Die europäische Datenschutz-Organisation Noyb hat am 29.4.2024 bei der österreichischen Datenschutzbehörde eine Beschwerde gegen OpenAI eingelegt. In der Beschwerde fordert Noyb die Behörde zu einer Untersuchung der Datenverarbeitungspraktiken von OpenAI auf. Dabei geht es vor allem um die Frage, welche Maßnahmen das Unternehmen zur Sicherstellung der Richtigkeit persönlicher Daten getroffen hat.
Praxis-Info!
Hintergrund
Befragt zu einer Person des öffentlichen Lebens generierte ChatGPT verschiedene Antworten, in denen u.a. ein falsches Geburtsdatum der Person angegeben wurde. Das Geburtsdatum der Person ist nicht öffentlich bekannt, ChatGPT scheint hier die Lücke „kreativ“ zu füllen. Dabei spricht man auch von Halluzination, also dem Erfinden von Sachverhalten.
Im Zusammenhang mit persönlichen Daten verstößt eine solche Halluzination aus Sicht von Noyb gegen das europäische Datenschutzrecht. Gemäß Art. 5 Abs. 1 Buchst. d DS-GVO (EU-Datenschutz-Grundverordnung) müssen gespeicherte personenbezogene Daten „… sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein“. Laut Art. 16 DS-GVO steht der betroffenen Person das Recht auf Berichtigung falscher Information zu. Gleichzeitig haben die betroffenen Personen nach Art. 15 DS-GVO ein Auskunftsrecht darüber, welche personenbezogenen Daten gespeichert sind und wie diese verwendet werden.
Im Ausgangsfall hat OpenAI – das Unternehmen hinter dem bekannten Large Language Model ChatGPT (LLM – „Großes Sprachmodell“, sog. generative Künstliche Intelligenz) – keine Auskünfte über die vorhandenen Daten gegeben. Insbesondere hat OpenAI nicht offengelegt, welche Daten dazu verwendet worden sind, um ChatGPT zu trainieren. OpenAI sieht sich auch nicht in der Lage, das Halluzinieren zu stoppen. Zwar könnte eine Sperre hinterlegt werden. Doch würde diese nicht nur die falschen Informationen, sondern sämtliche Informationen zu der Person betreffen. OpenAI argumentiert, dass die betroffene Person eine Person des öffentlichen Lebens sei und daher mit einer solchen Berichterstattung leben muss. Die falschen Informationen seien durch das Recht auf Meinungsfreiheit gedeckt.
Praxishinweis:In der Beschwerde wird deutlich, dass ChatGPT gegen mehrere Artikel der DS-GVO verstößt. Der Fall zeigt, dass den Aussagen von ChatGPT nicht immer zu trauen ist. Gleichzeitig wird auch deutlich: Der Einsatz von LLMs – insbesondere im Steuer- und Lohnbuchhaltungsbereich – ist mit einer Reihe von Herausforderungen konfrontiert. Gerade in diesen Bereichen sind in der Regel mehrere personenbezogene Daten vorhanden – Name und Geburtsdatum, Religionszugehörigkeit, Familienstand etc. Bei Einsatz eines LLM muss sichergestellt werden, dass diese Daten richtig sind. Zum einen muss daher eine Nachverfolgbarkeit gegeben sein – d.h., es muss sich nachprüfen lassen, ob die Daten richtig verarbeitet worden sind. Zum anderen muss sichergestellt werden, dass Berichtigungen der Daten vollständig vom LLM übernommen werden. |
Christian Thurow, Dipl.-Betriebsw. (BA), Senior Business Audit Manager, London (E-Mail: c.thurow@thurow.co.uk)
BC 5/2024
BC20240521