PrivateGPT: Rechtliche und ethische Aspekte

KI revolutioniert die Wirtschaftswelt, wirft aber auch viele Fragen auf, beispielsweise was den Datenschutz und das Urheberrecht angeht. KMU wenden sich deshalb verstärkt sogenannten PrivateGPTs zu, also KIs, die lokal installiert und betrieben werden.

Doch damit alleine ist es nicht getan: Es gibt diverse rechtliche und ethische Fallstricke zu beachten. Auf die wichtigsten möchten wir Sie in diesem Artikel aufmerksam machen und wie Sie diese am besten vermeiden.

I. Rechtliche Überlegungen

Ziehen Sie die folgenden Punkte in Betracht, um den Betrieb Ihres PrivateGPT rechtssicher zu gestalten.

1. PrivateGPT & Datenschutz

Erwägen Sie, welche Datenschutz-Konsequenzen der Einsatz eines Local GPT mit sich bringt. Maßgeblich ist hier die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union.

Wenn Sie zum Beispiel Daten von Mitarbeitern oder Kunden in Ihr privates LLM einspeisen, müssen Sie sicherstellen, dass eine Zweckbindung besteht. Es muss legitime Gründe dafür geben, dass diese Daten verwendet werden.

Weiterhin ist das Prinzip der Datenminimierung zu beachten, also dass nur so viele Daten als gerade nötig erhoben werden.

Nicht zuletzt haben die betroffenen Personen ein Recht darauf zu erfahren, welche Daten über sie vorliegen, und müssen auch eine Löschung verlangen können.

Praxistipp: Wahrscheinlich wird es nötig sein, Ihren Datenschutzbeauftragten fortzubilden – KI ist eine neue Technologie und viele Mitarbeiter sind mit ihr noch nicht vertraut. Alternativ könnten Sie Ihrem Datenschutzbeauftragten einen Experten aus der IT-Abteilung zur Seite stellen, um das Thema KI besser abzudecken.

2. Urheberrechte

Achten Sie darauf, ob die Daten, die Sie für das Training Ihres PrivateGPT verwenden, urheberrechtlich geschützt sind.

In diesem Zusammenhang haben sich viele der öffentlichen LLMs bisher kaum an rechtliche Vorgaben gehalten. Für das Training dieser Modelle wurden Millionen von urheberrechtlich geschützten Websites gescrapt.

Das scheint nun Konsequenzen zu haben. Aktuell laufen mehrere Gerichtsverfahren gegen ChatGPT & Co. Das wohl bekannteste Beispiel ist die Klage der New York Times.

KMU sollten hier doppelt vorsichtig sein, weil sie anders als Big Tech nicht über riesige Rechtsabteilungen verfügen. Außerdem ist zu erwarten, dass entsprechende Prozesse in Europa stärker auf die Position der Geschädigten Rücksicht nehmen werden.

In diesem Zusammenhang kann es sinnvoll sein, mit einem Anwalt für Urheber- und Medienrecht zu kooperieren. Dieser kann entscheiden, welche Trainingsdaten gefahrlos verwendet werden können. Es kommt jedoch immer auf Ihren Use Case an. Betreiben Sie eine Medienagentur, die große Mengen KI-Content erstellen möchte, dann ist dieses Vorgehen ratsam. Möchten Sie vor allem eigene Daten verarbeiten, zum Beispiel Produktions- oder Sensordaten, kommen Sie wahrscheinlich ohne einen externen Rechtsberater aus.

3. Plagiate

Wir haben darüber gesprochen, dass die Trainingsdaten für PrivateGPTs nicht urheberrechtlich geschützt sein sollten. Manchem Unternehmen erscheint das in der Praxis vernachlässigbar, weil KI eine Black Box ist und der Nachweis oft nur schwer zu führen ist.

Davor muss gewarnt werden: In Einzelfällen produzieren LLMs Inhalte, die eins zu eins von Quellen kopiert wurden. Hier handelt es sich also um eindeutige Plagiate. Dementsprechend hoch ist das Rechtsrisiko.

4. Rechte am Output

In der EU gibt es derzeit keinen Urheberrechtsschutz für Werke, die vollständig von einer KI erstellt wurden. Das kann durchaus relevant für KMU sein. Stellen Sie sich vor, ein Mitbewerber übernimmt Ihre Webseiten-Inhalte oder Marketing-Materialien, und beruft sich darauf, dass dieser Content mit KI erstellt wurde.

Wenn Sie auf Nummer sicher gehen wollen, sollten Sie öffentliche Inhalte, die ausschließlich mit KI produziert wurden, entweder vermeiden bzw. KI nur für die Ideenfindung verwenden, die Inhalte aber stark umarbeiten. Nur so wird die nötige „menschliche Schöpfungshöhe“ erreicht, die auch vor Gericht standhält.

