EU-Staaten unterstützen DSGVO-Änderung für KI-Konzerne: noyb warnt vor Freibrief bei Personendaten

Was der Rat gebilligt hat

Wie noyb mitteilt, hat der Rat, der die EU-Mitgliedstaaten vertritt, den Text am Mittwoch gebilligt, veröffentlicht wurde er am Donnerstag. Die Änderung ist Teil des Vorschlags für den "Digital-Omnibus". Die Europäische Kommission hatte dieses Paket als eine Reihe kleinerer Änderungen präsentiert, die EU-Unternehmen das Leben erleichtern sollen, und zugleich versprochen, ein "hohes Schutzniveau" für die Menschen in Europa zu wahren, so noyb.

Die Regelung ist im Kommissionsvorschlag Artikel 88c, im Ratsdokument nun Artikel 88bis. Danach würde bei Unternehmen, die ein KI-Produkt nutzen oder trainieren, ein überwiegendes "berechtigtes Interesse" unterstellt, sodass keine Einwilligung der Nutzer nötig wäre. Laut noyb würde das auch Personen betreffen, die nie Kunden eines KI-Unternehmens waren, sowie Daten, die vor Jahrzehnten eingegeben wurden, etwa in Chats oder in sozialen Netzwerken.

Der Rat ergänzte Verweise auf Artikel 21 DSGVO, der in bestimmten Fällen ein Widerspruchsrecht vorsieht, und auf Artikel 24 DSGVO, der die technische und organisatorische Umsetzung gesetzlicher Pflichten betrifft. Diese "Garantien" würden ohnehin für jede Verarbeitung gelten, argumentiert noyb. Der neue Artikel verlange aus ihrer Sicht daher keine materiellen Schutzmaßnahmen.

Kritik von noyb: Eine Technologie statt eines Zwecks

noyb betont, dass die DSGVO eine Verarbeitung normalerweise für bestimmte Zwecke erlaubt, etwa die Aufbewahrung für steuerliche Unterlagen oder die Betrugsprävention. Artikel 88bis hingegen würde eine ganze Technologie unabhängig vom Zweck legitimieren. Das könnte nach Angaben der Organisation auch KI betreffen, die zur Manipulation, für Desinformation, zur Erzeugung von Nacktbildern oder für Killerdrohnen eingesetzt wird.

Zudem argumentiert noyb, dass Praktiken, die in der EU derzeit illegal sind, legal werden könnten. Ein Beispiel sei personalisierte Werbung ohne Einwilligung: Sie könne rechtmäßig werden, wenn sie mithilfe von KI personalisiert wird. Schrems formulierte es so: "Wenn etwas in einer Excel-Tabelle illegal ist, ist es legal, wenn es mit einem KI-Agenten gemacht wird."

noyb äußert auch wirtschaftliche Bedenken. Die meisten EU-Unternehmen verfügten nicht über die Datenmengen und das Kapital der US-Konzerne, und Daten, die von EU-Firmen erhoben, aber auf Plattformen außerhalb der EU verarbeitet werden, könnten zu Anbietern in den USA oder China abfließen. Als Unternehmen, deren Interessen über den Datenschutz gestellt würden, nennt die Organisation OpenAI, Anthropic, Google, Meta und SpaceX.

Änderungen an der Definition personenbezogener Daten

Außerdem berichtet noyb, die Mitgliedstaaten hätten vorgeschlagen, die Definition von "personenbezogenen Daten" einzuengen. Nach dieser Idee würden sogenannte Pseudonyme regelmäßig aus der DSGVO herausfallen. Die Organisation weist darauf hin, dass die meisten IT-Systeme überwiegend mit Pseudonymen wie Nutzer-IDs, Tracking-IDs, IP-Adressen oder Sozialversicherungsnummern arbeiten, und hält es für unklar, ob Online-Tracking weiterhin erfasst wäre. Die Entscheidung, ob Daten noch personenbezogen sind, läge zudem weitgehend bei den regulierten Unternehmen selbst, was nach Erwartung von noyb zu jahrelangen Streitigkeiten führen würde.

Wie es weitergeht

Der Ratstext ist noch nicht das endgültige Gesetz. Der Rat muss den Wortlaut mit dem Europäischen Parlament, das noch keine Position bezogen hat, in sogenannten Trilogen aushandeln, an denen auch die Kommission beteiligt ist. Nach Darstellung von noyb neigt der Großteil der Europäischen Volkspartei dazu, mehr Schlupflöcher in den digitalen Gesetzen der EU zu befürworten, während Mitte-links-Abgeordnete bislang Widerstand leisteten und den Status quo bevorzugten. Auch rechtsextreme Fraktionen stellten sich zunehmend gegen einen "Freifahrtschein" für Big Tech.

Den Vorsitz im Rat führt derzeit die irische Ratspräsidentschaft, und noyb verweist darauf, dass Irland der EU-Sitz der meisten US-amerikanischen und chinesischen KI-Konzerne ist. Die Organisation erinnert zudem an den Gerichtshof der Europäischen Union, der in der Vergangenheit EU-Recht gekippt hat, etwa bei der Vorratsdatenspeicherung und bei der Übermittlung von EU-Daten in die Vereinigten Staaten. Schrems warnte, ein extremes Gesetz mit hohem Risiko, aufgehoben zu werden, schaffe Rechtsunsicherheit statt der versprochenen Vereinfachung.

Vorerst handelt es sich um die Positionen einer Datenschutzorganisation, und die endgültige Gestalt der Regeln hängt von den Verhandlungen mit dem Parlament ab.