Risiken der KI-Funktion bei Smart Glasses
Ein Beispiel hierfür sind die Ray-Ban Meta AI Glasses, deren datenschutzrechtliche Risiken der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) untersucht hat.
Werden personenbezogene Daten an einen KI-Anbieter übermittelt, muss geprüft werden, zu welchen Zwecken dieser die Daten verarbeitet und welche datenschutzrechtliche Rolle er dabei einnimmt. Besonders problematisch ist die mögliche Weiterverwendung der Daten für das Training von KI-Modellen. Eine Rechtsgrundlage für die ursprüngliche Aufnahme deckt nämlich nicht automatisch die Weiterverwendung dieser Daten zum KI-Training. Vielmehr muss auch für diese Verarbeitung eine eigene geeignete Rechtsgrundlage vorhanden sein.
Der EDSA weist darauf hin, dass eine solche Weiterverwendung insbesondere dann nur schwer auf berechtigte Interessen stützen lässt, wenn aufgenommene Personen nicht mit der Weiterverwendung rechnen können. Hinzu kommt, dass auch die Erfüllung der Betroffenenrechte nach Art. 12 ff. DS-GVO hier erheblich erschwert ist. Verlangen betroffene Personen beispielsweise die Löschung ihrer Daten gemäß Art. 17 DS-GVO, ist zwischen gespeicherten Trainingsdaten und bereits trainierten KI-Modellen zu unterscheiden. Gespeicherte Trainingsdaten können grundsätzlich gezielt gelöscht werden. Wurden die Daten jedoch bereits zum Training eines KI-Modells verwendet, lassen sie sich häufig nicht mehr ohne Weiteres gezielt entfernen, sodass eine vollständige Umsetzung des Löschverlangens technisch kaum umsetzbar ist.
Gesichts- und Stimmerkennung
Weitere Risiken entstehen durch die KI-gestützte Erkennung und Identifizierung von Personen. Werden Gesichts- oder Stimmmerkmale verarbeitet, um Personen eindeutig zu identifizieren, handelt es sich um biometrische Daten i.S.d. Art. 4 Nr. 14 DS-GVO. Wichtig ist, dass Art. 9 DS-GVO nur greift, wenn diese biometrischen Daten gerade zum Zweck der eindeutigen Identifizierung der Person verarbeitet werden. Reine Bild- oder Tonaufnahmen fallen daher zwar nicht automatisch unter Art. 9 DS-GVO, Unternehmen müssen jedoch sorgfältig prüfen, ob entsprechende Funktionen überhaupt eingesetzt werden dürfen.
Handlungsempfehlungen für Verantwortliche
Unternehmen sollten vor dem Einsatz von Smart Glasses klare organisatorische und technische Maßnahmen sowie verbindliche Nutzungsregeln festlegen. Insbesondere sind folgende Maßnahmen empfehlenswert:
Transparenz gewährleisten: Betroffene Personen vor der Verarbeitung angemessen informieren und sicherstellen, dass Aufnahmefunktionen erkennbar sind, beispielsweise durch aktive Ansprache oder Warnwesten mit Hinweisen.
Einsatzbereiche klar festlegen: Konkrete Zwecke definieren und die Nutzung in sensiblen Bereichen, beispielsweise Besprechungsräumen oder medizinischen Einrichtungen, einschränken.
Datenschutzbeauftragen frühzeitig einbinden: Den DSB möglichst bereits in der Planung des Einsatzes der Smart Glasses beteiligen.
Mitbestimmungsrechte prüfen: Je nach betrieblichem Einsatz sollte geprüft werden, ob Mitbestimmungsrechte des Betriebsrats betroffen sind.
Rechtsgrundlagen prüfen: Vor der Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO bestimmen und gegebenenfalls eine Interessenabwägung dokumentieren.
Technische Einstellungen kontrollieren: Kamera- und Mikrofonfunktionen, Speicherfristen sowie Datenübermittlungen und mögliche KI-Funktionen prüfen und soweit erforderlich deaktivieren.
Datenweitergabe kontrollieren: Vor dem Einsatz prüfen, welche Daten an Hersteller oder KI-Dienstleister übermittelt werden und ob eine Weiterverwendung, insbesondere zum KI-Training, erfolgt.
Beschäftigte sensibilisieren: Verbindliche Nutzungsregeln festlegen und Beschäftigte darüber informieren, wann Aufnahmen zulässig sind und welche Bereiche oder Situationen ausgeschlossen werden müssen.
Abhängig vom konkreten Einsatz sind zudem die Dokumentation der Verarbeitung im VVT gem. Art. 30 DS-GVO, geeignete TOM gem. Art. 32 DS-GVO sowie gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO vor Beginn der Verarbeitung zu berücksichtigen.
Fazit
Smart Glasses bieten Unternehmen neue Möglichkeiten, Arbeitsprozesse effizienter zu gestalten. Gleichzeitig erschweren ihr unauffälliges Aussehen und zusätzliche KI-Funktionen die Einhaltung datenschutzrechtlicher Anforderungen. Das größte Problem ist dabei die fehlende Transparenz der Smart Glasses: Betroffene Personen können häufig nicht erkennen, dass sie aufgenommen werden.
Entscheidend ist daher, dass Unternehmen bereits vor dem Einsatz prüfen, ob eine rechtmäßige und transparente Datenverarbeitung gewährleistet werden kann, klare Nutzungsregeln schaffen und die Privatsphäre betroffener Personen schützen.
