Können Databotschaften die grenzüberschreitende KI sicherer machen?
Widersprüchliche Datenschutzgesetze weltweit veranlassen Unternehmen dazu, über diplomatische Lösungen zum Datenschutz nachzudenken.
Unternehmen stehen vor Herausforderungen bei der Einhaltung der Gesetze, wenn sie ihre Künstliche-Intelligenz-(KI)-Anwendungen grenzüberschreitend einsetzen. Die sogenannten „Datenbotschaften“ könnten eine Lösung sein.
Laut einem im Januar 2024 veröffentlichten Bericht, der vom Asian Business Law Institute (ABLI) und der Singapore Academy of Law gemeinsam verfasst wurde, können Datenbotschaften dabei helfen, dass eine Organisation ihre Daten vor dem Zugriff durch Behörden des Gastlandes schützen kann.
Unter Verweis auf seine Interaktionen mit öffentlichen und privaten Organisationen stellte ABLI fest, dass ein wiederkehrendes Problem bei der grenzüberschreitenden Datenübermittlung darin besteht, dass Kunden zögern, den Zugriff auf ihre Daten zu gewähren.
Sobald die Daten in das Gastland übertragen wurden, in dem sich das Rechenzentrum befindet, gelangen sie in den Besitz des Empfängers - wodurch der Kunde, der die Daten überträgt, nur noch begrenzte Handlungsmöglichkeiten hat, falls öffentliche Behörden der Zuständigkeit des Gastlands darauf Zugriff verlangen.
Eine Lösung dafür sei laut ABLI die Einführung von Risikobewertungs- und Abhilfemaßnahmen; eine weitere Lösung sei die Einrichtung von Datenbotschaften. Letztere ermöglichen ein Gleichgewicht zwischen dem Bedürfnis des Kunden, seine Daten zu schützen, und dem Bedürfnis des Gastlandes, seine Souveränität über das Territorium auszuüben, auf dem sich die Datenbotschaft befindet.
„All das geschieht vor dem Hintergrund, dass Länder weltweit darum konkurrieren, sich als Technologie- oder Digitalwirtschafts-Zentren zu etablieren, indem sie Rechenzentren ansiedeln“, schrieb ABLI.
Laut dem Bericht des Rechtsinstituts kann eine Datenbotschaft es dem Gastland ermöglichen, Bedenken auszuräumen, dass seine Strafverfolgungsbehörden ein Rechenzentrum betreten, es durchsuchen und Speichergeräte beschlagnahmen könnten.
„Der Gastgeberstaat möchte es gestatten, dass die Gesetze eines anderen Staates (des Gaststaates) die Tätigkeiten der Parteien und/oder die Daten des Rechenzentrums regeln, damit ein Kunde - beispielsweise ein Technologiekonzern - eher bereit ist, Daten an ein Rechenzentrum auf seinem Territorium zu übertragen“, heißt es im Bericht. „Der Gastgeberstaat will es also erlauben, dass die Gesetze eines Staates, mit dem der Kunde vertrauter ist, für das Rechenzentrum gelten. Auf diese Weise müsste der Kunde nur die Gesetze des Gaststaates befolgen - nicht aber die Gesetze des Gastgeberstaates.“
Laut ABLI können der Cloud-Dienstanbieter und der Kunde einer Datenbotschaft ebenfalls frei vereinbaren, welches Recht auf ihren Vertrag über Cloud-Dienste anwendbar ist.
Laut dem Rechtsinstitut stützen sich Datenbotschaften auf einen rechtlichen Rahmen, der einige Aspekte einer traditionellen diplomatischen Vertretung widerspiegelt - allerdings auf Rechenzentren angewandt. Zudem erklärte das Institut, dass Länder wie Estland und Bahrain dieses Modell bereits übernommen hätten, während andere, etwa Indien und Malaysia, darüber nachdächten, es einzuführen.
Notwendigkeit standardisierter Gesetzgebung, um den grenzüberschreitenden Einsatz von KI zu erleichtern
Ein Datenbotschafter kann auch Reibungsverluste in einer globalen Umgebung verringern, in der die KI-Gesetze unterschiedlich sind und sich grenzüberschreitend schwer handhaben lassen.
