Die EU-Kommission verspricht mit dem geplanten Paket für einen "digitalen Omnibus" einen Befreiungsschlag gegen Bürokratie. Doch der Widerstand gegen das Vorhaben wächst ständig. Rechtsexperten der Kanzlei Spirit Legal warnen in einem Gutachten im Auftrag des Bundesverbands der Verbraucherzentralen (vzbv) nun eindringlich davor, dass der Entwurf einen systematischen Bruch mit den Prinzipien der Datenschutz-Grundverordnung (DSGVO) darstelle und die Privatsphäre von hunderten Millionen Verbrauchern gefährde.

Im Zentrum der Kritik steht der vorgesehene Artikel 88c, der spezielle Erleichterungen für die Datenverarbeitung im Kontext von Künstlicher Intelligenz (KI) vorsieht. Die Gutachter Peter Hense und David Wagner warnen hier vor einer "uferlosen Sonderrechtszone". Da der Begriff des KI-Systems extrem weit gefasst sei, könnten Unternehmen künftig fast jede automatisierte Datenverarbeitung als KI-relevant deklarieren, um strengen Datenschutzregeln zu entgehen. Damit würde die technikneutrale Logik der DSGVO durch ein technologiespezifisches Privileg ersetzt, das vor allem Diensteanbietern nütze.

Für alarmierend halten die Juristen die geplante Aufweichung beim Umgang mit sensiblen Daten wie Gesundheitsinformationen oder politischen Ansichten. Der Entwurf suggeriere, dass deren Verarbeitung umso eher gerechtfertigt sei, je größer die Datenmengen sind. Das verkehre den Grundsatz der Datensparsamkeit ins Gegenteil: Massenhaftes Absaugen von Informationen werde belohnt, solange es dem Training von KI-Modellen diene. Die Gutachter sehen darin gefährliche Vorrechte für Big-Tech-Konzerne.

Digitale Souveränität der jungen Generation

Die Autoren bemängeln zudem, dass wesentliche Schutzmechanismen lediglich in die rechtlich unverbindlichen Erwägungsgründe verschoben würden. Ein Beispiel sind technische Opt-out-Verfahren, mit denen Nutzer der Verwendung ihrer Daten widersprechen können. Ohne Verankerung im verbindlichen Normtext fehle den Aufsichtsbehörden die Handhabe, Verstöße effektiv zu sanktionieren. Gerade beim Web-Scraping würden so Daten von Personen erfasst, die oft gar keine Möglichkeit hätten, von ihrem Widerspruchsrecht überhaupt Kenntnis zu erhalten.

Um diesen Fehlentwicklungen entgegenzuwirken, bringen die Gutachter eine spezifische Rechtsgrundlage fürs KI-Training ins Spiel. Unternehmen sollten erst dann auf personenbezogene Informationen zugreifen dürfen, wenn sie nachweisen können, dass ihr Ziel nicht auch mit anonymisierten oder synthetischen Daten erreicht werden könne. Zudem müsse gewährleistet werden, dass KI-Modelle keine persönlichen Informationen in ihren Antworten reproduzieren ("Data Leakage"). Dafür seien strenge technische Standards bereits im Trainingsprozess nötig.