5. Haftungsfragen

Die vielleicht wichtigste Frage ist die nach der Haftung. Ein Beispiel: Ein Mitarbeiter aus der Produktion erkundigt sich bei Ihrem PrivateGPT, wie ein Roboterarm eingestellt werden muss. Die KI liefert eine Antwort, die falsch ist, und der Mitarbeiter wird in der Folge schwer verletzt.

Das Unternehmen muss deshalb klar kommunizieren, dass LLMs Fehler machen können, und dass die Antworten immer zuerst überprüft werden müssen. Es gibt verschiedene Möglichkeiten, das zu realisieren, zum Beispiel durch einen Hinweis im User-Interface. Zusätzlich könnten Sie jeden Mitarbeiter eine entsprechende Erklärung unterzeichnen lassen.

II. PrivateGPT & Cybersecurity

Die Anforderungen an Unternehmen in Sachen Cybersicherheit steigen ständig. Das bekannteste Beispiel aus jüngster Zeit ist die NIS-2-Direktive der Europäischen Union.

Betreiber von PrivateGPTs sollten sich deshalb auf unterschiedliche Bedrohungsszenarien einstellen. Die zwei wichtigsten sind:

1. Daten-Diebstahl: Angreifer könnten die KI dazu benutzen, sensible Daten abzufragen, zum Beispiel Kunden- oder Patientendaten, und dann mit deren Veröffentlichung im Darknet drohen.

2. Data Poisoning: Angreifer könnten sich unbemerkt in das Training der KI einmischen. Beispielsweise könnten sie die KI dazu bewegen, gefährliche Ratschläge zu geben oder diskriminierenden Content zu produzieren.

Sie sollten hier auf drei Ebenen vorbeugen.

1. Sichern Sie Ihr PrivateGPT gegen Angriffe von außen ab. Dafür können zum Beispiel Firewalls, XLR- und SIEM-Systeme sowie Mikrosegmentierung verwendet werden.

2. Implementieren Sie ein strenges IAM-System (Identity and Access Management). Das schränkt sowohl das Lateral Movement von Angreifern ein, als auch die Gefahr, die von Insider Threats ausgeht.

3. Überprüfen Sie physische Zugangskontrollen, speziell wenn Sie Ihr PrivateGPT on-prem hosten. Es ist denkbar, dass Angreifer versuchen, in die Serverräume einzubrechen. Aber auch Insider könnten versuchen, sich physischen Zugriff zu verschaffen.

III. Ethische Überlegungen

Mit dem Einsatz von PrivateGPTs sollten verschiedene ethische Überlegungen einhergehen.

1. Diskriminierung

Falsch justierte LLMs können unter Umständen bestimmte gesellschaftliche Gruppen diskriminieren, aufgrund von Faktoren wie der ethnischen Zugehörigkeit oder der sexuellen Orientierung. Das könnte dazu führen, dass Bewerber bei Einstellungsprozessen benachteiligt werden oder die Vergabe eines Kredits verweigert wird. Dies ist nicht nur moralisch verwerflich, sondern auch rechtlich relevant, wenn nämlich gegen Anti-Diskriminierungsgesetze verstoßen wird.

Das Wichtigste ist, im Vorfeld die Qualität der Trainingsdaten zu überprüfen: Enthalten diese Fehler, Vorurteile oder Stereotypen, dann wird der Output des LLMs das widerspiegeln.

Hier können sogenannte Bias-Detection-Tools aushelfen. Diese wurden bereits „vorurteilsfrei“ trainiert und können nun große Mengen Trainingsdaten schnell überprüfen.

Es empfiehlt sich weiterhin, in regelmäßigen Abständen Tests durchzuführen. Stellen Sie der KI-Fragen, die entsprechende Vorurteile aufdecken könnten, und trainieren Sie Ihr LLM gegebenenfalls um.

2. Menschliche Kontrollinstanzen

Um den Einsatz von KI ethisch vertreten zu können, sollte es immer eine menschliche Kontrollinstanz geben. Hier einige Beispiele:

• Einstellungsprozesse: Überprüfen Sie, ob die KI tatsächlich nur fachliche Qualifikationen in Betracht zieht, wenn es um die Bewerber-Auswahl geht. Lassen Sie Ihre HR-Mitarbeiter nach jeder Bewerbungsrunde Stichproben durchführen.

• Rechtliche Fragen: Verlassen Sie sich niemals ausschließlich auf rechtliche Empfehlungen der KI, sondern schalten Sie immer zusätzlich einen Anwalt ein, der eine finale Einschätzung abgibt.

