datenrecht.ch

noyb: Beschwer­de gegen Ope­nAI (Aus­kunft und Berichtigung)

noyb, die Orga­ni­sa­ti­on von Max Schrems, hat am 29. April 2024 bei der öster­rei­chi­schen Daten­schutz­be­hör­de eine Beschwer­de gegen Ope­nAI eingereicht.

Die Beschwer­de betrifft einen Nut­zer von ChatGPT, offen­bar eine öffent­li­che Per­son, der fest­ge­stellt hat­te, dass ChatGPT ein fal­sches Geburts­da­tum ange­ge­ben hat­te. Auf Anfra­ge des betref­fen­den Nut­zers hat­te Ope­nAI geant­wor­tet, es sei nicht mög­lich, das System an der fal­schen Ant­wort zu hin­dern. Zwar sol­len Fil­ter eine Bekannt­ga­be von Per­so­nen­da­ten ver­hin­dern, das Geburts­da­tum kön­ne aber nicht aus­ge­fil­tert wer­den, ohne dass auch wei­te­re Daten betrof­fen wären. Anga­ben des Nut­zers ins­ge­samt zu sper­ren ver­stie­sse sodann gegen das Recht auf Mei­nungs­äu­sse­rung und Information.

In der Sache macht noyb gel­tend, das Aus­kunfts­recht sei ver­letzt, weil Ope­nAI kei­ne Anga­ben zu Per­so­nen­da­ten im Modell gemacht hat (nur zum Nut­zer­ac­count), obwohl offen­sicht­lich Per­so­nen­da­ten ent­hal­ten seien.

Fer­ner sei auch das Berich­tungs­recht ver­letzt. Das Recht auf Mei­nungs­äu­sse­rung decke kei­ne Bear­bei­tung fal­scher Per­so­nen­da­ten, und eine tech­ni­sche Unmög­lich­keit der Kor­rek­tur sei kei­ne Rechtfertigung:

In the pre­sent case, howe­ver, the respon­dent can­not invo­ke its free­dom of expres­si­on. In the area of data pro­tec­tion, untrue state­ments of fact do not fall within the scope of pro­tec­tion of free­dom of expres­si­on. Fur­ther­mo­re, the (fal­se) date of birth of the com­plainant would not con­tri­bu­te anything to a deba­te of public inte­rest. The respon­dent was also unable to cite any legal pro­vi­si­on under Artic­le 85 GDPR that would allow a depar­tu­re from the prin­ci­ple of accu­ra­cy in favour of the complainant’s right to express an opi­ni­on – which is not appli­ca­ble here.

It must be stres­sed that the clai­med tech­ni­cal­ly impos­si­bi­li­ty to era­se or rec­ti­fy the data subject’s date of birth wit­hout blocking other rele­vant pie­ces of infor­ma­ti­on is by no means a valid justi­fi­ca­ti­on to dero­ga­te to the prin­ci­ple of accu­ra­cy under Artic­le 5(1)(d) GDPR. The fact that a soft­ware deve­lo­ped by a con­trol­ler is unable to com­ply with the law makes the pro­ce­s­sing sim­ply unlawful – but never the law inapplicable.

noyb ver­langt des­halb eine Unter­su­chung und Abhil­fe­mass­nah­men und regt eine Bus­se an. Ope­nAI in den USA sei zudem der Ver­ant­wort­li­che – zumin­dest bestehe eine Mit­ver­ant­wor­tung mit der iri­schen Gesell­schaft von Ope­nAI, die wohl nur pro for­ma errich­tet wor­den sei.

Aller­dings ist eine unzu­tref­fen­de Aus­sa­ge eines LLMs nicht unbe­dingt “falsch” – dann nicht, wenn dem Emp­fän­ger klar sein muss, dass Aus­sa­gen nichts als sta­ti­sti­sche Wahr­schein­lich­kei­ten sind. Sol­che nähe­rungs­wei­sen Aus­sa­gen sind nur falsch, wenn sie als Fak­tum dar­ge­stellt wer­den, d.h. wenn das berech­tig­te Ver­ständ­nis der Ver­kehrs­krei­se nicht der Wirk­lich­keit ent­spricht. Man kann sich fer­ner fra­gen, ob ein Aus­kunfts­recht nicht aus­ge­schlos­sen sein müss­te, weil Per­so­nen­da­ten im Modell gewis­ser­ma­ssen im “Gehirn” vor­han­den sind – ein Mensch müss­te zu sei­nen Gedan­ken jeden­falls kei­ne Aus­kunft erteilen.

Die Tat­sa­che, dass ein LLM grund­sätz­lich nicht gezielt, son­dern nur im Lauf der Zeit trai­nings­be­dingt zu ändern ist, erin­nert tat­säch­lich an ein Gehirn. Wür­de das Modell des­halb wie eine Per­son behan­delt – was es de lege lata natür­lich nicht ist, was als wei­te Ana­lo­gie aber nicht ganz abwe­gig wäre –, wür­de in daten­schutz­recht­li­cher Hin­sicht wie ange­spro­chen kein Aus­kunfts­an­spruch bestehen, weil “know­ledge in your head” nicht zu beaus­kunf­ten ist (dazu hier). Eine sol­che Ana­lo­gie wäre auch als urhe­ber­recht­li­cher Optik nicht unbe­dingt falsch, oder jeden­falls könn­te sie eini­ge Schwie­rig­kei­ten lösen. Das Trai­ning wäre Werk­ge­nuss, der frei und nicht auf eine Schran­ken­re­ge­lung ange­wie­sen ist, und am Out­put könn­ten sei­ner­seits urhe­ber­recht­li­che Befug­nis­se bestehen, die ent­spre­chend bestehen­der Rege­lun­gen dem “Auf­trag­ge­ber”, also dem Eig­ner des Modells zustün­den. In steu­er­recht­li­cher Hin­sicht müss­te die “Per­son AI-Modell” wohl am Markt­ort bzw. beim Lei­stungs­emp­fän­ger loka­li­siert wer­den, um eine Betriebs­stät­te oder ein Emp­fän­ger­prin­zip wie bei der MwSt. zu begrün­den. Nicht dass eine AI men­schen­ähn­lich wäre (eher das Umge­kehr­te ist zu befürch­ten), aber gewis­se Ana­lo­gien drän­gen sich auf.

Behörde

Gebiet

Themen

Ähnliche Beiträge

Newsletter