Die Multi-Modell-Kette ist eine Rechtsstruktur, nicht bloß eine Architektur

Wenn Sie eine Fallback-Kette aus KI-Modellen aufbauen, treffen Sie keine rein technische Entscheidung. Sie treffen eine Reihe rechtlicher Entscheidungen, eine pro Modell in der Kette, die Ihre Datenschutzerklärung wahrscheinlich nicht offenlegt, die Ihr Auftragsverarbeitungsvertrag in seiner Anlage nicht auflistet und in die Ihre Nutzer nicht eingewilligt haben.

Die Architektur wirkt sauber: Ist das primäre Modell nicht verfügbar oder überlastet, fällt die Anfrage auf das sekundäre und dann auf das tertiäre durch. Die Rechtsstruktur sieht anders aus: Dieselben Nutzerdaten werden an drei verschiedene Rechtsträger übermittelt, von denen jeder einem anderen nationalen Recht unterliegt, jeder nach einer anderen Datenaufbewahrungsrichtlinie arbeitet und jeder einem anderen Regime staatlicher Auskunftsersuchen unterworfen ist.

Niemand im KI-Umfeld spricht darüber.

Die Kette der Unterauftragsverarbeiter

Nach DSGVO Artikel 28 muss ein Verantwortlicher Auftragsverarbeiter auf Grundlage eines verbindlichen Vertrags (Artikel 28 Absatz 3) einbinden, der Gegenstand und Dauer, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen abdeckt. Ein Auftragsverarbeiter darf einen Unterauftragsverarbeiter nur mit der vorherigen schriftlichen Genehmigung des Verantwortlichen (Artikel 28 Absatz 2) heranziehen und muss ihm dieselben Datenschutzpflichten vertraglich auferlegen, wobei er gegenüber dem Verantwortlichen voll verantwortlich bleibt (Artikel 28 Absatz 4). Enthält Ihre Kette drei Modellanbieter, ist jeder von ihnen ein Auftragsverarbeiter oder Unterauftragsverarbeiter, den die Kette unter einen solchen Vertrag bringen muss.Quellen: DSGVO Artikel 28

Die meisten Unternehmen, die auf KI-APIs aufbauen, haben einen Auftragsverarbeitungsvertrag: mit dem Anbieter, den sie hauptsächlich nutzen. Fallback-Anbieter stehen entweder gar nicht auf der Liste der Unterauftragsverarbeiter oder sind ohne einen verbindlichen Auftragsverarbeitungsvertrag aufgeführt. Wenn eine Anfrage auf das sekundäre Modell durchfällt, ist die Datenübermittlung technisch gesehen nach der DSGVO nicht genehmigt.

Das ist nicht theoretisch. Datenschutzbehörden haben erhebliche Bußgelder für die Offenlegung personenbezogener Daten an Empfänger ohne gültige Grundlage oder für deren Übermittlung ohne geeignete Garantien verhängt — Norwegens Bußgeld von 65 Millionen NOK gegen Grindr für die Weitergabe von Daten an Werbepartner ohne gültige Einwilligung sowie das Bußgeld der niederländischen Datenschutzbehörde von 290 Millionen EUR gegen Uber für die Übermittlung von Fahrerdaten in die USA ohne geeignete Garantien nach Artikel 44. Die Tatsache, dass die Übermittlung automatisiert erfolgte und der Verantwortliche nichts davon wusste, beseitigt die Haftung nicht. Sie kann sie sogar erhöhen.Quellen: Grindr-Entscheidung · Uber-Entscheidung

Das Zuständigkeitsproblem

Datenresidenz und rechtliche Zuständigkeit sind nicht dasselbe. Ein Modellanbieter kann Server in Frankfurt betreiben und dennoch dem Recht seines Gründungsstaats unterliegen. Diese Unterscheidung ist besonders bedeutsam, wenn die Kette Anbieter umfasst, die in Ländern mit extraterritorialen Datenzugriffsgesetzen gegründet wurden.

Artikel 7 des chinesischen Nationalen Geheimdienstgesetzes (2017, geändert 2018) bestimmt, dass alle Organisationen und Bürger die nationalen Geheimdienstbemühungen 'im Einklang mit dem Gesetz unterstützen, dabei mitwirken und zusammenarbeiten' sollen — eine weitreichende Kooperationspflicht, die allerdings durch diesen Maßstab 'im Einklang mit dem Gesetz' und die Schutzvorkehrungen in Artikel 8 eingeschränkt wird. Das chinesische Gesetz zum Schutz personenbezogener Informationen (PIPL) ergänzt dies um ein eigenes Regime für ausgehende Datenübermittlungen (Artikel 38-39). Beide gelten für in China gegründete Unternehmen, unabhängig davon, wo sich ihre Server befinden.Quellen: Nationales Geheimdienstgesetz

