Jusletter IT

Durch das künstlicher Intelligenz (KI) zugeschriebene Potential¹ widmen sich internationale und nationale Akteure der Eignung des geltenden Rechtsrahmens für die Einordnung von KI.² Entscheidende Entwicklungsstufen waren der in den 1930er Jahren von Zuse gebaute erste automatische Computer für die Praxis³ und Turings Auseinandersetzung mit dem Phänomen «denkender Maschinen». ⁴ Heute wird KI von vielen genutzt. Nach wie vor mangelt es aber an Einigkeit über eine Definition des bereits 1955 so bezeichneten Forschungsgegenstandes.⁵ KI wird als «the programming of computers to do tasks that would normally require human intelligence»⁶ beschrieben, als Untersuchung von Agenten, die die Umgebung wahrnehmen und Aktionen ausführen⁷, als «Berechnungsverfahren, die es ermöglichen wahrzunehmen, zu schlussfolgern und zu handeln»⁸ oder als «a system’s ability to interpret external data correctly, to learn from such data, and to use those learnings to achieve specific goals and tasks through flexible adaptation»⁹ definiert.

Nach ihren Funktionen im Vergleich zu den Möglichkeiten eines Menschen können mit absteigender Leistungsfähigkeit künstliche Superintelligenz, die in jedem Bereich Leistung über menschlichem Niveau erbringen könne, von starker KI¹⁰, die Menschen in einigen Bereichen gleichkomme oder diese übertreffe, und schwacher KI, die Menschen nur in bestimmten Gebieten übertreffe oder Fähigkeiten unter menschlichem Niveau habe, unterschieden werden. KI habe die Fähigkeiten zu lernen, wahrzunehmen und Objekte zu kontrollieren, künstlerische Kreativität könne KI jedoch im Gegensatz zu Fähigkeiten kognitiver, emotionaler und sozialer Intelligenz nicht imitieren.¹¹ KI-Technologien werden auch in natürliche Sprache (z.B. Chatbots), visuelles Vermögen des Computers und Biometrie (z.B. Bilderkennung) sowie technische Fundamente (z.B. maschinelles Lernen) eingeteilt.¹² Beim maschinellen Lernen können einprogrammierte Regeln durch die Ergänzung um neue Regeln oder das Entfernen ursprünglich vorhanden gewesener Regeln verändert werden.¹³ Andrade vergleicht KI mit einem Schüler, der den Stoff im Unterricht aufnimmt und sieht bei maschinellem Lernen durch Zugriff auf externe Quellen wie das Internet oder Sensoren Parallelen zu einem Schüler im Selbststudium. Bei tiefergehendem Lernen lerne die Maschine zusätzlich aus ihren eigenen Fehlern.¹⁴ Unabhängig von der Grundsatzfrage, ob Systeme überhaupt intelligent sein können oder nicht¹⁵, konnten Computerprogramme Menschen in gewissen Bereichen übertreffen.¹⁶

KI ist die Basis für Softwareagenten. Diese wurden als «Algorithmen, also als mathematisch formalisierte Informationsflüsse […], denen in Wirtschaft und Gesellschaft unter bestimmten Bedingungen soziale Identität und Handlungsfähigkeit zugeschrieben wird» ¹⁷ und auch als «a program that acts independently on behalf of its user, in furtherance of its interests» beschrieben. ¹⁸ Chatbots können in beide Definitionen eingeordnet werden. Diese sind Computerprogramme, die – in der Regel von Unternehmen oder der öffentlichen Verwaltung eingesetzt¹⁹ – eine öffentliche oder private Unterhaltung mit einem Menschen simulieren.²⁰

