Die Pauschalerlaubnis steht vor der Tür
Brüssel, Mitte Oktober. Wenn die Bücher nicht ausgeglichen sind, liegt es selten an einem Versehen. Diesmal tagt der Rat der Europäischen Union zur Datenschutzgrundverordnung. Er tagt so, wie Räte tagen, wenn ein Gesetzesvorhaben zügig über die Bühne soll: im Format einer Tagesordnung, zwischen anderen Tagesordnungspunkten, ohne viel Staub.
Der Daten-Omnibus. Klingt nach Nahverkehr, ist eine Verordnung. Sie soll die DSGVO ändern. Vor allem soll sie eines ändern: auf welcher Rechtsgrundlage künftig mit unseren Daten KI trainiert werden darf.
Die irische Ratspräsidentschaft hat am zweiten Oktober einen Entwurf vorgelegt. Darin steht der eine Satz, der das Vorhaben bündelt: Unternehmen sollen für das Training ihrer KI-Modelle mit unseren personenbezogenen Daten keine Einwilligung mehr brauchen. Sie sollen sich auf ihr „berechtigtes Interesse" berufen dürfen. Gewisse Standards, heißt es. Welche Standards das sind, lässt der Entwurf an dieser Stelle offen.
Zuvor war Schlimmeres geplant. Eine Änderung der Definition personenbezogener Daten sollte pseudonymisierte Daten aus dem Geltungsbereich der DSGVO fallen lassen. Das ist im Rat vom Tisch. Im neuen Entwurf können pseudonymisierte Daten für bestimmte Empfänger weiterhin als nicht personenbezogene Daten gelten. Dafür wurden Sicherheitsmaßnahmen für die Pseudonymisierung ergänzt. Kleiner Sieg, der die größere Operation nicht stoppt.
Denn im Mittelpunkt steht die KI-Klausel. noyb nennt sie Pauschalerlaubnis. European Digital Rights nennt sie genauso. Die Innung der Datenschützer, die sich noch erinnert, was eine Verordnung ist, hat das Wort seit Monaten in die Kameras gehalten.
Die Botschafter der siebenundzwanzig Mitgliedstaaten treffen sich am Mittwoch. Ziel: eine Einigung, damit der Trilog mit dem Parlament beginnen kann. So steht es in der Tagesordnung des Treffens.
Drei Länder widersprechen offen. Spanien fordert, dass Unternehmen weiterhin rechtfertigen müssen, wenn sie reale Daten nutzen — und diese anonymisieren. Bulgarien, Lettland und Estland sehen das technologieneutrale Prinzip verletzt. Dieses Prinzip besagt, dass die DSGVO nicht einzelne Technologien reguliert, weil sie sonst bei jeder Neuerung umgeschrieben werden müsste. Die KI-Klausel würde genau das ändern, sagt auch noyb.
Im Rat liegen die Dinge also fast. Im Parlament liegen die Dinge weniger fast. Die Lager sind dort weit auseinander. Das ist die einzige Entfernung, die dem Bürger noch etwas kostet. Sie ist der Grund, warum der Trilog überhaupt stattfindet.
Nun zur Praxis. Denn eine Verordnung kann noch so kühn klingen — entscheidend ist, was am Ende auf dem Bildschirm passiert.
ChatGPT nutzt Ihre Daten. Gemini nutzt Ihre Daten. Meta nutzt Ihre Daten — Facebook, Instagram, LinkedIn. Jede Frage, jedes Like, jedes stehen gebliebene Foto, solange Sie nicht widersprechen.
Die Widersprüche sind verteilt. Sie leben in Einstellungsmenüs, die sich in Untermenüs verstecken, in Häkchen, die einmal gesetzt das Gegenteil bedeuten, in Formularen, die nach dem Absenden bestätigen, dass sie nur für die Zukunft gelten. Für die Vergangenheit gilt nichts. Wer den Schalter findet, hat nicht gewonnen. Er hat nur verhindert, dass der nächste Wurf mit denselben Würfeln gemacht wird. Das ist das Modell.
Im letzten Kompromisstext ist immerhin ein Widerspruchsrecht vorgesehen. Es ist klein. Es kommt spät. Es gilt der Zukunft. Das ist das Mindeste, was nach einem Jahr Lobbyarbeit übrig bleibt.
Nun die offene Frage, die diese Seite zusammenhält: Ob die Justizminister am Mittwoch mit diesen verwässerten Regeln tatsächlich in die Verhandlungen mit dem Parlament gehen. Mehrere EU-Diplomaten geben Auskunft. Eine Einigung zwischen den Staaten ist demnach derzeit nicht absehbar. Eine Position, die sich höflich beißt mit der Tagesordnung vom Mittwoch, die genau diese Einigung anpeilt. Beides kann Brüssel sein.
Die Mitgliedstaaten stehen kurz vor einer Einigung, heißt es an einer Stelle. Nach Angaben mehrerer Diplomaten ist zwischen den Staaten derzeit keine Einigung absehbar, heißt es an anderer Stelle. Beides kann stimmen. Beides kann das gleiche Treffen meinen.
Eine Verordnung, die nicht geeint ist, ist noch keine Verordnung. Sie ist ein Entwurf. Aber Entwürfe sind in Brüssel oft schon der halbe Wortlaut. Und der halbe Wortlaut ist es, der am Ende im Amtsblatt steht.
Der Daten-Omnibus wird das Training von KI erleichtern. Soviel ist gewiss. Was weniger gewiss ist: was mit unseren Daten geschieht, wenn der Schalter niemand findet.
❖ Ende des Artikels ❖