KI- und Datenschutz-Compliance in stürmischen Zeiten
„Drei Appelle zu mehr Mut, Sorgfalt und Selbstreflexion.“
Die vorliegende Schwerpunktausgabe befasst sich mit den Themen KI und Datenschutz. Zwei Gebiete, die zusammen gedacht werden müssen und in vielerlei Hinsicht miteinander verknüpft sind – wie mein Fachbeitrag zum Aufbau eines AI-Compliance-Management-Systems später in diesem Heft nachdrücklich zeigt. Compliance-Experten, die sich insbesondere mit diesen Bereichen befassen, müssen derzeit aber in stürmischen Gewässern navigieren.
Zentrale Anforderungen der KI-VO und DSGVO sind Transparenzpflichten – zu Recht. Das Telos dahinter: Spezifische Informationen sind die Grundlage von Kontrolle – sei es in der Ausübung von Betroffenenrechten oder Überprüfung durch Behörden. Nach einem aktuellen Beschluss des Koalitionsausschusses soll künftig ein zentrales Element für öffentliche Transparenz und Kontrolle nun aber de facto abgeschafft werden: das Informationsfreiheitsgesetz (IFG). Es ermöglicht allen Menschen, Einblick in staatliche Dokumente zu erhalten und damit das Handeln von Behörden, Parlamenten und Regierungen nachzuvollziehen und damit zu kontrollieren. Die geplante Anpassung würde diesem bewährten Instrument faktisch den Todesstoß versetzen. Das IFG nun derart zu reformieren, dass es seinen eigentlichen Zweck nicht mehr erfüllen kann, ist kurzsichtig, steigert Korruptionsrisiken und zerstört weiter das derzeit sowieso labile Vertrauen in staatliches Handeln. Dies zeigt auch der aktuelle Demokratie-Monitor der Uni Hohenheim: Demnach glaubt gut ein Viertel der Deutschen, dass Politik in ihrem Land von geheimen Mächten gesteuert werde. Eine wehrhafte und lebendige Demokratie muss Transparenz und die daraus folgenden öffentlichen Debatten jedoch aushalten können – mein erster Appell zu mehr Mut und Selbstreflexion seitens der Regierung.
Apropos Kontrolle: Ende Juni hat der US Supreme Court in der Rechtssache „Trump v Slaughter“ einen wohl folgenschweren Paradigmenwechsel vollzogen, der die Unabhängigkeit vieler US-Behörden (im konkreten Fall ging es um die Federal Trade Commission – FTC) tangieren dürfte und damit mithin der Kontrolle durch den Präsidenten unterwirft. Dies dürft auch mittelbare Auswirkungen auf den Datenschutz haben. Die FTC nimmt die Rolle als eine der Datenschutzbehörden in den USA wahr und wird im EU-US Data Privacy Framework vielfach erwähnt. Und damit ist ein seit mehreren Jahren eigentlich totgeglaubtes Thema plötzlich wieder hochaktuell: der Datentransfer in die USA und „Schrems III“. Besagter Datenschutzaktivist (Max Schrems) hat in diesem Zusammenhang bereits angekündigt, wieder vor den EuGH zu ziehen. Die EU-Kommission täte gut daran, hier zeitnah Klarheit zu schaffen und selbstbestimmt, aber zugleich auch nachhaltig, die richtigen Weichen zu stellen, damit der EuGH nicht auch den dritten Angemessenheitsbeschluss wieder einkassiert und für Unternehmen wieder massive Rechtsunsicherheit herrscht – mein zweiter Appell zu mehr Selbstreflexion und Sorgfalt seitens der Kommission.
Schließlich hat Ende Juni auch der Rat die Position des Europäischen Parlaments zum Digital Omnibus on AI angenommen. Kernstück ist die Verschiebung des Geltungsbeginns der Pflichten für Hochrisiko-KI-Systeme, zudem gibt es eine Abschwächung der Pflicht zur KI-Kompetenz (Art. 4 KI-VO). Letzteres ist das falsche Signal und schafft keine Erleichterung für Unternehmen, sondern ist lediglich eine Nebelkerze, die sich langfristig rächen wird. Solche Nebelkerzen finden sich auch in den aktuellen Omnibus-Debatten zur Anpassung der DSGVO und dem Abbau von Bürokratie. Anstatt die erkannten Webfehler der DSGVO zu korrigieren und somit tatsächlich Erleichterung für Unternehmen zu schaffen, wird lediglich Ergebniskosmetik betrieben – mein Dritter Appell an die Trilog-Parteien zu mehr Mut, Sorgfalt und Selbstreflexion.
Dr. Frank Schemmel, Compliance Officer (Univ.) ist Head of Privacy bei MediaMarktSaturn in Ingolstadt. Schwerpunkt seiner Arbeit sind Datenschutz, KI-Compliance, Informationssicherheit und die rechtlichen Herausforderungen der Digitalisierung.