KI: EU-Mitgliedstaaten planen „digitale Enteignung“ der Europäer im Interesse von KI-Unternehmen

• Politico Artikel mit den geleakten Dokumenten (Paywalled)
• Letzter Vorschlag der irischen Präsidentschaft (PDF)
• Formulierungsvorschläge der deutschen Regierung für die weitgehende Liberalisierung für KI-Konzerne und den Abbau von Rechten (Information, Berichtigung oder Löschung) der Betroffenen (PDF)
• Übersichtsseite der EU-Kommission zum „Digitalen Omnibus“

Alle Dämme brechen: KI-Konzerne vor Grundrechten? Die EU-Kommission wollte im Rahmen der „Digitalen Omnibus“-Gesetzgebung diverse angebliche „Vereinfachungen“ für EU-Unternehmen verabschieden - offiziell unter der Beibehaltung eines „hohen Schutzniveaus" für Europäer:innen. Da die Änderungen angeblich minimal sein sollten, wurde auch ein Schnellverfahren ohne Grundrechtsprüfung und ohne Federführung der relevanten Fachgruppen genutzt. 

Im von der EU-Kommission vorgeschlagenen Artikel 88c (im Ratsdokument nun Artikel 88bis) sollte die Nutzung von personenbezogenen Daten für KI explizit geregelt werden. Inzwischen liegt der Vorschlag im Rat, wo die irische Präsidentschaft derzeit das Zepter in der Hand hat. Irland ist der EU-Sitz fast aller KI-Konzerne aus den USA und China. 

Mit Applaus von Deutschland und anderen EU-Schwergewichten wurde nun vorgeschlagen, dass bei der Nutzung von personenbezogenen Daten "im Rahmen von KI" für die Konzerne generell erlaubt sein soll. Die Interessen der Konzerne sollen also die Grundrechte der Betroffenen an ihren Daten übertrumpfen. Das betrifft auch Personen, die nie Kunden der KI-Unternehmen waren oder Daten, die vor Jahrzehnten etwa zum privaten Austausch in Sozialen Netzwerken eingegeben wurden. Alle personenbezogenen Daten an die ein Unternehmen faktisch herankommt sind umfasst. Man braucht nun Betroffene weder um Einwilligung fragen noch eine Interessensabwägung im Einzelfall machen. Im Normalfall soll gelten: KI vor den Rechten der europäischen Nutzer:innen. Die Abwägung würde in fast allen Fällen „KI vor Grundrechte“ ausfallen.

Schrems: "Ein Großteil der EU-Staaten will anscheinend, dass die Interessen von Elon Musk, Zuckerberg, Google, oder OpenAI, immer größere Profite zu machen, unser Grundrecht auf Datenschutz überwiegen. Das ist nichts anderes als eine 'digitale Enteignung' der Europäer. Alles, was wir jemals in digitale Systeme getippt haben oder die Konzerne anderweitig bekommen haben, wäre damit Freiwild für die KI-Konzerne."

Ausverkauf der Europäischen Daten an die USA und China. Teile der Politik scheinen wohl (ganz einer libertären Weltsicht nach) zu glauben, dass vor allem die europäische Wirtschaft profitieren würde, wenn man nur möglichst alle Gesetze abschafft. Genau der gegenteilige Effekt ist aber zu erwarten: Die meisten EU-Unternehmen haben weder den Zugriff auf die Datenmengen noch das Kapital, um mit US-Konzernen zu konkurrieren. In vielen Fällen würden damit auch die Daten, die EU-Unternehmen verarbeitet haben – aber auf US-Plattformen oder Diensten verarbeiten – an Anbieter aus den USA oder China abfließen. 

Max Schrems: "Von der Abschaffung des Datenschutzes für KI profitieren vor allem die Großen - die seit jeher umfassend Daten gesammelt haben. Das ist die völlige Freigabe der europäischen Daten an globale Konzerne. Damit würde auch extrem viel Know-how aus EU-Unternehmen in die USA oder nach China fließen. Auch industriepolitisch ist dieser extreme Ansatz daher ein Wahnsinn."

Blankoscheck –nur für KI-Technologie? Üblicherweise erlaubt die DSGVO Verarbeitung für bestimmte Zwecke (z.B. Rechnungslegung oder Betrugsprävention). Der nun vorgeschlagene Artikel 88c (bzw. 88bis) legitimiert jedoch jegliche Art von Künstliche Intelligenz an sich, unabhängig davon, für welchen Zweck man sie einsetzt. Der Artikel könnte damit auch beispielsweise Training und Nutzung von KI für Manipulation, Desinformation oder Killer-Drohnen erlauben – und damit weit über die bisher legale Nutzung hinausgehen. Im Vorschlag wird nämlich jegliche Datenverarbeitung „im Rahmen von KI“ als "berechtigtes Interesse" definiert, dass die Grundrechte der Europäer:innen übertreffen soll. Mit absurden Resultaten: Datenverarbeitung für Werbung ohne Einwilligung ist etwa illegal in der EU - würde man nun Werbung mittels KI-Technologie personalisieren, wäre es plötzlich ein „legitimes Interesse“ und damit wohl legal.

Schrems: "Das ist wie zu sagen, alles ist erlaubt, wenn es mit einem ‚Quantencomputer‘ passiert - egal was man damit tut. Dinge, die bisher illegal waren, wären nun plötzlich legal, solang man es nur mit KI macht. Es ist himmelschreiend absurd, eine Hochrisiko-Technologie gegenüber jedem traditionellen Computersystem zu privilegieren."

