Jusletter IT

Künstliche Intelligenz (KI) ist ein hot topic – kaum vergeht eine Woche ohne aufsehenerregende Schlagzeilen zu KI, die grosse Hoffnungen wecken, aber auch ebenso grosse Ängste schüren. Dazu gehören beispielsweise die erfolgreiche Bekämpfung von Hunger¹, Krankheiten sowie Kriminalität aber auch die Abhängigkeit oder Versklavung der Menschen² durch KI. Auch wenn solche Prognosen aus heutiger Sicht utopisch klingen mögen, werden Stimmen nach zwingender Regulierung von KI zunehmend lauter³. «Freiwillige» Guidelines für den vermeintlich richtigen Umgang mit KI gibt es bereits heute wie Sand am Meer: Eine Google-Suche der Schlagwörter «AI» und «Guidelines» führt zu mehr als 0.5 Mio. Treffern. Zahlreiche staatliche Behörden, Think Tanks, NGO sowie Big Tech-Unternehmen haben Richtlinien, Strategien, Grundsatzpapiere etc. zu KI veröffentlicht.

In diesem Zusammenhang stellen sich aus der Sicht des juristischen Praktikers folgende Fragen: Wie soll mit bestehenden KI-Guidelines umgegangen werden? Gibt es aus einer rechtlichen Perspektive Handlungsbedarf⁴? Wenn ja, welchen?

Die erste ganz praktische Herausforderung besteht darin, sich eine Übersicht über die riesige Vielzahl und Vielfalt der veröffentlichten KI-Guidelines⁵ zu verschaffen. Glücklicherweise existieren erste Meta-Guidelines, die sich mit der Analyse bestehender KI-Guidelines befassen. Beispielsweise haben Forscher der Harvard University sechsunddreissig KI-Guidlines namhafter Akteure aus verschiedenen Organisationen, Branchen sowie aus unterschiedlichen Kontinenten untersucht und verglichen⁶. Dabei sind die Forscher zu einem überraschenden Ergebnis gelangt: Trotz hoher Diversität der Akteure wurden acht Grundsätze identifiziert, denen beim Umgang mit KI-Technologien übereinstimmend besonders grosse Bedeutung zukommen soll: Privacy, Accountability, Safety and Security, Explainability and Transparency, Fairness and Non-Discrimination, Human Control of Technology, Professional Responsibility sowie Promotion of Human Values.

Nachfolgend wird untersucht, wie diese acht KI-Grundsätze aus rechtlicher Sicht zu beurteilen sind, insbesondere mit Blick auf das geltende sowie totalrevidierte Datenschutzgesetz (DSG bzw. revDSG) und die Europäische Datenschutz-Grundverordnung (EU-DSGVO). In einem zweiten Schritt wird auf deren Operationalisierung in der Unternehmenspraxis eingegangen.

Privacy wurde als Grundsatz in 97% der untersuchten KI-Guidelines erwähnt. Vereinfacht gesagt, wird darunter der Schutz der Privatsphäre natürlicher Personen, die von KI-Technologien betroffen sind, verstanden. Dieser Schutz soll beispielsweise durch Ansprüche auf Löschung, Widerspruch, Berichtigung oder generell durch informationelle Selbstbestimmung gewährleistet werden.

Mit Blick auf die Bestimmungen von Art. 28 ZGB, des derzeit geltenden DSG, dessen Totalrevision (revDSG), der EU-DSGVO (sofern anwendbar⁷) und einer Vielzahl spezialgesetzlicher Normen zum Schutz der Persönlichkeitsrechte, beispielsweise im Arbeits- oder Strafrecht⁸, zeigt sich, dass der Privacy-Grundsatz heute bereits weitestgehend durch rechtliche Vorgaben abgedeckt ist. Aus rechtlicher Sicht besteht demnach kein zusätzlicher, KI-spezifischer Handlungsbedarf.

81% der analysierten KI-Guidelines enthalten Security and Safety als KI-Grundsatz. Sie verstehen darunter im Wesentlichen die klassischen Schutzziele der Informationssicherheit, namentlich die Vertraulichkeit, Integrität sowie Verfügbarkeit.

Security and Safety werden durch eine Vielzahl rechtlicher Vorgaben beispielsweise im Strafrecht⁹, Datenschutzrecht¹⁰ sowie durch spezialgesetzliche¹¹ und sektorspezifische Normen¹² weitgehend abgedeckt. Darüber hinaus gibt es eine grosse Anzahl etablierter (nicht rechtlicher) Regeln der Berufskunde¹³, die ebenfalls Vorgaben für Security and Safety definieren. Auch hier ist kein KI-spezifischer Handlungsbedarf aus rechtlicher Perspektive erkennbar.