Aus ethischer Perspektive wird die Zuweisung von Autonomie zu einem System an sich kritisiert.²¹ Die juristische Diskussion grenzt das autonome System zu anderen Begriffen oft nicht genau ab.²² Die Vorstellung der Lösung von Aufgaben weitgehend ohne menschliche Unterstützung liegt jedoch vielen Erklärungsansätzen zu Grunde.²³ Dem folgt auch das EP, das sich für die Festlegung von Definitionen aussprach und Autonomie als Fähigkeit beschrieb, «Entscheidungen zu treffen und diese in der äußeren Welt unabhängig von externer Steuerung oder Einflussnahme umzusetzen.»²⁴ Als Kriterien zur Abgrenzung autonomer Systeme von Systemen mit geringerem Automatisierungsgrad können Selbstlernen und Selbstregulation dienen, wobei Selbstregulation die Adaption des Gelernten in neuen Situationen umfasst.²⁵ Der zu autonomem Verhalten befähigte elektronische Agent reagiert auf neue Erkenntnisse und ändert die Bearbeitungsreihenfolge.²⁶ Kennzeichnend für autonome Systeme sei die Bündelung mehrerer Technologien zum Lernen, zur Wahrnehmung und zur Ausführung von Aktionen durch die Bewegung von Objekten oder die Erteilung von Software-Befehlen. ²⁷ Autonom im rechtlichen Sinn würden Softwareagenten durch die Verfolgung eigener Ziele und deren Abänderung sowie durch das Treffen nicht vorhersehbarer Entscheidungen.²⁸ Wesentliches Unterscheidungsmerkmal von anderer Software sei daher ihre Eigenständigkeit oder Nicht-Determiniertheit.²⁹ Ein nach reinen Wenn-Dann-Regeln agierender Algorithmus ist folglich kein autonomes System.³⁰ Daraus lassen sich die Kriterien der Zielorientiertheit, Eigenständigkeit, Lernfähigkeit und Reaktionsfähigkeit ableiten. Diese wurden von Wiebe 2002 zur Charakterisierung intelligenter Agenten herangezogen, welche er in Informations-, Kooperations- und Transaktionsagenten einteilte. Zwecke der Agenten können die Suche, Filterung und Präsentation von Information, Problemlösung gemeinsam mit anderen Agenten, Menschen oder externen Ressourcen und Durchführung von Transaktionen mit einschließen.³¹ Um in diesem Sinn autonom agieren zu können, muss ein Softwareagent die Vorlieben seines Nutzers kennen,³² was eine Verarbeitung personenbezogener Daten voraussetzen wird.

Datenschutzrechtlicher Anknüpfungspunkt ist die Verarbeitung personenbezogener Daten. Nachfolgend wird unter Rückgriff auf eine bestehende Kategorisierung gezeigt, welche Daten durch Bots erhoben werden könnten. Dabei zeigt sich, dass diese Parallelen zur Datenerhebung beim autonomen Fahren aufweisen. Darauf aufbauend wird reflektiert, welche Faktoren zur Einordnung eines KI-Systems als Verantwortlicher relevant sind. Unabhängig davon ist bei Betroffenenrechten, konkret der Umsetzung des Rechts auf Löschung und der Datenportabilität, Klärungsbedarf zu orten.

Der Anwendungsbereich des Datenschutzes ist durch den Einsatz eines autonomen Systems wie beispielsweise eines Bots jedenfalls eröffnet, wie Tabelle 1 zeigt. Ausgehend vom vieldiskutierten³³ autonomen Fahren kategorisieren Klink-Straub/Straub verschiedene Daten (Tabelle 1, linke Spalte), die auf die Verarbeitung von Daten durch Bots umgelegt wurden (rechte Spalte).

Tabelle 1: Durch autonome Systeme verarbeitete Datenarten

Es ist zu erwägen, sämtliche in Interaktion mit einem Bot anfallende Daten als personenbezogene Daten einzustufen, zumal auch erwogen wurde, «sämtliche durch ein Fahrzeug beim autonomen Fahren generierte Daten als personenbezogene Daten iwS zu behandeln»³⁵. Kunnert unterscheidet Daten zur Eigenlokalisierung, zur Umweltsensorik, zum Verhalten und Zustand des Fahrers und aus Kommunikationsvorgängen sowie den Unfalldatenspeicher voneinander. Wie Tabelle 1 zeigt, könnten auch Bots entsprechende Daten erheben.

