Informationen zu Creative Commons (CC) Lizenzen
Datenschutznews Gütersloh: »ChatGPT« verbreitet falsche Infos über Personen – und »OpenAI« kann nichts dagegen tun
»ChatGPT« verbreitet falsche Infos über Personen – und »OpenAI« kann nichts dagegen tun
Wien, 29. April 2024
Die #DSGVO der #EU verlangt von Unternehmen, dass Informationen über Personen korrekt sind. Betroffene müssen zudem vollen Zugang zu ebendiesen Informationen und zu ihrer Quelle erhalten. »#OpenAI« scheint das egal zu sein: Das Unternehmen gibt offen zu, falsche Informationen auf »#ChatGPT« nicht korrigieren zu können. Das Unternehmen weiß nicht einmal, woher die Daten stammen oder welche Daten »ChatGPT« über einzelne Personen speichert. »OpenAI« ist sich dieses Problems bewusst. Anstatt etwas zu verändern, argumentiert das Unternehmen jedoch einfach, dass »faktische Genauigkeit in großen Sprachmodellen ein Bereich aktiver Forschung bleibt«. #Noyb hat deshalb eine Beschwerde gegen »OpenAI« eingereicht.
»ChatGPT« halluziniert, und nicht mal »OpenAI« kann es stoppen
Die Einführung von »ChatGPT« im November 2022 löste einen noch nie dagewesenen KI Hype aus. Menschen auf der ganzen Welt begannen auf einmal damit, den Chatbot für die unterschiedlichsten Zwecke zu nutzen. Darunter sogar Rechercheaufgaben. Dabei hält »OpenAI« selbst fest, dass der Chatbot »Antworten auf Benutzeranfragen generiert, indem es die nächstwahrscheinlichsten Wörter vorhersagt, die als Antwort auf die jeweilige Frage vorkommen könnten«. In anderen Worten: Obwohl das Unternehmen über umfangreiche Trainingsdaten verfügt, kann es aktuell nicht garantieren, dass Nutzer korrekte Informationen erhalten. Ganz im Gegenteil sind generative KI Tools dafür bekannt zu »halluzinieren«. Sie erfinden ihre Antworten also schlicht.
Für Hausaufgaben in Ordnung, aber nicht für persönliche Informationen
Ungenaue Informationen sind vielleicht tolerabel, wenn Schüler »ChatGPT« für ihre Hausaufgaben nutzen. Sie sind jedoch inakzeptabel, wenn es um die Informationen über Einelpersonen geht. Seit 1995 besagt das EU Recht, dass persönliche Daten korrekt sein müssen. Mittlerweile ist dies in Artikel 5 #DSGVO verankert. Personen haben laut Artikel 16 DSGVO außerdem ein Recht auf Berichtigung inkorrekter Informationen – und haben die Möglichkeit, ihre Löschung zu verlangen. Darüber hinaus müssen Unternehmen gemäß dem Auskunftsrecht in Artikel 15 nachweisen können, welche Daten sie über Einzelpersonen gespeichert haben und aus welchen Quellen sie stammen.
Maartje de Graaf, Datenschutzjuristin bei Noyb: »Das Erfinden falscher Informationen ist schon für sich genommen höchst problematisch. Aber wenn es um falsche Informationen über Personen geht, kann das ernsthafte Konsequenzen haben. Es ist klar, dass Unternehmen derzeit nicht in der Lage sind, Chatbots wie ›ChatGPT‹ mit dem EU Recht in Einklang zu bringen. Wenn ein System keine genauen und transparenten Ergebnisse liefern kann, darf es nicht zur Erstellung von Personendaten verwendet werden. Die Technologie muss den rechtlichen Anforderungen folgen, nicht umgekehrt.«
Das Erfinden von Personendaten ist keine valide Option
Es handelt sich hier eindeutig um ein strukturelles Problem. Einem kürzlich erschienenen Bericht der New York Times zufolge »erfinden Chatbots in mindestens 3 Prozent der Fälle Informationen«. In manchen Fällen sollen es sogar bis zu 27 Prozent sein. Um dieses Problem zu veranschaulichen, können wir einen Blick auf den Beschwerdeführer (eine Person des öffentlichen Lebens) in unserem Fall gegen »OpenAI« werfen. Auf die Frage nach seinem Geburtstag antwortete »ChatGPT« wiederholt mit falschen Informationen, anstatt den Nutzer:innen mitzuteilen, dass die dafür notwendigen Daten fehlen.
Keine DSGVO Rechte für von »ChatGPT« erfasste Personen? Obwohl das von »ChatGPT« angegebene Geburtsdatum des Beschwerdeführers falsch ist, lehnte »OpenAI« seinen Antrag auf Berichtigung oder Löschung ab. Die Verweigerung wurde damit argumentiert, dass eine Korrektur der Daten nicht möglich sei. Man könne zwar Daten bei bestimmten Anfragen blockieren (zum Beispil den Namen des Beschwerdeführers), aber nicht ohne »ChatGPT« daran zu hindern, alle Informationen über den Beschwerdeführer zu filtern. »OpenAI« hat es außerdem versäumt, angemessen auf das Auskunftsersuchen des Beschwerdeführers zu reagieren. Obwohl die DSGVO den Nutzern das Recht einräumt, eine Kopie aller persönlichen Daten zu verlangen, hat es »OpenAI« versäumt die verarbeiteten Daten, ihre Quellen oder Empfänger offenzulegen.
Maartje de Graaf, Datenschutzjuristin bei Noyb: »Die Verpflichtung, einem Auskunftsersuchen nachzukommen, gilt für alle Unternehmen. Es ist selbstverständlich möglich, die verwendeten Trainingsdaten zu protokollieren, um zumindest eine Vorstellung von den Informationsquellen zu erhalten. Es scheint, dass mit jeder ›Innovation‹ eine andere Gruppe von Unternehmen meint, dass ihre Produkte nicht mit dem Gesetz übereinstimmen müssen.«
Bislang erfolglose Bemühungen der #Aufsichtsbehörden
Die plötzliche Zunahme der Popularität hat generative KI Tools rasch zum Ziel der europäischen Datenschutzbehörden gemacht. Unter anderem befasste sich die italienische Datenschutzbehörde mit der Ungenauigkeit des Chatbots, als sie im März 2023 eine vorübergehende Einschränkung der Datenverarbeitung anordnete. Einige Wochen später richtete der Europäische Datenschutzausschuss (EDSA) eine Taskforce zu »ChatGPT« ein, um die nationalen Bemühungen zu koordinieren. Es bleibt abzuwarten, wohin dies führen wird. Im Moment scheint »OpenAI« nicht einmal so zu tun, als könne es die DSGVO einhalten.
Beschwerde eingereicht
Noyb fordert die österreichische Datenschutzbehörde (DSB) nun zu einer Untersuchung der Datenverarbeitungspraktiken von »OpenAI« auf. Von besonderem Interesse ist dabei die Frage, welche Maßnahmen das Unternehmen zur Sicherstellung der Richtigkeit persönlicher Daten getroffen hat. Darüber hinaus fordert Noyb, dass »OpenAI« dem Auskunftsbegehren des Beschwerdeführers nachkommt und seine Verarbeitung in Einklang mit der DSGVO bringt. Nicht zuletzt fordert Noyb die Behörde zur Verhängung eines Bußgelds auf, um die zukünftige Einhaltung der Vorschriften sicherzustellen. Es ist davon auszugehen, dass dieser Fall im Rahmen der EU Zusammenarbeit behandelt wird.