Sämtliche (100%) untersuchten KI-Guidelines sehen Fairness and Non-Discrimination als Grundsatz für KI-Technologien vor und wollen damit die Angst vor beispielsweise «algorithmic bias» oder vor «technochauvinistischen»¹⁴ Applikationen durch KI adressiert wissen.

Einerseits dürfte der Gedanke von Fairness and Non-Discrimination mindestens teilweise durch rechtliche Vorgaben zu Treu und Glaube¹⁵, Richtigkeit der Daten¹⁶ aber auch zum Schutz vor unlauterem Wettbewerb¹⁷, durch das Kartellgesetz¹⁸ sowie Strafrecht¹⁹ abgedeckt sein. Andererseits gilt es insbesondere im Zusammenhang mit dem Diskriminierungsverbot zu beachten, dass die schweizerische Rechtsordnung grundsätzlich keine direkte Drittwirkung von Grundrechten im Privatbereich vorsieht²⁰; das Primat der Privatautonomie und der Vertragsfreiheit steht einem generellen Diskriminierungsverbot entgegen²¹. Beispielsweise verstösst die Festlegung unterschiedlicher (dynamischer) Preise für dieselben Güter oder Dienstleistungen unter Einbezug subjektiver Kriterien potenzieller Käufer im Privatbereich per se nicht gegen das Diskriminierungsverbot²².

Wo von Grundsätzen die Rede ist, gibt es auch Ausnahmen: So beispielsweise bei der Gleichstellung von Mann und Frau (Art. 8 Abs. 3 BV), die auch im Privatbereich direkt anwendbar ist. Darüber hinaus hat der schweizerische Verfassungsgeber in Art. 35 Abs. 3 BV vorgesehen, dass Grundrechte, soweit sie sich dafür eignen, insbesondere im Rahmen des Rechtsetzungsverfahrens für den Privatbereich berücksichtigt werden sollen²³. Diesem Auftrag wurde in bestimmten Bereichen mit dem Mittel spezialgesetzlicher Diskriminierungsverbote²⁴ Rechnung getragen.

Demnach werden Fairness and Non-Discrimination zwar durch rechtliche Vorgaben mindestens teilweise abgedeckt. Weil in der Schweiz ein generelles Diskriminierungsverbot fehlt, kann im Rahmen der Privatautonomie freiwillig auf das Ausschöpfen des rechtlich zulässigen Maximums verzichtet werden; beispielsweise indem die erwähnte dynamische Preisfestlegung nicht verwendet wird, obwohl diese «Ungleichbehandlung» rechtlich zulässig wäre. Solche Managemententscheide werden vermehrt als «ethische» Entscheide bezeichnet und können u.a. mit dem Geschäftsmodell, der Marktpositionierung oder der Reputation des jeweiligen Unternehmens begründet werden. Dieser Spielraum besteht unabhängig von KI-Technologien, dürfte aber bei deren Einsatz besonders sorgfältig geprüft werden, um allfällige KI-spezifische Diskriminierungsängste²⁵ im Voraus zu entschärfen. In diesem Zusammenhang könnte auch der Blick über das eigene Unternehmen hinaus interessieren: Die FINMA hat die zulässige Diskriminierung des zunehmend gläsernen Versicherungsnehmers als langfristiges Risiko für den Versicherungsmarkt insgesamt identifiziert²⁶. Diese könne nämlich zu einer Entsolidarisierung, zu Missbrauch gegenüber Kunden sowie zu verschärfter Konkurrenz durch neue Dienstleister führen.

94% der Guidelines sprechen sich für Explainability and Transparency im Zusammenhang mit KI aus. Unter Explainability wird die Beantwortung der Fragen «wie funktionieren KI-Technologien» oder «auf welcher Berechnungsgrundlage bzw. Logik hat KI im Einzelfall entschieden» usw. verstanden. Mit Transparency ist dagegen gemeint, dass der Einsatz sowie die wesentlichen Eckwerte von KI-Technologien (z.B. Quellen, Verwendungszwecke, Empfänger) gegenüber den betroffenen Personen erkennbar, d.h. transparent, gemacht werden sollen.

