Heute sind künstliche Intelligenz und maschinelles Lernen allgegenwärtig und finden in vielen Unternehmensbereichen Anwendung. Ein prominenter Akteur auf diesem Gebiet ist OpenAI, das mit seinen Services wie ChatGPT, DALL:E und OpenAI-API jedermann ermöglicht, fortschrittliche KI-Technologien zu nutzen. Allerdings bringen diese Technologien auch Datenschutz- und datenschutzrechtliche Herausforderungen mit sich.
In diesem Leitfaden werden die wichtigsten Aspekte beleuchtet, die Unternehmen beachten müssen, wenn sie ChatGPT und die OpenAI-API im Einklang mit der Datenschutz-Grundverordnung (DSGVO) nutzen möchten.
Consumer vs. Business – eine Frage der Verantwortlichkeit
OpenAI unterscheidet zwei Arten von Inhalten: „Non-API-Content“ im Rahmen von Cosumer-Diensten und „API-Content“ bei Business-Diensten.
Die Dienste ChatGPT, DALL:E und andere Dienste, die über Webinterfaces zur Verfügung gestellt werden, fallen in die Kategorie „Non-API-Content“. OpenAI bietet diese Consumer-Dienste direkt den Endkunden an und ist datenschutzrechtlich für die Verarbeitung der Daten verantwortlich. Adressat von Maßnahmen der Aufsichtsbehörden ist daher in erster Linie auch OpenAI direkt.
OpenAI bietet zudem eine API-Plattform als Business-Dienst an, über die Unternehmen die GPT-Technologie in ihre eigenen Dienste integrieren können. Inhalte, die von Nutzern über die API empfangen werden, fallen unter die Kategorie „API-Content“. Gemäß den Nutzungsbedingungen verwendet OpenAI API-Content nicht für eigene Zwecke (z.B. zur Weiterentwicklung und Verbesserung des Dienstes), es sei denn, der Kunde wünscht dies ausdrücklich. Aus datenschutzrechtlicher Sicht ist von einem solchen Opt-In jedoch abzuraten.
Wenn Unternehmen die GPT-Technologie über die OpenAI-API in ihre Produkte und Dienste integrieren, gelten sie als verantwortliche Stelle im Sinne des Datenschutzrechts. In diesem Fall agiert OpenAI als Dienstleister und Auftragsverarbeiter im Auftrag des Unternehmens, das die API nutzt. Das Unternehmen, das die OpenAI-API nutzt, muss als Verantwortlicher für jeden Schritt der Datenverarbeitung nachweisen können, dass die jeweilige Verarbeitung datenschutzkonform ist. Setzt das Unternehmen bei der Integration der OpenAI-API die geltenden Datenschutzanforderungen nicht ordnungsgemäß um, kann es Adressat aufsichtsrechtlicher Maßnahmen werden.
Nutzung von ChatGPT
In vielen Unternehmen wird der Dienst ChatGPT von Beschäftigten über den Web-Browser oder die mobile App genutzt.
Inhalte, die von Nutzenden in den Chat eingegeben werden, werden von OpenAI im Rahmen ihrer Datenschutzbestimmungen verarbeitet. Bei der Nutzung des „non-API-consumer-services ChatGPT“, werden Daten zu eigenen Zwecken von OpenAI verwendet (z.B. zur Weiterentwicklung und Verbesserung des Dienstes). OpenAI agiert in dieser Konstellation also nicht als Auftragsverarbeiter, sodass sowohl OpenAI als auch das Unternehmen, in welchem ChatGPT genutzt wird, für die Datenverarbeitung verantwortlich sind.
Problem: Übermittlung der Daten
Problematisch ist dabei, dass die Übermittlung personenbezogener Daten an OpenAI nur zulässig ist, wenn eine gültige Rechtsgrundlage vorliegt. In den meisten Fällen wird jedoch eine solche Rechtsgrundlage fehlen.
Ein zusätzliches Problem ist die Übermittlung der Daten in die USA. Eine geeignete datenschutzrechtliche Grundlage gemäß Art. 44 ff. DSGVO für die Übermittlung (z.B. für Beschäftigen- und Kundendaten) liegt für das Consumer-Produkt ChatGPT Stand 03.08.2023 nicht vor.
Auf Personenbezug verzichten
Um die Probleme zu umgehen, sollte strikt vermieden werden, über ChatGPT personenbezogene Daten zu verarbeiten. Damit bleiben die DSGVO und ihre Folgeprobleme nämlich vor der Tür. Unternehmen sind gut beraten, klare Regeln für die die Nutzung von ChatGPT zu schaffen und die PROMTS (Eingaben) frei von jeglichem Personenbezug zu halten.