Sowohl die Diskussion über die Zuordnung von Rechtspersönlichkeit zu einem autonomen System, die daran anknüpfende Haftung für Schäden als auch die konkrete technische Ausgestaltung des «Entscheidungsspielraums» des Systems haben Auswirkungen auf die datenschutzrechtliche Verantwortlichkeit. Theoretisch definiert Art 4 Z 7 DSGVO ganz klar jene Person als Adressaten der Rechenschaftspflicht, die über den Zweck und die Mittel der Datenverarbeitung entscheidet. Unerheblich für die Rolle des Verantwortlichen ist dabei, ob die Entscheidung alleine oder gemeinsam mit anderen gefällt wird. Wesentlich ist, wer «über das Ob, Wofür und Wieweit einer Datenverarbeitung»³⁶ entscheidet, wer faktisch (nicht unbedingt rechtmäßig) die Entscheidungsmacht hat³⁷. In der Praxis muss nicht eindeutig sein, ob dem Hersteller, dem Betreiber, dem Nutzer und/oder der KI selbst die Rolle des Verantwortlichen zukommt.³⁸ Die Praxisrelevanz dieser Überlegungen zeigt die Auslegung der US-Bundesbehörde für Straßen- und Verkehrsaufsicht, wonach eine ein Fahrzeug steuernde KI unter den Begriff Lenker fällt.³⁹

Die im Immaterialgüterrecht diskutierte rechtliche Zuordnung von durch Softwareagenten generiertem Wissen, das in die Schaffung eines schutzwürdigen Werkes mündet⁴⁰, lässt sich auf das gesamte Privatrecht ausdehnen⁴¹. Seit über 15 Jahren⁴² ist die Frage strittig, ob einer technischen Vergegenständlichung (KI, Computer, Programm oder Roboter) eine Art Rechtspersönlichkeit zugeordnet werden soll. Gegen eine «ePerson» spreche, dass auftretende Rechtsfragen mit traditionellen Instrumenten ausreichend gelöst werden könnten: Das KI-System entscheide nicht autonom, sondern sei – wie ein Bleistift – Werkzeug zur Abgabe einer Willenserklärung des Nutzers⁴³, der durch Genehmigung der Systemparameter das Ergebnis in Kauf nehme.⁴⁴ Durch den vorgegebenen Agitationsrahmen sei ein Chatbot mit einem Warenautomat zu vergleichen und bloß das Medium, dessen sich der Betreiber zur Abgabe der Willenserklärung bedient.⁴⁵ Autonome Softwareagenten können im Hinblick auf die Zurechnung von Willenserklärungen auch als «technische Hilfspersonen» gesehen werden, deren Agieren sich der Geschäftsherr wie eigene Handlungen zurechnen lassen müsse⁴⁶. Auch fehlendes menschliches Bewusstsein wird gegen die Zuweisung einer Rechtspersönlichkeit ins Treffen geführt.⁴⁷

Andererseits wurden Parallelen von KI Systemen zu juristischen Personen gezogen.⁴⁸ Das Europäische Parlament unterstützt die Zuweisung von Rechtspersönlichkeit zu hoch entwickelten autonomen Robotern, vor allem weil die Verantwortung für von diesen verursachten Schäden klar zugewiesen und eigenständige Entscheidungen erfasst würden.⁴⁹

Würde man Systemen eine Art Rechtspersönlichkeit zubilligen, käme eine Stellung als Stellvertreter oder Bote in Betracht⁵⁰. Bei Teilrechtsfähigkeit und analoger Anwendung der Stellvertretungsregeln⁵¹ könnten autonome Systeme als beschränkt geschäftsfähige Stellvertreter für Vertragsabschlüsse eingesetzt werden, wenn deren Einsatz gekennzeichnet und so an die Möglichkeit geknüpft werde, den Vertragsabschluss mittels des autonomen Systems abzulehnen, solange die Überschreitung der Vertretungsmacht nicht technisch verhindert werden könne. ⁵² Schwierigkeiten bei einer Haftung für das Handeln des Systems ohne Vertretungsmacht sprächen gegen eine analoge Anwendung der Stellvertretungsregeln auf Softwareagenten.⁵³ Es wurde die Schaffung einer neuen Gefährdungshaftung erwogen⁵⁴ und für eine digitale Assistenzhaftung argumentiert, wobei der Vertretene für rechtswidrige Fehlentscheidungen seines Softwareagenten haften solle.⁵⁵ Einerseits werden Gleichstellungen von autonomen Systemen mit Menschen in Bezug auf bestimmte Rechtsnormen und für autonome Systeme maßgeschneiderte Haftungsregelungen erwartet.⁵⁶ Andererseits werden lediglich geringe Adaptionen des geltenden Rechts vorgeschlagen. Zur Verhinderung von Schwierigkeiten bei der Beweisführung einer Verschuldenshaftung solle die Einbeziehung von Software in den Produktbegriff geregelt werden.⁵⁷ Zudem wird eine Haftung der KI selbst oder als Gehilfe erwogen. «Wenn der Roboter selbstständig denken kann (also vor allem nach den Vorstellungen der sog. «starken KI»), dann kann er auch schuldhaft handeln.»⁵⁸