Erklärbarkeit (Explainability) und Transparenz (Transparency) nehmen insbesondere im Datenschutzrecht²⁷ eine herausragende Stellung ein und sind Ausfluss des Grundgedankens der informationellen Selbstbestimmung²⁸. Diese wird vornehmlich durch Informationspflichten, Betroffenenrechte (inkl. Darlegung der Logik, auf der eine Entscheidung beruht, sofern die Voraussetzungen der automatisierten Einzelentscheidung erfüllt werden) sowie durch Datenschutz-Folgeabschätzungen (DSFA) oder Zertifizierungen sichergestellt. Je nach Anwendungsfall kommen spezialgesetzliche Vorgaben²⁹ hinzu.

Demnach werden Explainability and Transparency ebenfalls durch rechtliche Vorgaben abgedeckt, vor allem wenn Personendaten bearbeitet werden. Ausserhalb der Bearbeitung von Personendaten³⁰, z.B. bei reinen Sachdaten (d.h. Angaben, bei denen von vornherein kein Personenbezug existierte), anonymisierten Daten (d.h. Angaben, bei denen sämtliche Identifikationsmerkmale einer Person entfernt wurden) oder synthetischen («erfundenen») Daten, könnte aus ethischen Gründen (vgl. 3.3.) freiwillig und damit gesetzesüberschiessend auf den Einsatz von KI-Technologien hingewiesen («transparent gemacht») und diese soweit wie möglich³¹, erklärt werden.

Der Nachweis der Einhaltung von Vorgaben bzw. deren richtige Anwendung im Einzelfall wird von 97% der beleuchteten KI-Guidelines als guiding principle angesehen. Dieser Grundsatz soll beispielsweise mit den Mitteln eines Impact Assessments, Monitorings, Audits, menschlicher Intervention etc. sichergestellt werden.

Das Konzept der Accountability (Rechenschaftspflicht) ist in der schweizerischen Rechtsordnung insbesondere im Datenschutzrecht³² und in generell regulierten Branchen³³ fest verankert. Dabei spielen Dokumentationspflichten wie Inventare, Assessments, Datenschutz-Folgeabschätzungen (DSFA), Monitoring sowie Kontrollen eine zentrale Rolle. Voraussetzung für eine robuste Accountability sind jedoch die Grundsätze der Transparency und vor allem der Explainability. Nur wenn feststeht, wer, was, wie macht, kann auch darüber Rechenschaft abgelegt werden.

Folglich wird Accountability als rechtliche Vorgabe im datengetriebenen Umfeld von KI-Technologien weitgehend durch datenschutzrechtliche und/oder sektorspezifische Vorgaben hinreichend abgedeckt. Auch hier ist ein KI-spezifischer Handlungsbedarf aus rechtlicher Perspektive kaum erkennbar.

Die Befürchtung, KI könne den Menschen überflügeln und müsse deswegen rechtzeitig mit einer Art «Kill Switch» abgestellt werden können, ist nach wie vor verbreitet und fusst offenbar auf einem generellen Misstrauen³⁴ gegenüber Vorgängen ohne (vollständige) menschliche Kontrolle. Aus diesem Grund wird Human Control of Technology in 69% der KI-Guidelines als Grundsatz vorgegeben und soll insbesondere mit den Mitteln des Widerspruchs bzw. der menschlichen Überprüfung automatisierter Entscheide sichergestellt werden.

Überall wo der Mensch und seine (Personen)Daten betroffen sind, gelangt das Datenschutzrecht zur Anwendung. Dieses teilt offenbar das erwähnte Misstrauen und sieht eine Reihe rechtlicher Vorgaben³⁵, insbesondere im Bereich der Betroffenenrechte vor, welche sich gegen die automatisierte aber auch manuelle Bearbeitung seiner Personendaten richten. Demnach ist Human Control of Technology bereits heute bzw. spätestens mit dem Inkrafttreten des revDSG weitgehend durch datenschutzrechtliche Vorgaben abgedeckt.

Wenn es nach 78% der untersuchten KI-Guidelines geht, steht der Mensch am Anfang einer Idee und übt einen wesentlichen Einfluss auf Design, Entwicklung, Funktionsweise sowie Zielsetzung von KI-Technologien aus. Damit dieser Einfluss «richtig» ausgeübt wird, sollen Grundsätze beispielsweise für (Daten)Richtigkeit, für die Berücksichtigung langfristiger Konsequenzen, für den Beizug unterschiedlicher Stakeholder oder für wissenschaftliche Integrität («scientific integrity») konkretisiert und anschliessend verwendet werden.

