Banale Frage, komplexe Antwort?

[lennybacon@infosec.exchange]

@guy_bockamp @jk @AwetTesfaiesus Wirklich so gut wie jede*r wirft alle mögliche Scheiße in LLMs die bei Providers laufen. Die dümmsten Fragen. Unter anderem weil die Medien da ganz toll animieren „Probier es doch auch mal“. Datenschutzrechtliche, Ökologische oder überhaupt irgendwelche Bedenken - leider Fehlanzeige.

LLM nur da wo sie Algorithmen gegenüber sinnvoll genutzt werden.
Lokale Modelle sind immer vorzuziehen.

[halbwach@wandzeitung.xyz]

@AwetTesfaiesus
Du unterstellst, dass Marlies Meier das Meldegesetz nicht kennt und davon keinen Gebrauch macht.

@timstrutzi

[hobo_ahoi@mastodon.social]

@AwetTesfaiesus Juristisch hängt es von der DSGVO ab, die ja nur für Unternehmen einschlägig ist. Macht man das als Unternehmer, muss man die Marlis Meier darüber informieren etc. Außerdem ist es ein Fall von Auftragsdatenverarbeitung, für den man mit dem LLM erst eine genaue Vereinbarung treffen müsste.

Fazit: Sehr wahrscheinlich ist es verboten.

Moralisch denke ich, dass die LLM das eh schon weiß, falls die Marlies im Telefonbuch steht. Falls nicht wäre es halt so ähnlich ... 1/2

[hobo_ahoi@mastodon.social]

@AwetTesfaiesus ... wie wenn man z.B. das Foto eines Fremden in Social Media veröffentlicht. Er sollte schon einverstanden sein, denke ich 2/2

[saale_coop@digitalcourage.social]

@_RyekDarkener_ @AwetTesfaiesus Es geht in der Frage ja darum dass die Informationen aus dem Prompt potenziell in den Datensatz aus dem LLM fliessen kann. Und wie die Anbieter gewährleisten dass keine personengebundenen Daten aus Suchanfragen gespeichert werden.

[pantarhei@freiburg.social]

@r_alb @AwetTesfaiesus greift die DSGVO hier überhaupt?

Art. 2 DSGVO definiert unter
(2) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten,

”Ausübung ausschließlich persönlicher Tätigkeiten“ müsste in dem genannten Szenario doch zutreffen?

[_ryekdarkener_@mastodon.social]

@saale_coop @AwetTesfaiesus

Ein LLM verwaltet: Token. Und erstellt darauf basierend eine plausibel klingende Antwort.

Wenn LLMs Zugang zu strukturierten Datensätzen haben, dann können sie damit arbeiten – wie jedes andere Programm auch, was Zugang zu diesen Daten hat. Diese sind aber nicht Teil des Sprachmodells selbst.

Somit ist die Frage an sich schon falsch gestellt.
Noch einmal: JEDES Programm, dass Zugriff auf Daten hat, kann mit diesen arbeiten. Das Problem ist nicht das Programm.

[guy_bockamp@mastodon.social]

@lennybacon @jk @AwetTesfaiesus Sehe ich ähnlich.

Aber die Frage ist, ob der Regulierungsrahmen der DSGVO noch sinntragend ist

[h_albermann@mastodon.social]

@AwetTesfaiesus Kann man bei deinen Angaben aus meiner Sicht nicht valide beurteilen.

Einfach mal auf der folgenden Seite nach Purpose suchen:
https://gdpr-info.eu/art-5-gdpr/

Anders gesagt: Du brauchst einen »Zweck«, warum du diese personenbezogenen Daten verarbeitest. Nach deinen Angaben hast Du aber keinen = Nicht zulässig.

[guy_bockamp@mastodon.social]

@lennybacon @jk @AwetTesfaiesus

BTW: Persönlich denke ich, wir brauchen dringend ein Grundrecht darauf, gänzlich frei von Interaktion mit KI leben zu können.

[h_albermann@mastodon.social]

@AwetTesfaiesus Dabei ist zu beachten, dass es neben den in der GDPR aufgeführten Gründen andere, ggf. lokale, Bestimmungen über die Speicherung oder Verarbeitung von personenbezogenen Daten geben kann.

So kann eine Person die Löschung ihrer Daten fordern, gesetzliche Aufbewahrungsfristen oder Dokumentationspflichten können dem aber entgegen stehen.

Daher sollten IT Systeme diese Fälle (Purpose) unterscheiden können um die Speicherung und Verarbeitung auf die jeweilige Zwecke zu beschränken.

[lennybacon@infosec.exchange]

@guy_bockamp @jk @AwetTesfaiesus IMHO geht auch ohne AI die DSGVO nicht weit genug. Wären privat Personen inkludiert könnte man doxxing und ungewollte Datenweitergabe damit eindämmen. Es müsste eine Möglichkeit der Meldung geben die effektiv gegen die Millionen Verstöße vorgeht.

[lennybacon@infosec.exchange]

@guy_bockamp @jk @AwetTesfaiesus Das wäre sehr schön. Neben Digitalzwang gibt es ja nun auch einen KI-Zwang.

[guy_bockamp@mastodon.social]

@lennybacon @jk @AwetTesfaiesus Verstehe ich.

Dennoch denke ich, die DSGVO war gleichzeitig zu ambitioniert. Heute würde ich sagen, die Ideen waren oft 'out of this world' und haben (wiewohl alle richtig) die Menschen überfordert.

[lennybacon@infosec.exchange]

@guy_bockamp @jk @AwetTesfaiesus Meine ideale … ‍️ … Realität

[joergba@mastodon.social]

@AwetTesfaiesus Außer in modernen Häusern mit Eigentumswohnungen. Dort stehen häufig nur Wohnungsnummern.

[guy_bockamp@mastodon.social]

@h_albermann @AwetTesfaiesus Ich denke, das offen zu lassen, war Teil der Intention hinter der Frage.

Die Antwort ist dann: "Es kommt darauf an." Und dann ist die Frage: worauf?

BTW: die Prüfungsreihenfolge wäre wohl, ob der Anwendungsbereich überhaupt eröffnet ist (Art. 2 Abs. 2)

[h_albermann@mastodon.social]

@guy_bockamp @AwetTesfaiesus Oder einfacher: Die Antwort lautet nein, solange ich keinen guten Grund anführen kann.

Was ein guter Grund ist …

[guy_bockamp@mastodon.social]

@h_albermann @AwetTesfaiesus moralisch: eher ja
juristisch: nein

[qbi@freie-re.de]

@AwetTesfaiesus Zunächst verarbeitest du hier personenbezogene Daten innerhalb der EU. Daher wäre die DSGVO anwendbar. Haushaltsausnahme greift nicht.

Als Rechtsgrundlage käme nur der Art. 6 Abs. 1 lit. f DSGVO (Interessenabwägung) in Betracht. Zur Prüfung hat der EuGH eine 3-Schritt-Methode entwickelt: