7.2 ChatGPT

Bei der Prüfung wie datenschutzrechtliche Anforderungen bei der Nutzung von ChatGPT umzusetzen sind, ist zu unterscheiden, ob OpenAI (als KI-Anbieter) mit den Ein- und Ausgabedaten sein KI-Modell weiter trainieren darf oder nicht. Dass dies grundsätzlich (insbesondere in der gratis zugänglichen Version) der Fall ist, ergibt sich bereits aus den Allgemeinen Geschäftsbedingen (AGB) von OpenAI.

Es wird an diesem Punkt nicht weiter auf die unterschiedlichen Lizenzmodelle von OpenAI eingegangen, weil die datenschutzrechtliche Rollenverteilung meist das nachstehende Bild ergibt:

Anwendung

Beschreibung Datennutzung

Datenschutzrechtliche Verantwortung

ChatGPT mit der Möglichkeit mit Ein- und Ausgabedaten zu trainieren

Benutzerdaten (Prompts, Ausgaben, Feedbacks) können genutzt werden, um das Modell weiter zu verbessern und zu trainieren

OpenAI: Verantwortlicher (für das Training mit den Daten); Auftragsverarbeiter (für die Generierung der Ergebnisse)

Nutzer:in: Verantwortlicher (für Prompts und Ergebnisse)

ChatGPT ohne die Möglichkeit mit Ein- und Ausgabedaten zu trainieren

Daten werden nicht zur Verbesserung des Modells genutzt

OpenAI verarbeitet Daten ausschließlich im Auftrag des Verantwortlichen

OpenAI: Auftragsverarbeiter

Nutzer:in: Verantwortlicher

Daraus folgt, dass OpenAI entweder als Verantwortlicher oder als Auftragsverarbeiter im Verhältnis zum Unternehmen, das ChatGPT einsetzt, auftritt. Dieses ist hingegen jedenfalls für die als Prompt eingegebenen Daten und die Verwendung der Ausgabedaten verantwortlich.

OpenAI als Verantwortlicher

Hier findet ein Datenfluss im Rahmen der eingegebenen Prompts und den erhaltenen Ausgaben zwischen dem Unternehmen und OpenAI im Verhältnis zwischen zwei eigens für die Datenverarbeitung Verantwortlichen statt. Ob OpenAI für die Tätigkeit des Erstellens der Antwort eigenverantwortlich oder als Auftragsverarbeiter agiert, ist noch nicht restlos geklärt. Inwieweit eine gemeinsame Verantwortlichkeit nach Art 26 DSGVO vorliegen kann, zB für die generierten Antworten, muss ebenfalls noch (gerichtlich) entschieden werden. Eine solche rechtliche Einordnung würde in beiden Fällen entweder einen Vertrag nach Art 26 oder Art 28 DSGVO notwendig machen.

Daraus folgt, dass das Unternehmen die Einhaltung der Anforderungen bei der Datenübermittlung an OpenAI sicherstellen muss und es sich bei der Weiterleitung von personenbezogenen Daten an OpenAI um eine Offenlegung der Daten an einen weiteren datenschutzrechtlichen Verantwortlichen handelt. Diese Übermittlung kann gerechtfertigt sein, wenn sie vom ursprünglichen Zweck der Datenverarbeitung erfasst ist. Beim Weitertrainieren eines KI-Modells wird dies zumeist nicht der Fall sein.

Beispiel:

Eine Mitarbeiterin eines Unternehmens kopiert eine E-Mail als Prompt in ChatGPT und fordert ChatGPT dazu auf, einen Antwortvorschlag zu generieren. Diese Verarbeitung ist von dem Zweck „Bearbeitung von Kundenanfragen“ grundsätzlich umfasst und könnte durch den Rechtfertigungsgrund der Vertragserfüllung gerechtfertigt sein. Die Datenübermittlung an einen weiteren datenschutzrechtlichen Verantwortlichen, der selbst in eigener Verantwortung die Daten weiter zu Trainingszwecken verarbeitet, muss aber getrennt davon gerechtfertigt werden.

Daraus ergibt sich das Problem einer fehlenden Rechtsgrundlage für die Datenübermittlung. Für die Weiterleitung von Daten an OpenAI zum Training des eigenen KI-Modells liegt für Unternehmen keine geeignete Rechtsgrundlage vor.

Alle Rechtsgrundlagen für die Übermittlung, abseits der Einwilligungen, scheiden regelmäßig aus, weil kein legitimes Interesse bzw keine Transparenz bezüglich der Verarbeitung vor der Übermittlung der Daten vorliegen wird. Die Einwilligung selbst wird auch meist als Rechtfertigung untauglich sein, weil dafür transparente Informationen über die Verarbeitung an die Betroffenen bereitgestellt werden müssen. Für Unternehmen, die ChatGPT nutzen, wird aber zumeist unklar sein, wie OpenAI die Daten weiterverwenden wird. Diese Informationserteilung wird daher an der Intransparenz der internen Prozesse bei OpenAI scheitern.

Daraus folgt, dass eine Nutzung von ChatGPT, bei der OpenAI mit den Daten weiter sein Modell trainiert, datenschutzrechtlich mangels Rechtfertigung der Datenübermittlung nicht erlaubt ist.

OpenAI als Auftragsverarbeiter

Werden die Eingabedaten hingegen nicht zum Training des Modells genutzt, erfolgt keine Datenübermittlung an einen anderen Verantwortlichen, sondern an einen Auftragsverarbeiter, der in diesem Fall nicht selbst die Daten zu eigenen Zwecken verwendet. Bei der Nutzung von ChatGPT handelt es sich dabei nicht um einen Verarbeitungsvorgang im Sinne des Verarbeitungsverzeichnisses, sondern um ein Verarbeitungsmittel wie jede andere IT-Anwendung (zB MS Outlook zum Mailversand oder MS Word zur Textverarbeitung). Die Nutzung dieses Tools ist dann im Rahmen der für die jeweilige Verarbeitung definierten Zwecke und Rechtfertigungsgründe erlaubt.

Beispiel:

Das Unternehmen hat eine Version von ChatGPT angeschafft, die nicht mit den Ein- und Ausgabedaten trainiert wird. Die Mitarbeiterin kopiert wieder eine E-Mail als Prompt in ChatGPT und fordert ChatGPT dazu auf, einen Antwortvorschlag zu generieren. Die Verarbeitung ist grundsätzlich von dem Zweck „Bearbeitung von Kundenanfragen“ umfasst und vom Rechtfertigungsgrund der Vertragserfüllung gerechtfertigt. Die Datenverarbeitung findet vollständig im Verantwortungsbereich des Unternehmens statt.

Datenübermittlung in ein Drittland

Zum Zeitpunkt der Erstellung dieses Handbuchs ist OpenAI dem EU-U.S. Data Privacy Framework (DPF) noch nicht beigetreten und es müssen für den Datentransfer in die USA Standardvertragsklauseln vereinbart werden. Da die Datenübermittlung in die USA, sei es nach dem DPF oder mittels Standardvertragsklauseln, immer wieder unter Kritik von Datenschutz-NGOs steht, ist damit immer ein gewisses Risiko verbunden.

Hinweis:

Um dieses Problem zu mitigieren, gibt es mittlerweile die Möglichkeit, eine lokale Version des KI-Modells von OpenAI in einer EU-Instanz zu nutzen. Insbesondere Microsoft bietet hier im Rahmen seines Azure-Dienstes auch einen „OpenAI Service“ an. Selbstverständlich muss aber auch in diesem Fall die Datenverarbeitung auf ihre Vereinbarkeit mit der DSGVO genau geprüft werden.