Prinzipiell knüpft Haftung – wie auch die Rolle des Verantwortlichen – an Steuerung an. Wer steuert aber ein autonomes System? Zieht man denjenigen, der den Not-Ausschalter⁵⁹ betätigen kann, als Verantwortlichen in Betracht, ist zweifelhaft, inwiefern er im laufenden Betrieb über den Zweck und die Mittel der Verarbeitung entscheidet. Theoretisch denkbar ist eine zwischen Bot und Nutzer geteilte Verantwortlichkeit oder die Qualifikation des Bot als Auftragsverarbeiter, vorausgesetzt dem Bot soll Rechtspersönlichkeit zukommen.

Zu den mit der Rolle des Verantwortlichen einhergehenden Pflichten zählen umfangreiche Informationspflichten. Art 13 DSGVO ist maßgeblich, wenn personenbezogene Daten bei der betroffenen Person erhoben werden. Die Informationen gem. Art 13 DSGVO haben nach ihrem Zweck vor der Erhebung der Daten, d.h. vor dem erstmaligen zielgerichteten Zugriff eines bestimmten Verantwortlichen auf bestimmte personenbezogene Daten mit dem Ziel der Weiterverarbeitung, bei dem es dem Verantwortlichen möglich ist, die Informationen bereitzustellen (z.B. persönlicher Kontakt), zu erfolgen.⁶⁰ Für den Fall mehrerer Verantwortlicher ist nach Art. 26 Abs. 1, 2. Satz DSGVO eine Vereinbarung über die Aufteilung der Erfüllung der Pflichten nach der DSGVO erforderlich, d.h. es muss nicht derjenige, der die Daten erhebt, auch die Informationspflichten erfüllen,⁶¹ mehrere Verantwortliche haften solidarisch.⁶² Wäre das System rechtsfähig, könnten Pflichten und Haftung auch das System selbst treffen. Diesfalls sollte ein Chatbot als erste Antwort oder noch vor Beginn der Konversation die Informationen erteilen und mit einem eigenen Haftungsfonds ausgestattet sein. Für den Fall des Systems als Verantwortlicher wäre m.E. die Kennzeichnung von Bots, für welche Pflicht es auch andere Argumente⁶³ gibt, dann als von den datenschutzrechtlichen Informationspflichten umfasst anzusehen. Förderlich für die Transparenz kann außerdem die Offenlegung des Algorithmus sein.⁶⁴