Derzeit gibt es keine einheitliche Ansicht darüber, wer das Ergebnis der KI-Generierung besitzt, sagte Bryan Tan, Partner bei der Anwaltskanzlei Reed Smith, der in der Unterhaltungs- und Medienbranche tätig ist. Besitzt die Person, die den KI-Algorithmus ausgeführt hat, das Ergebnis? Oder die Person, die die großen Sprachmodelle (Large Language Models) entwickelt hat - oder der Nutzer, der den Prompt eingegeben hat?
Selbst wenn Gesetze erlassen wurden, um diese Frage zu regeln, unterscheiden sich die Gesetze von Land zu Land, sagte Tan gegenüber Windows-Office.net. Unternehmen möchten weiterhin KI nutzen - daher bestehen Bedenken darüber, wie sie mit diesen Herausforderungen umgehen sollen.
Idealerweise verbleiben ihre KI-Prozesse in derselben Rechtsordnung, damit das Problem gelöst werden kann. Alternativ könne es eine internationale Zusammenarbeit zur Harmonisierung der Regeln geben - ähnlich wie bei Urheberrechtsgesetzen -, sodass es für Unternehmen einfacher wäre, diese zu handhaben, so Tan.
Allerdings fügte er hinzu, dass noch unklar sei, ob dies überhaupt möglich sei - schließlich habe die Europäische Union bereits ihr eigenes KI-Gesetz verabschiedet, während der gesetzgeberische Weg in den USA unter der kommenden Trump-Regierung ungewiss bleibe.
Unterdessen schlug Tan vor, dass andere globale Märkte wie Asien ihre Gesetze mit denen der EU oder der USA in Einklang bringen könnten, um mehr Konsistenz zu erreichen und grenzüberschreitende Probleme zu verringern.
Das optimale Ziel sei es, einen einzigen Satz von Gesetzen zu haben, der den Weg zum Konzept der „Datenbotschaft“ ebnet, sagte er. Dies reduziere Reibungsverluste und ermögliche eine Skalierbarkeit - schließlich können Organisationen ihre KI-Daten an verschiedenen Standorten unter einem einzigen Regelwerk speichern.
So wies Tan beispielsweise auf das Potenzial hin, dass regionale Blöcke wie die Association of Southeast Asian Nations (ASEAN) zusammenkommen und multilaterale Abkommen schließen, um sogenannte „Datenbotschaften“ für die Region zu schaffen.
Laut seinen Angaben besteht das Ziel einer Datenbotschaft darin, sicherzustellen, dass Daten nur den Gesetzen des Staates unterliegen, aus dem sie stammen. Zu den Vorteilen zähle dabei, dass Datenbesitzer weniger Schwierigkeiten hätten, ihre Daten in den Aufnahmestaat zu überführen. Zwar könne eine hybride Cloud einige dieser Probleme lösen, doch die meisten LLMs würden auf öffentlichen Cloud-Plattformen betrieben, so Tan - weshalb es für Unternehmen ineffizient sei, die Modelle sowie ihre KI-Algorithmen in privaten Clouds in jedem lokalen Markt nachzubilden.
Ein Bericht von IDC aus April 2024 wies auf das wachsende Interesse der Regierungen in der Asien-Pazifik-Region an souveränen Cloud-Lösungen hin - bedingt durch geopolitische Unruhen, veränderte Datenschutzvorschriften, zunehmende Cyberbedrohungen sowie Veränderungen in den digitalen Handelsrichtlinien.
„Regierungen betrachten die souveräne Cloud ebenfalls als wirtschaftlichen Vorteil - sie fördern dadurch Investitionen von Hyperscalern in lokale Rechenzentren, um die digitale Wirtschaft und die Industrieperspektiven zu verbessern“, so IDC. Das Marktforschungsunternehmen schätzte, dass bereits 17 Prozent der Regierungsbehörden in der Asia-Pacific-Region souveräne Cloud-Dienste nutzen, während ein Drittel davon plant, dies in den nächsten zwei Jahren zu tun.
Laut IDC sehen diese Organisationen zwar Vorteile in solchen Maßnahmen - etwa die Einhaltung von Vorschriften bezüglich der Datenspeicherung - doch sie stehen vor erheblichen Herausforderungen, darunter hohe Implementierungskosten, Komplexität sowie potenzielle Einschränkungen für die Innovation.
Die Risikobewertung bleibt der Schlüssel.
