Entschließung zur Rechenschaftspflicht bei der Entwicklung und Nutzung der künstlichen Intelligenz

nicht offizielle Übersetzung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 

HAUPTSPONSOREN:

• Privacy Commissioner for Personal Data, Hongkong, China
• Superintendence of Industry and Commerce, Kolumbien
• Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Deutschland
• Information Commissioner’s Office, Vereinigtes Königreich

CO-SPONSOREN:

• Agencia de Acceso a la Información Pública, Argentinien
• Office of the Australian Information Commissioner, Australien
• Office of the Privacy Commissioner of Canada, Kanada
• Information Access Commission, Quebec, Kanada
• Europäischer Datenschutzbeauftragter, Europäische Union
• Data Protection Commission, Italien
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, Mexiko
• Office of the Privacy Commissioner, Neuseeland
• National Privacy Commission, Philippinen
• Biuro Generalnego Inspektora Ochrony Danych Osobowych (GIODO), Polen
• Commissão Nacional de Protecção de Dados Pessoais Informatizados (C.N.P.D.), Portugal
• Autorità Garante per la Protezione dei Dati Personali, Republik San Marino
• National Commission for Informatics and Liberties, Burkina Faso

Das im Jahr 2020 stattfindende GLOBAL PRIVACY ASSEMBLY:

Unter Hinweis auf die Erklärung über Ethik und Datenschutz im Bereich der künstlichen Intelligenz, die von der 40. Internationalen Konferenz der Beauftragten für den Datenschutz und den Schutz der Privatsphäre am 23. Oktober 2018 verabschiedet wurde, und unter anderem den Grundsatz der Rechenschaftspflicht aller relevanten Interessenträger gegenüber Einzelpersonen, Aufsichtsbehörden und anderen Dritten befürwortete und eine ständige Arbeitsgruppe (KI-AG) einsetzte, um sich den Herausforderungen der Entwicklung der künstlichen Intelligenz (KI) zu stellen und das Verständnis und die Achtung der Grundsätze der Erklärung zu fördern,

Betonend, dass das Arbeitsprogramm der KI-AG eine Maßnahme umfasst, um eine Stellungnahme über die dringende Notwendigkeit der Rechenschaftspflicht und Haftung menschlicher Akteure für KI-Systeme auszuarbeiten,

Unter Berücksichtigung der Ergebnisse einer Umfrage, die die KI-AG im Mai und Juni 2020 durchgeführt hat, um die Ansichten der Mitglieder des Global Privacy Assemblys zur Rechenschaftspflicht für KI-Systeme einzuholen, so wie es in der Erläuterung dargelegt wird,

Feststellend, dass internationale Organisationen (einschließlich der Vereinten Nationen, der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung, des Europarats und der Europäischen Kommission), Regierungen, Organisationen der Zivilgesellschaft und Technologieunternehmen Leitlinien und Empfehlungen für die rechtliche und ethische Entwicklung im Bereich der KI erarbeitet haben und auch weiterhin vorlegen, und dass die Notwendigkeit einer Rechenschaftspflicht und ein menschenzentrierter Ansatz in diesen Leitlinien gemeinsame Themen sind,

Feststellend, dass die Rechenschaftspflicht als die Einhaltung und als Nachweis der Einhaltung der Bestimmungen für den Schutz der Daten und der Privatsphäre zu verstehen ist, insbesondere durch die Annahme und Umsetzung geeigneter, praktikabler, systematischer und wirksamer Maßnahmen,

Bekräftigend, dass die Verantwortung für den Betrieb und die Auswirkungen von KI-Systemen bei den menschlichen Akteuren verbleibt,

Unter dem Standpunkt, dass die Rechenschaftspflichten anhand klar definierter Grundsätze und Rahmen bewertet werden sollten, und dass sie sowohl auf Organisationen, die KI-Systeme entwickeln, als auch auf Organisationen, die sie nutzen, erweitert werden,

Betonend, dass der Grundsatz der Rechenschaftspflicht die Rechenschaftspflicht gegenüber den von den Entscheidungen von oder mit KI-Systemen betroffenen Personen sowie gegenüber Aufsichtsbehörden und gegebenenfalls gegenüber anderen Dritten umfasst, und dass die Rechenschaftspflicht auch über das Element der Einhaltung hinaus nachgewiesen werden sollte, um Vertrauen in die Interessenträger aufzubauen,