Unerlässlich ist es daher die Schulung und Sensibilisierung der Beschäftigten, um die Übermittung personenbezogener Daten an OpenAI zu vermeiden.
Datennutzung zu Trainingszwecken abschalten
Standardmäßig werden diese PROMTS für das Training von KI-Algorithmen verwendet. Die Nutzer haben jedoch die Möglichkeit, sich abzumelden. Die Abmeldung erfolgt über ein Webformular, das mit dem Benutzerkonto verknüpft ist. Wir empfehlen daher, das „training“ unter „settings“ (data controls) zu deaktivieren, um das Training für die gesamte Kommunikation mit dem Chatbot abzuschalten. Danach wird laut OpenAI die nachfolgende Kommunikation nicht zum Training des Dienstes genutzt.
Weitere Informationen zu den Datenschutzrechten von Endnutzern finden Sie hier: https://help.openai.com/en/articles/7039943-data-usage-for-consumer-services-faq.
Nutzung der OpenAI-API
Rechtmäßigkeit der Datenverarbeitung
Das Unternehmen, das die OpenAI-API nutzt, ist für die Rechtmäßigkeit der Datenverarbeitung im Zusammenhang mit der GPT-Technologie verantwortlich.
Es gibt verschiedene Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO, die je nach Zweck der Datenverarbeitung herangezogen werden können. Wenn beispielsweise die Verarbeitung der Daten erforderlich ist, um eine von den Nutzer:innen angeforderte Leistung zu erbringen, kann das Unternehmen in der Regel eine Erforderlichkeit zur Vertragserfüllung geltend machen. In manchen Fällen kann die Verarbeitung auch auf Grundlage einer Interessenabwägung zulässig sein oder erfordert die vorherige Einwilligung der Nutzer:innen.
Auftragsverarbeitung und Data Processing Agreement
Im Rahmen der Nutzung der OpenAI-Dienste über die API-Plattform entsteht ein Auftragsverarbeitungsverhältnis zwischen dem Verantwortlichen als Auftraggeber und OpenAI als Auftragsverarbeiter.
Um die entsprechenden Anforderungen der DSGVO zu erfüllen, stellt OpenAI ein Data Processing Agreement („DPA“) zur Verfügung. Dieses muss gesondert abgeschlossen werden, was über einen elektronischen Signaturprozess erfolgt, der unter https://openai.com/policies/data-processing-addendum gestartet werden kann.
Zu beachten ist, dass OpenAI weder fremde DPA noch eine überarbeitete Version des eigenen DPA akzeptiert:
„Unfortunately, we are unable to review or sign DPAs provided by our customers or customize our DPA on a case by case basis.”
Datenübermittlung in die USA
Bei der Nutzung der OpenAI-API werden die Daten nach eigenen Angaben von OpenAI in den USA verarbeitet. Aus Sicht europäischer Unternehmen sind die USA ein sogenanntes Drittland und die Übermittlung personenbezogener Daten muss auf eine geeignete datenschutzrechtliche Grundlage gemäß Art. 44 ff. DSGVO gestützt werden.
Im Juli 2023 wurde mit dem EU-U.S. Data Privacy Framework ein Programm ins Leben gerufen, wonach für zertifizierte US-Unternehmen ein angemessenes Datenschutzniveau vorausgesetzt werden kann. Zum heutigen Stand (03.08.2023) liegt für die OpenAI OpCo, LLC keine Zertifizierung vor. Die Prüfung erfolgt anhand der Data Privacy Framework List des U.S. Department of Commerce.
Um das derzeitige Defizit auszugleichen, müssen zusätzlich Standardvertragsklauseln (SCCs) abgeschlossen werden. OpenAI hat die SCCs in sein DPA integriert, um den Datenschutz der übermittelten Daten zu gewährleisten.
Im Rahmen der SCCs muss ein sogenanntes Transfer Impact Assessment (TIA) durchgeführt werden und es sind gegebenenfalls zusätzliche technische und organisatorische Maßnahmen zu ergreifen, um den Datenschutz zu gewährleisten. Die Pflicht, ein TIA durchzuführen, ergibt sich aus Art. 14 der SCC.
Datenschutz-Folgenabschätzung und Datensicherheit
Wenn Sie die OpenAI-API verwenden, um personenbezogene Daten zu verarbeiten, können damit hohe Risiken für die Betroffenen verbunden sein. Aus diesem Grund ist es möglicherweise notwendig, eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 DSGVO durchzuführen.
