Indiens Datenschutzgesetz im KI-Zeitalter: Diskussion deckt Herausforderungen auf
Eine Diskussion hinter verschlossenen Türen in Indien zu KI und Datenschutz hat die Herausforderungen für das neue Datenschutzgesetz des Landes im Kontext des KI-Trainings beleuchtet. Eine zentrale Debatte drehte sich um Datenbesitz und Zugriffsrechte.
Eine kürzlich in Indien hinter verschlossenen Türen geführte Diskussion über künstliche Intelligenz (KI) und Datenschutz hat grundlegende Fragen zum Besitz von personenbezogenen Daten und zur Anwendung bestehender Datenschutzprinzipien auf das Training von KI-Modellen aufgeworfen. Der Dialog, der unter der Chatham House Rule stattfand, deckte erhebliche Meinungsverschiedenheiten darüber auf, wie Indiens Digital Personal Data Protection (DPDP) Act von 2023 auf die Datenerfassungs- und Nutzungsanforderungen von KI angewendet wird, insbesondere da das Gesetz noch nicht vollständig umgesetzt ist.
Die Teilnehmer stellten fest, dass die Anforderungen des KI-Trainings im Widerspruch zu traditionellen Datenschutzprinzipien stehen, die für das Web 2.0-Zeitalter konzipiert wurden. Insbesondere entstehen Herausforderungen durch das groß angelegte Scraping von Daten, die gleichzeitige Verwendung mehrerer rechtlicher Grundlagen für die Verarbeitung und das Prinzip der Zweckbindung, das die Wiederverwendung gesammelter Daten einschränkt. Indiens DPDP-Gesetz bietet hauptsächlich zwei Grundlagen für die Verarbeitung personenbezogener Daten: Zustimmung und spezifische "legitime Verwendungszwecke", die im Gesetz aufgeführt sind. Dies steht im Gegensatz zu beispielsweise der EU-DSGVO, die sechs rechtliche Grundlagen anerkennt. Diese Lücke könnte für KI-Entwickler Schwierigkeiten bereiten.
Branchenakteure wie die Internet and Mobile Association of India (IAMAI) haben die Regierung bereits aufgefordert, die Verwendung öffentlich zugänglicher personenbezogener Daten für das Training von KI-Modellen ohne separate Zustimmung zu gestatten, mit dem Argument, dass die Überprüfung der öffentlichen Natur von Daten im Maßstab des KI-Trainings unpraktikabel ist. Die Diskussion befasste sich auch damit, ob "Besitz" überhaupt der richtige Rahmen für personenbezogene Daten ist. Eine Ansicht war, dass Einzelpersonen ihre Daten nicht auf die gleiche Weise besitzen, wie sie eine Telefonnummer nicht besitzen, sondern eher das Recht haben, deren Nutzung zu kontrollieren. Andere argumentierten, dass die Missachtung des Besitzgedankens das grundlegende Recht des Einzelnen auf Privatsphäre untergraben könnte.
Darüber hinaus wurden Möglichkeiten erörtert, KI ohne direkten Zugriff auf rohe persönliche Daten zu trainieren, beispielsweise durch die Verwendung pseudonymisierter oder lokal verarbeiteter Daten. Es wurde auch die Möglichkeit erörtert, ob Indiens Data Empowerment and Protection Architecture (DEPA) für das KI-Training als "tokenisierte" Daten angepasst werden könnte. Obwohl Indiens DPDP-Gesetz verabschiedet wurde, steht seine vollständige Umsetzung noch aus, und es wird geschätzt, dass Zustimmungsmanagementsysteme erst Mitte 2026 betriebsbereit sein werden. Diese Verzögerung schafft Unsicherheit und Herausforderungen für die praktische Anwendung der Gesetzgebung.