In der Erkenntnis, dass KI-Systeme die Menschenrechte auf unterschiedliche Weise beeinflussen können, sollten bei der Anwendung spezifischer Verpflichtungen die Risiken für die Menschenrechte sowie die Bedeutung des Grundsatzes der menschlichen Rechenschaftspflicht berücksichtigt werden,

Unter der Bekräftigung, dass zwecks Förderung der Vertrauenswürdigkeit von Organisationen, die KI-Systeme entwickeln und nutzen, diese Organisationen eng mit politischen Entscheidungsträgern, Einzelpersonen und anderen Interessengruppen (z. B. Nichtregierungsorganisationen, Behörden und Hochschulen) zusammenarbeiten sollten, um Bedenken zu zerstreuen und negative Auswirkungen auf die Menschenrechte zu korrigieren.

Das im Jahr 2020 stattfindende GLOBAL PRIVACY ASSEMBLY beschließt daher:

1. Organisationen, die KI-Systeme entwickeln oder verwenden, nachdrücklich zur Erwägung der Umsetzung folgender Rechenschaftspflichtmaßnahmen aufzufordern:

(1) Die Bewertung der potenziellen Auswirkungen auf die Menschenrechte (einschließlich der Rechte auf den Schutz der Daten und der Privatsphäre) vor der Entwicklung und/oder Nutzung von KI;

(2) Die Prüfung der Robustheit, Zuverlässigkeit, Genauigkeit und Datensicherheit von KI vor ihrer Verwendung, einschließlich der Ermittlung und Bekämpfung von Verzerrungen in den Systemen und den von ihnen verwendeten Daten, die zu unfairen Ergebnissen führen können;

(3) Das Führen von Verzeichnissen über die Folgenabschätzung, die Konzeption, die Entwicklung, die Prüfung und die Verwendung von KI;

(4) Die Offenlegung der Ergebnisse der Bewertung der Auswirkungen von KI auf den Datenschutz, die Privatsphäre und die Menschenrechte;

(5) Die Gewährleistung der Transparenz und Offenheit durch Offenlegung der Nutzung von KI, der verwendeten Daten und der Logik der KI;

(6) Sicherzustellen, dass ein verantwortlicher menschlicher Akteur ermittelt wird (a) mit dem Bedenken im Zusammenhang mit automatisierten Entscheidungen aufgeworfen und Rechte ausgeübt werden können, und (b) der eine Bewertung des Entscheidungsprozesses und des menschlichen Eingreifens auslösen kann;

(7) Auf Anfrage: Erläuterungen in klarer und verständlicher Sprache für die automatisierten Entscheidungen, die von KI getroffen werden;

(8) Auf Anfrage für menschliches Eingreifen in die automatisierte Entscheidung der KI sorgen;

(9) Die kontinuierliche Überwachung und Bewertung der Leistung und Auswirkungen von KI durch Menschen, sowie unverzügliches und entschlossenes Handeln zur Bewältigung der festgestellten Probleme;

(10) Die Einführung von Mechanismen für Hinweise („Whistleblowing“)/Meldungen über die Nichteinhaltung oder über ein erhebliches Risiko bei der Anwendung von KI;

(11) Die Gewährleistung der Prüfbarkeit von KI-Systemen und die Bereitschaft, auf Anfrage gegenüber den Datenschutzbehörden Rechenschaftspflicht nachzuweisen; und

(12) Die Teilnahme an Diskussionen mit verschiedenen Interessengruppen (u. a. mit Nichtregierungsorganisationen, Behörden und Hochschulen), um die breiteren sozioökonomischen Auswirkungen von KI zu ermitteln und anzugehen, und zur Gewährleistung der Wachsamkeit in Bezug auf Algorithmen.