Für die Rechtmäßigkeit der Datenverarbeitung durch autonome Systeme sind Einwilligung und Erfüllung eines Vertrages in Betracht zu ziehen. Die Erfüllung eines Vertrages etwa dann, wenn ein Bot dazu eingesetzt wird, die bevorzugten Datenschutzeinstellungen seines Nutzers auf Seiten zu hinterlegen.⁶⁵ Schon im Sinn der Datensparsamkeit sollte ihm die Ablehnung der nicht für den Einsatz des Bot nötigen Datenverarbeitungen möglich sein.⁶⁶ Für eine informierte Entscheidung sollte transparent sein, welche Sicherheitsmaßnahmen in den einzelnen Abschnitten der Datenverarbeitung von der Auswahl der zu speichernden Daten über die Speicherung, den Zugriff auf gespeicherte Daten bis hin zu deren Löschung getroffen werden und soweit technisch zur Erfüllung der Aufgabe möglich, sollten die bei der Nutzung von Softwareagenten anfallenden Daten sofort überschrieben werden.⁶⁷ Technische Standards in der Umsetzung des Rechts auf Löschung und des Rechts auf Datenportabilität sind besonders im Hinblick auf eine mögliche zukünftige Stellung autonomer Systeme als Verantwortliche relevant, werden aber auch unabhängig davon gefordert. Es bestehe Ungewissheit, welche Handlung das Recht auf Löschung erfüllt, z.B. ob bei Datenbanken die Entfernung aus dem Suchindex, das Überschreiben der Datei, die Löschung aus Log-Dateien und Sicherheitskopien oder die Entfernung von allen internen Mechanismen nötig sei.⁶⁸ Die Annahme, dass der Gesetzgeber nicht Unmögliches verlangt, bedarf einer praktischen Konkretisierung. Präzisierungsbedarf beim Recht auf Datenportabilität betrifft den Fall des Vorliegens mehrerer Betroffener. Im Hinblick auf die Stärkung Betroffener durch die Bekämpfung des «Lock-In Effekts»⁶⁹ haben diese das Recht, auf Grund einer Einwilligung oder eines Vertrages⁷⁰ dem Verantwortlichen bewusst oder weniger bewusst⁷¹ bereitgestellte Daten, die sich zumindest auch auf den anfragenden Betroffenen beziehen, auf eine andere IT-Umgebung übertragen zu bekommen⁷², sofern die Daten automatisiert verarbeitet werden. Wenn der empfangende Verantwortliche die gesandten Daten verarbeitet – wozu er nicht verpflichtet ist – hat er aus den empfangenen Daten nur jene zu verarbeiten, die er für den neuen Zweck benötigt.⁷³ Im Einzelfall kann das Ziehen der Grenze zwischen berechtigter Rechtsausübung und Beeinträchtigung der Rechte anderer herausfordernd sein. ⁷⁴

Die Datenverarbeitung durch Bots ist mit der Datenverarbeitung bei autonomem Fahren vergleichbar. Es können Daten über das Gerät samt seinen technischen Eigenschaften wie auch mannigfaltige nutzungs- und nutzerbezogene Daten von der Art der Internetverbindung über das Tippverhalten bis hin zu Charakteristika der Umgebung des Geräts und des Nutzers erhoben werden. Auf Grund des Potentials des Einsatzes von Bots⁷⁵ verdient die Auseinandersetzung mit den rechtlichen Folgen eine ähnliche Aufmerksamkeit wie sie dem autonomen Fahren zuteilwird. Es bedarf der Auseinandersetzung mit dem Umgang autonomer Systeme im Hinblick auf eine ihnen zugeschriebene datenschutzrechtliche Verantwortlichkeit. Technische Standards für die Erfüllung des Rechts auf Löschung aus vernetzten autonomen Systemen und Maßnahmen zur Miteinbeziehung der weiteren Betroffenen im Fall der Datenportabilität sind festzulegen. Begriffsbestimmungen innerhalb der KI sollten divergierende Annahmen ablösen. Um die technische Einhaltung der Datenschutzgrundsätze durch autonome Systeme sicherzustellen, bedarf es einer Zusammenarbeit zwischen Juristen und Technikern⁷⁶. Weitere Forschungsfelder sind die Förderung der Berücksichtigung des Rechts auf Privatsphäre durch die einzelnen Nutzer untereinander⁷⁷ und die Kriterien, die autonome Systeme zur Abwägung anwenden sollen, wenn mehrere Rechtsgüter von ihrer Entscheidung betroffen sind⁷⁸. Konkretere Fragen wie die Gestaltung der Haftung für durch autonome Systeme verursachte Schäden harren genauso einer allgemein akzeptierten Lösung wie weniger greifbare Themenkreise. Zur letztgenannten Gruppe gehören die Erhebung der freien und unbeeinflussten Entwicklung der Menschen zum obersten Ziel des Einsatzes autonomer Systeme sowie die Frage, inwiefern das Recht Systemen «das Gute» vorgeben kann.⁷⁹ Die Dringlichkeit dieser Forschungsansätze ergibt sich aus Ambitionen, hoch entwickelte Systeme einen Beitrag zu einer besseren Lebensqualität der Menschen leisten zu lassen.

«Die Rechenautomaten haben etwas von den Zauberern im Märchen. Sie geben einem wohl, was man sich wünscht, doch sagen sie einem nicht, was man sich wünschen soll.» Norbert Wiener (1894–1964)