Die Datenschutzaufsichtsbehörden in Deutschland haben eine Liste von Verarbeitungstätigkeiten veröffentlicht, für die eine DSFA zwingend erforderlich ist. Wenn die Nutzung der OpenAI-API in diese Liste fällt, muss eine DSFA durchgeführt werden. Zu den einschlägigen Beispielen aus der DSFA-Liste gehören insbesondere die Ziffern 11 („Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“) und 13 („Automatisierte Auswertung von Video- oder Audio-Aufnahmen zur Bewertung der Persönlichkeit der Betroffenen“).
Für die Bewertung ist es von Bedeutung, zu welchen Zwecken der GPT-Dienst eingesetzt werden soll. Der Chatbot einer Drogenberatung ist angesichts der Risiken für die Verarbeitung von Gesundheitsdaten kritischer zu bewerten als beispielsweise der Support-Service einer B2B-Website. In diesem Beispiel der Drogenberatung sollte eine DSFA durchgeführt werden, um zu analysieren, wie das Risiko der Offenlegung sensibler Informationen und Gesundheitsdaten effektiv kontrolliert oder ausgeschlossen werden kann.
Ziel der DSFA ist es, die Risiken für die betroffenen Personen strukturiert zu erkennen und zu bewerten sowie festzulegen, wie diese Risiken durch technische und organisatorische Maßnahmen beherrscht und auf ein akzeptables Maß reduziert werden können. Eine intensive Beschäftigung mit dem Sicherheitskonzept von OpenAI ist dabei unerlässlich. OpenAI stellt die für die Prüfung erforderlichen Unterlagen auf Anfrage im OpenAI Security Portal zur Verfügung.
Nebeneffekt: Wenn für den bestimmungsgemäßen Einsatz der GPT-technologie eine DSFA durchgeführt werden muss, ist auch stets ein Datenschutzbeauftragter zu benennen. Diese Benennung ist dann unabhängig von der Unternehmensgröße vorgeschrieben, also auch für kleine Unternehmen mit weniger als 20 Beschäftigten.
Transparenz für Nutzer:innen
Wenn Unternehmen die OpenAI-API nutzen, müssen sie ihren Nutzer:innen die Datenverarbeitung im Zusammenhang mit der Verwendung von OpenAI-Diensten transparent machen. Dies geschieht in der Regel durch Datenschutzhinweise nach Art. 13 DSGVO.
Es ist jedoch nicht ausreichend, wenn das Unternehmen lediglich auf die Datenschutzrichtlinien von OpenAI verweist, da diese nur für Nicht-API-Inhalte gelten. Stattdessen muss das Unternehmen eigenständig darüber informieren, wie und zu welchen Zwecken die Daten der Nutzer:innen vom Unternehmen und dessen Auftragsverarbeitern (insbesondere OpenAI) verarbeitet werden, wie lange diese gespeichert werden und wann sie gelöscht werden. Darüber hinaus muss den Nutzer:innen transparent gemacht werden, wie sie ihre Betroffenenrechte aus Art. 12-21 DSGVO ausüben können.
Checkliste für die Nutzung der OpenAI-API
Um personenbezogene Daten über die OpenAI-API zu verarbeiten und dabei die Anforderungen der DSGVO zu erfüllen, sind folgende Schritte erforderlich:
- Rechtmäßigkeit der geplanten Datenverarbeitung sicherstellen
- Mit OpenAI den Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln abschließen
- Transfer Impact Assessment durchführen und dokumentieren
- ggf. eine Datenschutz-Folgenabschätzung durchführen und dokumentieren
- Risikoadäquate technische und organisatorische Maßnahmen der Datensicherheit umsetzen
- Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten dokumentieren
- Betroffene Personen über die Datenverarbeitung mittels GPT-Technologie im Rahmen der eigenen Datenschutzerklärung informieren
Fazit
In den Medien wurde viel über Verbote, Regulierungsmaßnahmen und Risiken berichtet. Für Unternehmen, die die OpenAI-API nutzen wollen, gibt es jedoch durchaus Möglichkeiten, die GPT-Technologie datenschutzkonform in die eigenen Produkte und Dienste zu integrieren.
Wir empfehlen, die Datenschutzkonformität bereits bei der Planung der Integration GPT-Technologie mitzudenken, was auch die DSGVO mit ihrem privacy-by-design Grundsatz vorsieht. Schließlich ist es wichtig, den grundsätzlichen Umgang mit KI bei der Verarbeitung personenbezogener Daten im Unternehmen im Voraus zu klären. Transparente Dokumentationen, Richtlinien und Mitarbeiterschulungen können einen wirksamen Rahmen bilden, um einen verantwortungsbewussten und rechtmäßigen Umgang mit dieser Technologie sicherzustellen.
Sebastian Herting ist Rechtsanwalt und zertifizierter Datenschutzbeauftragter. Er unterstützt Unternehmen mit lösungsorientierter Beratung zu Daten, Technologie, KI und Marketing.