Rechtliche Vorgaben beispielsweise im Arbeitsrecht³⁶, Auftragsrecht³⁷, Datenschutzrecht (vgl. auch Privacy by Design und Default sowie Ziff. 4 unten)³⁸, Haftungsrecht³⁹ und Strafrecht⁴⁰ geben vor, dass sorgfältig, richtig und vorausschauend gearbeitet werden soll. Diese werden i.d.R. durch (nicht rechtliche) Regeln der Berufskunde, Branchenstandards, Usanzen usw. konkretisiert⁴¹. Damit dürfte der Grundsatz der Professional Responsibility aus rechtlicher Sicht hinreichend abgedeckt sein.

Der letzte gemeinsame Nenner lautet Promotion of Human Values und wird in 69% der ausgewerteten Guidelines als KI-Grundsatz erwähnt.

Dieser Grundsatz besagt im Wesentlichen, dass KI-Technologien einen positiven Einfluss auf den Menschen haben und seinem Fortkommen dienen sollten. Was genau darunter verstanden werden soll, ist jedoch jedem Unternehmen selbst überlassen.

Innerhalb des anwendbaren Rechtsrahmen ist jedes Unternehmen frei, selbst zu definieren, wozu es KI einsetzen will und wie damit eine positive Wirkung erzielt werden kann. KI ist kein Selbstzweck, sondern lediglich ein (machtvolles) Mittel zur Erreichung eines oder mehrerer Ziele. Insofern ist der Grundsatz von Promotion of Human Values keine rechtliche Vorgabe, sondern ein Auftrag zur «freiwilligen» Definition sinnvoller geschäftspolitischer bzw. «ethischer» Ziele, welche mit dem Mittel von KI-Technologien erreicht werden sollen. Beispielsweise hat eine Gruppe von Wissenschaftlern, Ingenieuren sowie Unternehmern im Rahmen einer privaten Initiative⁴² öffentlich versprochen, KI nicht für die Entwicklung, Herstellung und Handel von tödlichen, autonomen Waffen zu verwenden.

Sechs⁴³ der acht beleuchteten KI-Grundsätze sind weitgehende Wiederholungen anerkannter sowie fest verankerter, rechtlicher Vorgaben, die gerichtlich überprüft und gegebenenfalls mit staatlichen (Zwangs)Mitteln durchgesetzt werden können. Die übrigen zwei⁴⁴ KI-Grundsätze entsprechen einer generellen Aufforderung, ethische Entscheide nach Massgabe individueller (Unternehmens)Ziele innerhalb des Rechtsrahmens als freiwillige Einschränkung des rechtlich zulässigen Maximums zu treffen. Folglich scheint es aus rechtlicher Sicht keinen Handlungsbedarf hinschlich der erwähnten KI-Grundsätze zu geben; der Mehrwert der untersuchten KI-Guidelines mag für den juristischen Praktiker eher gering ausfallen. Wieso ist das so?

Ob und inwieweit rechtliche Vorgaben anwendbar sind, bestimmt sich nach der Erfüllung ihrer Tatbestandsvoraussetzungen. Diese sind generell-abstrakt sowie technologieneutral formuliert, dadurch viel beständiger und müssen nicht laufend angepasst werden. Rechtliche Vorgaben knüpfen folglich in der Regel nicht an die Verwendung bestimmter Technologien an, sondern an das Vorliegen konkreter Lebenssachverhalte und Anwendungsfälle. Ob dabei (KI)-Technologien verwendet werden oder nicht, spielt mangels spezifischer Rechtsgrundlagen für KI mindestens derzeit⁴⁵ keine entscheidende Rolle⁴⁶. Ferner ist die Anwendung von (KI-)Technologien auf mannigfache Lebenssachverhalte denkbar. Im Gegenzug sind auch die potenziell anwendbaren rechtlichen Vorgaben vielseitig. Dieser Umstand macht die Formulierung fassbarer (KI-)Guidelines zur Regelung allgemeiner Lebenssachverhalte sehr schwierig. Es gilt nämlich der Lieblingssatz des Juristen: Es kommt auf den Einzelfall an. Schliesslich ist in der Praxis eine Abgrenzung zwischen rechtlichen sowie («freiwilligen») ethischen Vorgaben wichtig: Während die Einhaltung rechtlicher Vorgaben mittels staatlicher Zwangsmittel durchgesetzt und deren Nichteinhaltung sanktioniert werden kann, ziehen Verstösse gegen ethische Ziele (vgl. Ziff. 3.3) vorwiegend Reputationsschäden nach sich.