2. Organisationen, die KI-Systeme entwickeln oder nutzen, nachdrücklich aufzufordern, Maßnahmen zur Rechenschaftspflicht umzusetzen, die hinsichtlich der Risiken von Eingriffen in die Menschenrechte angemessen sind.
3. Alle Mitglieder des Global Privacy Assemblys aufzufordern, mit Organisationen zusammenzuarbeiten, die KI-Systeme in ihren Hoheitsgebieten entwickeln oder nutzen, und weltweit die in ihrer Entschließung aus dem Jahr 2018 festgelegten Grundsätze sowie die Rechenschaftspflicht bei der Entwicklung und Verwendung von KI und die Annahme von Maßnahmen zur Rechenschaftspflicht zu fördern;
4. Die Regierungen zu ermutigen, die Notwendigkeit von Änderungen in ihren Datenschutzgesetzen in Erwägung zu ziehen, um die rechtlichen Verpflichtungen hinsichtlich der Rechenschaftspflicht bei der Entwicklung und Nutzung von KI klarzustellen, sofern solche Bestimmungen noch nicht vorhanden sind; und
5. Regierungen, Behörden, Normungsgremien, Organisationen, die KI-Systeme entwickeln oder nutzen, und alle anderen relevanten Akteure dazu ermutigen, mit den Datenschutzbehörden bei der Festlegung von Grundsätzen, Normen und Rechenschaftsmechanismen wie Zertifizierungen zusammenzuarbeiten, um Rechtskonformität, Rechenschaftspflicht und Ethik bei der Entwicklung und Nutzung von KI-Systemen nachzuweisen.

Erläuterung

Die von dem Global Privacy Assembly eingerichtete Arbeitsgruppe für Ethik und Datenschutz im Bereich der künstlichen Intelligenz führte im Mai und Juni 2020 eine Umfrage durch, um die Meinungen der Mitglieder des Global Privacy Assemblys zu den Maßnahmen zum Nachweis der Rechenschaftspflicht bei der Entwicklung und Nutzung von KI zu erfassen. Von 38 Mitgliedern gingen Antworten ein. Aus den Umfrageergebnissen ging folgendes hervor:

1. Im Bereich des Datenschutzes gab es für die KI-Entwicklung und -Nutzung weitgehend noch keine Gesetze oder Richtlinien. Eine Mehrheit der befragten Mitglieder (68 %) verfügte nicht über Gesetze oder Richtlinien, die speziell auf die Rechenschaftspflicht bei der Nutzung von KI ausgerichtet waren.
2. Die Mehrheit der Befragten war der Ansicht, dass 13 der 14 in der Umfrage vorgeschlagenen Rechenschaftspflichtmaßnahmen sowohl für KI-Entwickler als auch für KI-Nutzer sehr wichtig oder wichtig seien. Die 13 Maßnahmen sind nachstehend aufgeführt:

(1) Die Abschätzung der ethischen Auswirkungen vor der Entwicklung und/oder Anwendung von KI;

(2) Die Prüfung der Robustheit und Zuverlässigkeit von KI vor der Inbetriebnahme;

(3) Die Forderung des Führens von Verzeichnissen über Folgenabschätzung, Konzeption, Entwicklung und Nutzung von KI;

(4) Die Offenlegung der ethischen Folgenabschätzung von KI;

(5) Die Offenlegung der Verwendung von KI;

(6) Die von Menschen durchgeführte kontinuierliche Kontrolle und Bewertung der Leistungsfähigkeit von KI;

(7) Die Gewährleistung der menschlichen Kontrolle über die automatisierten Entscheidungen durch KI;

(8) Auf Anfrage: Eine von Menschen abgegebene Erklärung zu den automatisierten Entscheidungen der KI;

(9) Auf Anfrage soll menschliches Eingreifen in die automatisierte Entscheidung durch KI ermöglicht werden;

(10) Die Forderung nach Hinweisen („Whistleblowing“)/Meldungen über Verstöße oder ein erhebliches Risiko bei der Anwendung von KI;

(11) Die Erfüllung der Verpflichtung zur Kooperation bei einer Kontrolle durch die Datenschutzbehörde;

(12) Organisationen sollen im Falle eines Entwurfsfehlers oder Betriebsversagens von KI haftbar gemacht werden; und

(13) Die Akkreditierung oder Zertifizierung von AI-Systemen.

