EU-Rat stützt KI-Ausnahmen in der DSGVO, EU-Abgeordnete fordern globalen KI-Vertrag

Rat hält an breiter Rechtsgrundlage für KI-Datenverarbeitung fest

Nach monatelangen Verhandlungen zwischen den Mitgliedstaaten hat sich der Rat am 21. Oktober auf seine Verhandlungsposition zum Digital Omnibus geeinigt. Laut CDT Europe bestätigt der Text das berechtigte Interesse als eine von mehreren Rechtsgrundlagen für die KI-bezogene Verarbeitung und bewahrt damit einen weit gefassten Ansatz für die Nutzung personenbezogener Daten zu jedem KI-bezogenen Zweck.

Der Rat sieht eine moderate Abmilderung vor: Stellen, die personenbezogene Daten für Betrieb und Entwicklung von KI verarbeiten, müssen technische und operative Schutzmaßnahmen einhalten, unabhängig davon, auf welche Rechtsgrundlage sie sich stützen.

CDT Europe weist zudem darauf hin, dass der Text die Definition von "personenbezogenen Daten" anders als der ursprüngliche Vorschlag der Europäischen Kommission unverändert lässt. Er schlägt allerdings vor, den Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) auf ähnliche Weise einzugrenzen: Ein bestimmtes Maß an Pseudonymisierung würde Daten aus dem Anwendungsbereich der DSGVO herausnehmen.

Auf Drängen Deutschlands wurde ein neuer Artikel aufgenommen. Er würde die Kommission verpflichten, sechs Monate nach Inkrafttreten des Textes über die Verhältnismäßigkeit der DSGVO-Pflichten für KMU bei "Verarbeitungen mit geringem Risiko" zu berichten und mögliche Änderungen vorzuschlagen. CDT Europe sieht darin einen Vorgeschmack auf künftige Änderungen, die die Reichweite des Gesetzes untergraben könnten.

Parlament lehnt Selbstkontrolle ab, Gipfel in Dublin in der Kritik

In einer Plenardebatte am 22. Oktober lehnten Abgeordnete über Parteigrenzen hinweg Selbstregulierung ab und forderten internationales Handeln bei KI-Risiken, so CDT Europe. Die Vorschläge reichten von internationaler Zusammenarbeit bis zu einem globalen KI-Vertrag mit verbindlichen Regeln. Die Organisation bezeichnet das als Premiere für Europa.

Uneinigkeit herrschte bei der Frage, ob die EU-KI-Verordnung als Vorbild taugt. Die Abgeordneten Benifei und Voss forderten, Europa solle den Ansatz und die Werte der Verordnung exportieren, während die Abgeordneten Dávid und Jongen betonten, es brauche neue Ansätze, um die Grenzen des Gesetzes zu überwinden. Mehrere Abgeordnete kritisierten außerdem den Rückzug des Vorschlags für eine KI-Haftungsrichtlinie Anfang 2025 und verlangten neue Regeln. Damit flammte die Debatte um die überarbeitete Produkthaftungsrichtlinie wieder auf, die bis Dezember dieses Jahres in nationales Recht umgesetzt werden muss.

Zuvor hatte die irische Ratspräsidentschaft in Dublin einen internationalen KI-Gipfel ausgerichtet. Laut CDT Europe war das Programm überwiegend mit Politik und Industrie besetzt, ohne Organisationen der Zivilgesellschaft oder Wissenschaftler. Die Zivilgesellschaft organisierte einen Gegengipfel zur Perspektive der Beschäftigten. Die Gipfelerklärung betonte KI-Sicherheit, Einführung, Souveränität sowie Investitionen in Infrastruktur und Kompetenzen und hob den Zugang zu Umweltinformationen hervor. Menschenrechte wurden nach Angaben von CDT Europe ohne konkrete Lösungen erwähnt, die Durchsetzung von EU-Recht fehlte. Google und Microsoft hätten bei der Veranstaltung die Relevanz bestehender Regeln infrage gestellt.

Weitere Entwicklungen: Normen, Wasserzeichen und Datenbrillen

Das Bulletin nennt mehrere weitere Punkte:

• Die Kommission hat den Verweis auf die harmonisierte Norm zur KI-Verordnung "Artificial Intelligence, Quality management system" veröffentlicht, die erste fertiggestellte und gebilligte Norm des Gemeinsamen Technischen Komitees 21 von CEN und CENELEC. Anbieter, die sie anwenden, gelten als konform mit den einschlägigen Pflichten, die Pflichten für Hochrisiko-Systeme sind jedoch mindestens bis Dezember 2027 verschoben.
• OpenAI kündigte an, KI-generierte Texte in der EU mit Wasserzeichen zu versehen. Laut CDT Europe verlangt der Transparenz-Verhaltenskodex, den OpenAI unterzeichnet hat, einen freien öffentlichen Zugang zu einem Erkennungswerkzeug, doch das Tool von OpenAI soll zunächst nur zugelassenen Forschenden und Expertenorganisationen offenstehen. Anthropic hat bereits weltweite Wasserzeichen angekündigt.
• Mistral veröffentlichte Anfang Oktober ein neues Modell, Large 4. Ecosia soll Mistral wegen Modellqualität und Umweltbedenken fallen gelassen haben. Mistral-CEO Arthur Mensch verteidigte den Aufbau europäischer Spitzenmodelle, um Abhängigkeiten zu verringern und die Cybersicherheit zu gewährleisten.
• Lighthouse Reports reichte nach der Aarhus-Konvention eine Beschwerde gegen die Kommission ein, weil Energiedaten von Rechenzentren nicht offengelegt werden.
• Mehr als 120 Kampagnenorganisationen und Gewerkschaften forderten ein Ende öffentlicher Aufträge an Palantir.
• Der Europäische Datenschutzausschuss kritisierte Datenbrillen wegen mangelnder Transparenz gegenüber gefilmten Nichtnutzern, und Norwegen bereitet einen Gesetzentwurf für ein vorübergehendes Verbot an datenschutzsensiblen öffentlichen Orten vor.

Was das bedeutet

Das Bulletin zeigt Institutionen, die in unterschiedliche Richtungen ziehen. Die Mitgliedstaaten festigen einen flexiblen Umgang mit personenbezogenen Daten bei der KI-Entwicklung, während Abgeordnete auf verbindliche internationale Regeln und neue Haftungsbestimmungen drängen. Für Unternehmen bietet die erste harmonisierte Norm zur KI-Verordnung einen Weg zur Konformitätsvermutung, auch wenn die Frist für Hochrisiko-Systeme auf mindestens Dezember 2027 gerutscht ist. Die geschilderten Einschätzungen stammen von CDT Europe, einer Interessenvertretung, und der Ratstext ist weiterhin eine Verhandlungsposition und kein endgültiges Recht.