Ilias Chantzos, globaler Datenschutzbeauftragter bei Broadcom sowie Leiter der Regulierungsangelegenheiten für die EMEA-Region, räumte ein, dass es zusätzliche Bedenken hinsichtlich der Speicherung von Daten in der Cloud oder außerhalb der lokalen Zuständigkeit eines Unternehmens gibt. Unternehmen machen sich Sorgen darüber, ob ihre Daten zur Schulung anderer KI-Tools verwendet werden oder für andere Zwecke umtrainiert werden, wie sicher sie sind und was mit ihnen geschieht.
Unter anderem machen sie sich auch Gedanken darüber, wer das KI-Modell besitzt und welche Daten daraus extrahiert werden, sagte Chantzos in einem Videointerview.
Es dränge Unternehmen dazu, hybride oder private Cloud-Modelle zu wählen, damit sie Kontrollen bezüglich der Daten und deren Nutzung implementieren können, sagte er.
Letztendlich müssen Unternehmen über ihre Daten sowie die Risiken sprechen, die sie einzugehen bereit sind, bevor sie das richtige KI-Framework wählen.
Dies sei entscheidend dafür, ob sie sich dafür entscheiden, ihre Anwendungen in Rechenzentren im Ausland zu betreiben, merkte er an. Ihre Bewertungen sollten eine Kenntnis der Gesetze beinhalten, die die Märkte regeln, in denen sich die Rechenzentren befinden, sowie die Beschränkungen in den jeweiligen Rechtsordnungen, die grenzüberschreitende Datenübertragungen verhindern könnten.
„Wählen Sie die Gerichtsbarkeit, der Sie vertrauen“, sagte Chantzos.
Auf die Frage nach dem Potenzial von Datenbotschaften sagte er, dass diese ein starkes rechtliches Konstrukt darstellen könnten - es gäbe jedoch Fragen, die geklärt werden müssten. Beispielsweise: Lässt sich das Konzept skalieren? Wie hoch wären die Kosten? Welche Grenzen gibt es, und wie würde die Durchsetzung erfolgen?
Das Datambassaden-Modell könne ebenfalls nicht angewandt werden, wenn eine Organisation den vom eigenen Staat erlassenen Gesetzen zur Datensouveränität nachkommen müsse - wonach bestimmte Daten lokal gespeichert werden müssten, so Tan. Die Regeln zur Datensouveränität gelten in der Regel für bestimmte Branchen, wie zum Beispiel das Finanzwesen.
Es bleibt außerderdings unklar, wie die Datenbotschaften durchgesetzt werden sollen. Der Technologieanwalt deutete jedoch an, dass dies durch bilaterale Abkommen oder Verträge möglich wäre - ähnlich einem Auslieferungsvertrag.
Govind Choudhary, Vice President für Strategie und Geschäftsentwicklung bei Digital Realty für die Asien-Pazifik-Region, fügte hinzu, dass für regulierte Branchen wie das Finanzwesen unterschiedliche Richtlinien festgelegt werden können, um sensiblere Daten zu verwalten.
Zumindest im Moment ist der Ansatz mit „Datenbotschaften“ für Unternehmen noch etwas zu fortschrittlich - schließlich machen sich diese eher Gedanken darüber, wie sie verhindern können, dass ihre Mitarbeiter Unternehmensdaten in ChatGPT hochladen, so Daniel Ong, Leiter für Lösungsarchitektur bei Digital Realty für die Asien-Pazifik-Region.
Ein robustes Datenmanagement ist genauso wichtig
Daten sowie die Fähigkeit, gute Daten - einschließlich neuer Datensätze - effektiv zu nutzen, seien entscheidend für die Generative-AI-Strategie eines Unternehmens, sagte Choudhary in einem Videointerview. Er fügte hinzu, dass Unternehmen versuchten herauszufinden, welche Methoden und Umgebungen am besten geeignet seien, um dies zu bewerkstelligen - sei es in einer privaten, öffentlichen oder hybriden Cloud-Infrastruktur.
Insbesondere die hybride Cloud entwickle sich laut ihm zur bevorzugten Lösung für Unternehmen. „[Unternehmen] wollen die Rechenkapazitäten nicht unbedingt an einem einzigen Ort haben - da Daten weltweit erzeugt werden, benötigen sie Rechenkapazitäten an verschiedenen Orten, um diese Daten zu verarbeiten“, so er.