45-jähriges Versprechen des Datenschutzes löst sich auf. Seit 1981 gibt es auf europäischer Eben Datenschutzregelungen. Jahrzehntelang wurde Europäer:innen versprochen, dass dieser (angeblich) „strenge“ Datenschutz sicherstellt, dass Plattformen wie Twitter/X, Facebook oder Instagram und Konzerne wie Google oder Microsoft zwar massenhaft Daten sammeln - aber diese "niemals" für andere Zwecke verwenden würde. Man solle ganz unbesorgt sein. Mit Artikel 88c (bzw. Artikel 88bis) wird dieses Versprechen gebrochen: Alle gesammelten Daten sind plötzlich vogelfrei für jegliche Nutzung durch KI-Systeme.

Schrems: "Wir haben seit den 80ern den Leuten versprochen, dass große Konzerne die Daten zwar haben, aber nur eingeschränkt nutzen dürfen. Artikel 88bis macht nun plötzlich die Schleusentore auf und erlaubt praktisch unbegrenzte Nutzung aller Daten für KI."

Massive Einschränkungen bei Schutz und Rechten geplant. Die EU-Mitgliedsstaaten haben ebenso vorgeschlagen, die Definition von "personenbezogenen Daten" massiv einzuschränken, so dass unter anderem unklar ist, ob z.B. Online-Tracking überhaupt noch von der DSGVO umfasst sein würde. Dabei sollen „Pseudonyme“ oft nicht mehr umfasst sein. Das Problem ist: die meisten IT-Systeme funktionieren primär mit solchen Pseudonymen (wie z.B. ID-Nummern, Tracking-IDs, Sozialversicherungsnummern oder Kundennummern). Weiters sollen die internen Fähigkeiten und Intentionen von Unternehmen ein Faktor sein, ob die DSGVO überhaupt noch anwendbar ist. Ebenso sollen die Rechte von Betroffenen nicht mehr gelten, wenn diese "missbräuchlich" genutzt würden. Diese subjektiven Faktoren würden primär einseitig von den verpflichteten Unternehmen beurteilet werden. Auch diese Änderungen machen die Durchsetzung der DSGVO in der Praxis faktisch unmöglich, weil in jedem Einzelfall endlose Debatten über die internen Fähigkeiten und Intentionen der Unternehmen und Betroffenen entstehen würden bevor man überhaupt weiß, ob die DSGVO anwendbar ist. In der Praxis kann das Jahre dauern, viele Gerichte und Behörden beschäftigen und Zehntausende Euro kosten.

Deutschland als "Datenschutz-Holzhacker" Europas. Während die Rolle Irlands als "Sicherer Hafen" für amerikanische und chinesische Big Tech-Konzerne eher erwartbar war, tut sich vor allem Deutschland als größter EU-Mitgliedsstaat negativ hervor. 

In deutschen Positionspapieren wird eine Vermutung, dass KI-Systeme immer legal sind und sogar die weitgehende Abschaffung von Informations- und Berichtigungsrechten bei KI-Systemen verlangt. Auch Beschwerden bei Behörden sollen nicht mehr bearbeitet werden müssen. Die deutschen Ministerien scheinen in diesem und vielen anderen Punkten die Parteilinie der CDU/CSU zu folgen, die die DSGVO schon lange zum digitalen Staatsfeind erklärt hat. Die deutschen Wähler unterstützen das jedoch nicht – so wollen etwa nur 7% der deutschen Meta-Nuzter:innen dass ihre Daten für KI-Training verwendet werden.

Schrems: "In Deutschland scheinen sich unionsgeführten Ministerien völlig ziellos als 'Datenschutz-Holzhacker' zu profilieren, ohne Strategie oder Bewusstsein dafür, was das für die Leute und die Gesellschaft bedeutet. Nur 7% der deutschen Meta-Nutzer wollen, dass ihre Daten für KI-Training genutzt werden. Die deutsche Regierung schreibt aber genau das nun in die Gesetze."

Position der EU-Kommission und des EU-Parlaments? Die EU-Kommission unter Präsidentin Von der Leyen und dem irischen Justizkommissar McGrath hat schon vor einiger Zeit eine 180°-Drehung gemacht und hält im Bereich Datenschutz inzwischen primär die Interessen von Industrie-Lobbys statt Grundrechten hoch. 

Die Position des EU-Parlaments ist hingegen noch unklar. Erste Analysen zeigen, dass große Teile der Europäische Volkspartei (CDU/CSU bzw. ÖVP) auch für einen Kahlschlag argumentieren. Bisher halten die Abgeordneten der Mitte-Links-Fraktionen und auch viele Abgeordnete der rechten und rechtsextremen Fraktionen dagegen.

Der „Digitale Omnibus“ muss am Ende von Rat und EU-Parlament verabschiedet werden. Das könnte schon Anfang 2027 der Fall sein.

Letzte Hoffnung: EuGH? Fraglich scheint vor allem, ob ein Gesetz ohne relevante Einschränkungen irgendwie mit dem EU-Grundrecht auf Datenschutz im Einklang stehen kann. Bisher hat der EuGH bei viel geringeren Eingriffen in die EU-Grundrechte, wie z.B. bei der Vorratsdatenspeicherung oder der Übermittlung von EU-Daten in die USA das EU-Gesetze am Ende wieder aufgehoben. Das ist nun auch beim Digitalen Omnibus zunehmend wahrscheinlich.

Schrems: "Wenn der Gesetzgeber jedes Maß und Ziel verloren hat, dann kann man nur noch auf die Gerichte hoffen, solche Gesetze wieder aufzuheben. Das würde aber nur noch mehr Rechtsunsicherheit schaffen, weil Unternehmen sich auf Gesetze verlassen, die extrem instabil sind."