahmenwerke möglicherweise geeigneter sind.

Aufsicht über große Technologieunternehmen

Da viele große Technologieunternehmen ihren europäischen Hauptsitz in Irland haben, beaufsichtigte die DPC KI-Aktivitäten unter anderem bei Airbnb, Apple, DeepSeek, Google, LinkedIn, Meta, Microsoft, OpenAI, Pinterest, TikTok und X. Nach Angaben der Behörde führten ihre Gespräche zu Verbesserungen bei der Rechtsgrundlage, der Transparenz, der Datenminimierung und dem Schutz von Kindern.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Ireland's DPC reports a 'significant' increase in AI-related engagements