3. Laut den Umfrageergebnissen gab es bezüglich der Bedeutung der oben genannten 13 Rechenschaftspflichtmaßnahmen keine großen Unterschiede zwischen KI-Entwicklern und Organisationen, die KI-Systeme nutzen. Mit anderen Worten, die Befragten hielten es für ähnlich wichtig, dass die 13 Maßnahmen sowohl von KI-Entwicklern als auch von KI-Nutzern zur Erreichung der Rechenschaftspflicht umgesetzt werden.
4. Von den 14 in der Erhebung vorgeschlagenen Rechenschaftspflichtmaßnahmen war die einzige Maßnahme, die als etwas weniger wichtig erachtet wurde, Direktoren oder leitenden Angestellten der Organisation im Falle eines Entwurfsfehlers oder Betriebsversagens von KI persönlich haftbar zu machen. Nur etwa die Hälfte der Befragten bewertete dies als wichtig oder sehr wichtig.
5. Von den 14 in der Umfrage vorgeschlagenen Maßnahmen zur Rechenschaftspflicht sind die folgenden in vielen bestehenden Gesetzen oder Leitlinien der Mitglieder speziell zur Rechenschaftspflicht im Bereich der KI nicht enthalten:

(1) Dass Direktoren/Beamte der Organisation im Falle des fehlerhaften Entwurfs oder Betriebsversagens der KI persönlich haftbar gemacht werden;

(2) Die Forderung der Offenlegung der ethischen Folgenabschätzung der KI;

(3) Die Forderung nach Hinweisen oder Meldungen von Verstößen oder bedeutsamen Risiken bei der Anwendung von KI; und

(4) Die Akkreditierung oder Zertifizierung von KI-Systemen.

6. Im Allgemeinen war eine Minderheit der Befragten der Ansicht, dass die Organisationen in ihren Hoheitsgebieten bereit waren, die meisten der 14 vorgeschlagenen Rechenschaftspflichtmaßnahmen zu ergreifen.
7. Die Befragten waren jedoch größtenteils der Ansicht, dass die sich in ihrem Hoheitsgebiet befindlichen Organisationen bereit sind, von den 14 vorgeschlagenen Rechenschaftspflichtmaßnahmen folgende Maßnahmen zu ergreifen:

(1) Die Erfüllung der Verpflichtung zur Kooperation bei einer Kontrolle durch die Datenschutzbehörde (79 % wurden als bereit oder sehr bereit angesehen);

(2) Die Haftbarmachung von Organisationen im Falle eines fehlerhaften Entwurfs oder Betriebsversagens von KI (55 % galten als bereit oder sehr bereit);

(3) Die Offenlegung der Verwendung von KI (53 % galten als bereit oder sehr bereit); und

(4) Das Führen von Verzeichnissen über die Folgenabschätzung, die Konzeption, die Entwicklung und den Einsatz von KI (50 % galten als bereit oder sehr bereit).

8. Folgende Faktoren wurden von den Befragten als etwas wichtiger für die Bestimmung des Grades der Rechenschaftspflicht einer Organisation bei der Nutzung von KI angesehen:

(1) Umfang und Ausmaß der Auswirkungen des KI-Systems auf die Menschenrechte (von 84 % als relevant angesehen);

(2) Der Grad der Beteiligung von Organisationen an der Konzeption und Entwicklung des KI-Systems (von 50 % als relevant angesehen); und

(3) Die technischen Fähigkeiten von Organisationen (von 44 % als relevant angesehen).

9. Im Hinblick auf staatliche Maßnahmen, die zur Verbesserung der Rechenschaftspflicht bei der Nutzung von KI ergriffen werden sollen, hielten 68 % der Befragten eine Änderung der Rechtsvorschriften für die wichtigste Maßnahme.
10. In Bezug auf Maßnahmen, die von den Datenschutzbehörden zur Förderung der Rechenschaftspflicht zu ergreifen sind, hielten 63 % der Befragten es für äußerst wichtig, dass die Datenschutzbehörden mit den Datennutzern, den für die Verarbeitung Verantwortlichen und den Auftragsverarbeitern in einen Dialog eintreten.