Es gibt keinen Angemessenheitsbeschluss zwischen der EU und China. Eine Übermittlung personenbezogener Daten eines europäischen Nutzers an einen chinesischen KI-Anbieter — auch über eine API an einen Anbieter, dessen Server in Europa stehen mögen, dessen Muttergesellschaft jedoch chinesisch ist — muss sich auf ein Übermittlungsinstrument nach Kapitel V der DSGVO stützen, in der Praxis auf Standardvertragsklauseln, abgesichert durch eine Transfer-Folgenabschätzung und etwaige erforderliche zusätzliche Maßnahmen (die ausdrückliche Einwilligung nach Artikel 49 ist nur eine eng begrenzte Ausnahme). Anders als bei Übermittlungen zwischen der EU und den USA ist die Angemessenheit dieser Garantien für China nicht durch den EuGH beurteilt worden, wie es in Schrems II der Fall war, sodass die Exporteure das chinesische Überwachungsrecht — einschließlich des Nationalen Geheimdienstgesetzes — selbst beurteilen müssen.Quellen: Schrems II (C-311/18) · EDSA Empfehlungen 01/2020

Wenn Ihre Kette Anbieter aus mehreren Rechtsordnungen umfasst, ist jeder Modellsprung potenziell eine grenzüberschreitende Übermittlung. Der Nutzer hat in die Nutzung Ihrer Plattform eingewilligt. Er hat nicht in jede einzelne Übermittlung eingewilligt.

Die Aufbewahrungskaskade

Jeder Anbieter in Ihrer Kette hat seine eigene Datenaufbewahrungsrichtlinie. Selbst wenn alle drei angeben, nicht mit API-Daten zu trainieren, unterscheiden sich die Aufbewahrungsfristen für Protokollierung, Missbrauchsüberwachung und Infrastrukturzwecke. Eine Anfrage, die auf das tertiäre Modell durchfällt, kann für einen anderen Zeitraum und nach einer anderen Richtlinie aufbewahrt werden als eine Anfrage, die vom primären Modell bearbeitet wird.

Das praktische Problem ist, dass Sie dies nicht prüfen können. Sie können die Datenschutzerklärung lesen. Sie können die tatsächliche Aufbewahrungsinfrastruktur nicht inspizieren. Wenn ein Nutzer sein Recht auf Löschung nach DSGVO Artikel 17 ausübt, können Sie die Daten aus Ihren Systemen löschen und Löschersuchen an jeden Anbieter übermitteln. Sie können nicht überprüfen, ob diese Löschungen ausgeführt wurden. Sie können keinen Nachweis der Einhaltung erbringen.Quellen: DSGVO Artikel 17

Die Informationslücke

DSGVO Artikel 13 Absatz 1 Buchstabe e und Artikel 14 Absatz 1 Buchstabe e verpflichten Verantwortliche, die betroffenen Personen zum Zeitpunkt der Erhebung über die Empfänger — oder zumindest die Kategorien von Empfängern — ihrer personenbezogenen Daten zu informieren. Eine Liste der Unterauftragsverarbeiter, die Ihren primären Modellanbieter nennt, nicht aber Ihre Fallback-Anbieter, ist unvollständig. Wird ein Fallback ausgelöst, haben Sie Daten an einen Auftragsverarbeiter übermittelt, der in der Datenschutzerklärung nicht offengelegt ist.Quellen: Artikel 13 · Artikel 14

Das ist am bedeutsamsten, wenn der Fallback stillschweigend erfolgt: Der Nutzer sendet eine Anfrage, das primäre Modell ist nicht verfügbar, die Anfrage wird an das sekundäre umgeleitet, und der Nutzer erhält eine Antwort ohne jeden Hinweis darauf, dass ein anderer Anbieter seine Daten verarbeitet hat. Seine berechtigte Erwartung im Moment der Übermittlung wurde nicht erfüllt.

Wie eine minimal tragfähige Compliance-Architektur aussieht

Die Lösung besteht nicht darin, Fallback-Ketten abzuschaffen. Die Zuverlässigkeitstechnik hat berechtigte Gründe für sie. Die Lösung besteht darin, die Rechtsstruktur der Kette mit derselben Sorgfalt zu behandeln wie ihre technische Struktur.

Das bedeutet: einen unterzeichneten Auftragsverarbeitungsvertrag mit jedem Anbieter in der Kette, bevor irgendwelche Daten verarbeitet werden. Eine Liste der Unterauftragsverarbeiter, die die tatsächliche Kette einschließlich der Fallbacks abbildet. Eine Datenschutzerklärung, die die vollständige Reihe potenzieller Auftragsverarbeiter offenlegt, oder zumindest die Kategorien von Auftragsverarbeitern nach Rechtsordnung. Einen Protokollierungsmechanismus, der erfasst, welcher Anbieter jede Anfrage bearbeitet hat, damit Löschersuchen zielgenau gerichtet werden können. Eine Transfer-Folgenabschätzung für jeden Anbieter, der extraterritorialen Gesetzen über staatlichen Zugriff unterliegt.

Nichts davon ist technisch komplex. Die Komplexität ist organisatorischer Natur: Sie erfordert, die Modellauswahl-Schicht als rechtliche Schnittstelle zu behandeln, nicht bloß als Infrastrukturentscheidung.

Die Lücke, auf die es ankommt

Die KI-Branche hat viel in die Erklärung dessen investiert, was Modelle tun. Sie hat fast nichts in die Dokumentation dessen investiert, wohin Daten gehen, wenn Modelle verkettet werden. Ersteres ist ein Problem der Modelltransparenz. Letzteres ist ein Problem der Datenverwaltung (Data Governance), und es ist dasjenige, das in der Durchsetzung zuerst zutage treten wird.

Die Kette, die Daten verarbeitet, ist eine Rechtsstruktur. Sie sollte auch als solche gestaltet werden.