Im nicht-rechtlichen Bereich gibt es jedoch sehr wohl Handlungsbedarf im Zusammenhang mit KI-Guidelines. Dabei spielt das Three Lines⁴⁷ (of Defense) Model⁴⁸ für ein effektives Risikomanagement und eine wirksame Corporate Governance eine wichtige Rolle: Wurde ein Use Case innerhalb der ethischen Unternehmensziele definiert, erfolgt die Identifizierung sowie Auslegung der relevanten rechtlichen Vorgaben durch die Legal-Funktion als 2nd Line (of Defense). Damit steht fest «was» gemacht werden soll. Doch «wie» soll dafür vorgegangen werden?

Die eigentliche Arbeit steht also erst noch bevor: Die rechtlichen Vorgaben sowie ethischen Ziele («was») müssen in operationalisierbare Vorgaben für technische und/oder organisatorische Massnahmen (TOM-Vorgaben) abgeleitet werden. Diese TOM-Vorgaben beantworten die Frage, «wie» vorgegangen werden soll. Zu diesem Zweck kommen neue, dedizierte Funktionen⁴⁹ der 1st Line (of Defense), d.h. das «Business» (Risikobewirtschafter), und damit ausserhalb der Legal-Funktion zum Zug. Sie verfügen über das erforderliche prozessuale sowie technische Know-How, setzen sich mit den erwähnten rechtlichen Vorgaben und ethischen Zielen auseinander, ziehen eigene, nicht-rechtliche Regeln ihrer jeweiligen Berufskunde (vgl. Ziff. 3.2 und 3.7), Branchenstandards etc. bei und leiten daraus eigenverantwortlich angemessene TOM-Vorgaben als Steuerungs- und Kontrollelemente ab. Schliesslich stellt das interne Audit die 3rd Line (of Defense) und damit eine unabhängige, objektive Prüfung sowie Beratung sicher.

Am Beispiel der rechtlichen Vorgabe⁵⁰, wonach Personendaten u.a. dann gelöscht werden sollen, sobald ihr Bearbeitungszweck erreicht ist, kann dieses Zusammenspiel wie folgt skizziert werden: die Legal-Funktion (2nd Line) legt beispielsweise aus, was ein Personendatum ist und wann es aus rechtlicher Sicht als gelöscht⁵¹ gilt. Die 1st Line leitet daraus z.B. ein Löschkonzept zwecks Berechnung konkreter Aufbewahrungs- bzw. Löschfristen (d.h. eine Vorgabe für organisatorische Massnahmen) ab und definiert eine Funktionalität, z.B. mittels Architecture Building Blocks, zur Durchführung einer hinreichenden Löschung (d.h. eine Vorgabe für technische Massnahmen). Diese eigenständigen TOM-Vorgaben der 1st Line werden anschliessend im Einzelfall entlang der bestehenden Aufbau- und Ablauforganisation der jeweiligen Unternehmung umgesetzt.

Dieser Mechanismus aus der Unternehmensrealität ist auch dem Gesetzgeber nicht fremd. Er entspricht einem Teilaspekt der rechtlichen Vorgabe von Privacy by Design und Default⁵² und verpflichtet den datenschutzrechtlichen Verantwortlichen (d.h. das Unternehmen – nicht den Datenschutzbeauftragten)⁵³ frühzeitig, die Bearbeitung von Personendaten mittels TOM-Vorgaben so «auszugestalten, dass die Datenschutzvorschriften eingehalten werden».

In Zeiten komplexer Lebenssachverhalte, zunehmender Regulierung sowie vermehrter ethischer Fragestellungen stellt der Einsatz neuartiger Technologien (wie z.B. KI) immer höhere Anforderungen an die Ableitung und anschliessende Operationalisierung praktikabler Vorgaben für technische/organisatorische Massnahmen (TOM-Vorgaben). Gerade in diesem Bereich könnten (KI)-Guidelines einen wertvollen Beitrag leisten, um zur Entwicklung von Standards oder Branchenusanzen beizutragen.

Michal Cichocki, MLaw, Rechtsanwalt, ist Leiter Legal Datenschutz & Outsourcing und DPO bei einer schweizerischen Bank. Der vorliegende Aufsatz gibt ausschliesslich die persönliche Auffassung des Autors wieder.