KI mit personenbezogenen Daten trainieren oder füttern, ohne Rechtsgrundlage
"Es stand im Internet" ist keine Rechtsgrundlage. In der EU ist es kaum eine Ausrede.
Dies ist keine Rechtsberatung. Sally nimmt Verhalten und Anwendungsfalle allgemein aufs Korn, nie deine konkrete Situation, und nichts hier ersetzt einen echten Anwalt. Die Falle sind echt; was du daraus machst, ist Sache zwischen dir und jemandem, der dazu befugt ist, es dir zu sagen.
Gescrapte oder Kundendaten in ein Modell kippen, ohne eine Rechtsgrundlage zu identifizieren oder irgendjemandem Bescheid zu geben.
Garante (Italian DPA) v. OpenAI
EUR 15M fine, ruling Dec. 2024 · EU (Italy)
Italiens Aufsichtsbehörde stellte fest, dass OpenAI ChatGPT ohne gültige Rechtsgrundlage mit personenbezogenen Daten trainierte, Transparenzpflichten verletzte und es versäumte, eine Datenpanne zu melden.
Eine Geldbusse von 15 Mio. EUR, die erste grosse DSGVO-Strafe für generative KI, plus eine angeordnete Aufklärungskampagne. OpenAI legt Berufung ein.
Eine Datenschutzbehörde verhängte eine grosse achtstellige Geldbusse, weil eine KI ohne gültige Rechtsgrundlage mit personenbezogenen Daten trainiert wurde, dazu Transparenzversäumnisse und eine versäumte Meldung einer Datenpanne. Es war die erste grosse Strafe für generative KI nach EU-Datenschutzrecht, und sie wird nicht die letzte sein.
Der Reflex, dass öffentlich gleich frei nutzbar bedeutet, überlebt den Kontakt mit der DSGVO nicht. Personenbezogene Daten tragen Pflichten, egal wo du sie gefunden hast: eine Rechtsgrundlage, Transparenz darüber, was du tust, und eine Möglichkeit für Menschen, ihre Rechte auszuüben.
“Du hast mit den Daten von allen trainiert und für keine der Folgen ein Budget eingeplant. Die Behörde hat das Budget für dich gemacht.”
- 01Identifiziere eine Rechtsgrundlage, bevor irgendwelche personenbezogenen Daten in die Nähe eines Modells kommen, und dokumentiere sie.
- 02Sei transparent darüber, was du erhebst und warum. Überraschung ist der Feind der Compliance.
- 03Entferne oder pseudonymisiere personenbezogene Daten, die du für die Aufgabe gar nicht brauchst.
Keine Rechtsberatung. Allgemeiner Kommentar zu einem Anwendungsfall, nicht zu deiner Situation. Sprich mit einem echten Anwalt, bevor du handelst.