• Datenerhebung: Achten Sie darauf, dass die KI nicht mehr Daten sammelt, als sie sollte, zum Beispiel für Überwachungsaufgaben. Ein Datenschutzbeauftragter sollte in regelmäßigen Abständen entsprechende Tests durchführen.

Als Grundsatz gilt: KI muss vom Menschen reguliert werden. Der Mensch darf sich nicht aus der Verantwortung stehlen.

3. PrivateGPT & Arbeitsplätze

Man hört gelegentlich den Vorwurf, dass Unternehmen versuchen würden, menschliche Mitarbeiter durch KI wegzurationalisieren.

Dieser Vorwurf ist fast immer ungerechtfertigt. Tatsächlich suchen die meisten KMU händeringend nach IT-Fachkräften, speziell mit KI-Qualifikationen. Entsprechend äußerte sich auch der Geschäftsführer des Branchenverbands Bitkom: „Künstliche Intelligenz kann eine IT-Abteilung nicht ersetzen.“

Trotzdem: Der Vorwurf steht im Raum. Für KMU bedeutet das, es muss entsprechend kommuniziert werden. Es muss zum Beispiel vermittelt werden, dass sich berufliche Rollen in Zukunft verschieben werden: Die KI übernimmt zunehmend Routineaufgaben, damit sich Ihre Mitarbeiter auf strategische und kreative Projekte konzentrieren können.

Wenn diese Kommunikation gelingt, wird KI die Mitarbeiterzufriedenheit steigern, statt Ängste zu schüren.

4. Transparenz

KMU sollten kenntlich machen, wenn KI für die Content-Erstellung verwendet wurde, zum Beispiel für Video-Avatare. Dies kann durch einen gut lesbaren Hinweis zu Beginn des Videos geschehen. Ansonsten riskieren Sie, Kunden-Vertrauen zu verspielen.

Ebenso sollte deutlich gemacht werden, wenn KI an bestimmten Entscheidungsprozessen beteiligt war, zum Beispiel für Mitarbeiterbewertungen. Das gibt den betroffenen Personen die Möglichkeit, das Procedere zu hinterfragen.

5. Nachhaltigkeit

LLMs haben sehr hohe Energieanforderungen. Deshalb sollten KMU versuchen, möglichst nachhaltige Lösungen zu finden. Investieren Sie in entsprechend optimierte Hardware. Das mag anfangs etwas mehr kosten, ist aber langfristig nicht nur verantwortungsvoller, sondern auch günstiger.

Sie könnten auch prüfen, ob sich Ihr Self-Hosted GPT mit erneuerbaren Energien betreiben lässt, zum Beispiel einer eigenen Solaranlage. Eine weitere Idee: Nutzen Sie die Abwärme Ihres PrivateGPT für andere Unternehmens-Einrichtungen.

PrivateGPT verantwortungsvoll implementieren – mit Proact!

Wenn Sie Ihr PrivateGPT rechtssicher und ethisch aufsetzen möchten, dann sollten Sie sich mit unseren Proact-Experten unterhalten. Wir sind Fujitsu-Partner, einem der führenden Anbieter für generative KI im eigenen Rechenzentrum, und unterstützen KMU beim kompletten Einführungsprozess (siehe auch Blogartikel PrivateGPT: Wie die Einführung gelingt).

1. Bedarfsanalyse

Im ersten Schritt analysieren wir gemeinsam mit Ihrem Inhouse-Team Ihre Anforderungen. Soll Ihr PrivateGPT beispielsweise für Bonitäts-Bewertungen verwendet werden? Dann sorgen wir dafür, dass die verwendeten Trainingsdaten eine objektive Sichtweise ermöglichen. Möchten Sie Medien-Materialien im großen Stil produzieren? Dann kümmern wir uns darum, dass nur urheberrechtlich unbedenkliche Materialien zum Einsatz kommen.

2. Implementierung

Im nächsten Schritt geht es an die Umsetzung. Wir stellen sicher, dass Ihre Infrastruktur den Anforderungen von KI gewachsen ist bzw. rüsten entsprechend nach. Dabei achten wir darauf, Ihre KI-Systeme durch moderne Security-Tools abzusichern. Außerdem implementieren wir ein striktes Berechtigungsmanagement, um Insider Threats vorzubeugen. Nicht zuletzt führen wir Tests durch, damit Ihr PrivateGPT möglichst fehlerfreien und sicheren Output liefert.

3. Optimierung & Support

Auch nach der Einführung lassen wir Sie nicht alleine. Wir optimieren Ihr PrivateGPT fortlaufend und trainieren das System nach, falls sich Schwächen offenbaren. Weiterhin schulen wir Ihre Mitarbeiter im sicheren, verantwortungsvollen Umgang mit KI und stehen bei Support-Anliegen zur Verfügung.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!