Ein hybrides Cloud-Umfeld werde es Unternehmen ermöglichen, ihre KI-Anwendungen an mehreren Standorten auszuführen - wobei die Daten bei Bedarf über private Verbindungen nahtlos und sicher übertragen werden könnten, so sagte er.
Laut Ong haben Unternehmen in der Regel Daten, die sich an 10 bis 12 verschiedenen Standorten befinden. Er wies darauf hin, dass im Gegensatz zu Hyperscalern und Anbietern von KI-Diensten - die das Web nach Daten durchsuchen und umfangreiche KI-Trainingsprozesse durchführen müssen - Unternehmen in erster Linie KI-Inferenzprozesse ausführen müssen. Daher müssten sie ihre Datenbedürfnisse mit den Anforderungen an die Recheninfrastruktur in Einklang bringen und anschließend entscheiden, ob eine private oder öffentliche Cloud-Infrastruktur besser geeignet sei, so Ong.
Er stellte fest, dass nur wenige bereit sind, Daten, die ihre IP-Adresse enthalten, in eine Cloud zu übertragen, die nicht in ihrem Kontrollbereich operiert. Diese Bedenken beeinflussen ihre Entscheidung, ob sie solche KI-Arbeitslasten in ein grenzüberschreitendes Rechenzentrum übertragen sollen; die meisten entscheiden sich dabei für einen hybriden Cloud-Ansatz, um bestimmte Daten in ihrem lokalen Bereich behalten zu können, erklärte er.
Solche Entscheidungen veranlassen laut Choudhary auch Hyperscaler sowie Cloud-Anbieter wie Google und Amazon Web Services dazu, in immer mehr Regionen Rechenzentren einzurichten, um der wachsenden Nachfrage gerecht zu werden. Dadurch würden auch Probleme bezüglich der Latenz in den lokalen Märkten der Kunden gelöst, fügte er hinzu.
Laut einer weltweiten Umfrage von Digital Realty setzen 72 Prozent der Unternehmen in der Asien-Pazifik-Region Datenstandortstrategien in ihre KI-Pläne um. Für die Studie wurden 2.254 IT-Entscheider in 21 Ländern Europas, Amerikas und der Asien-Pazifik-Region befragt - darunter Indien, Japan, Singapur und Südkorea.
Laut dem Bericht ermöglicht der verteilte Datenansatz es Unternehmen, in wichtigen Standorten auf Speicher- und Verarbeitungskapazitäten mit hoher Dichte zuzugreifen, um die Leistung von KI zu optimieren.
Laut dem Bericht von Digital Realty planen etwa 56 Prozent der Befragten aus der Asien-Pazifik-Region, in den nächsten zwei Jahren ihre Infrastruktur um ein bis fünf weitere Standorte zu erweitern. Dies würde es ihnen ermöglichen, die Vorschriften zur Datensouveränität einzuhalten sowie ihre KI-Arbeitslasten zu skalieren.
Derzeit sind 56 % der Ansicht, dass ihnen die für den Erfolg im Umgang mit Daten und KI erforderliche digitale Infrastruktur fehlt. 64 % nennen außerdem die unzureichende Datenspeicherkapazität für große KI-Datensätze als wichtigstes Infrastrukturproblem.
Weitere 55 % nennen unzureichende Rechenleistung als Hindernis für die KI-Verarbeitung, während 49 % zuverlässige Verbindungen zu Datenquellen als zentrale Infrastrukturaufgabe hervorheben.
Chantzos von Broadcom wies darauf hin, dass sich die globale Landschaft weiter entwickeln und verkomplizieren werde, da immer mehr Länder wie Japan, Australien und Südkorea eigene Gesetze zu KI erlassen. Er riet Unternehmen, ein robustes Governance-Framework zu entwickeln sowie ihre eigenen Anwendungsfälle für KI zu verstehen - einschließlich der Technologien und Daten, die zur Unterstützung ihrer KI-Anwendungen genutzt werden.
Er betont erneut die Bedeutung des Risikomanagements, einschließlich des Datenrisikomanagements, sowie der Bewertung des Risikoprofils des Unternehmens und des Verständnisses der lokalen Rechtsordnungen in den globalen Märkten, in denen seine Rechenzentren tätig sind.
„[Organisationen] müssen eine ordnungsgemäße Risikobewertung durchführen und bei Änderungen der Gesetze erneut bewerten, um festzustellen, was aktualisiert werden muss“, sagte er.