Eine Recherche hat ein beunruhigendes Datenschutzproblem aufgedeckt, das bislang unter dem Radar blieb: Gehirndaten von Menschen, die Neurotech-Geräte nutzen, werden ohne deren explizites Wissen für das Training von Künstlicher Intelligenz verwendet.
Neurotechnologie entwickelt sich rasant. Geräte, die Hirnaktivität messen und interpretieren, kommen zunehmend in Anwendung, etwa bei Rehabilitation nach Schlaganfällen, zur Unterstützung von Menschen mit Lähmungen oder in der Forschung. Diese Geräte sammeln hochsensible biometrische Daten: komplexe Muster der Gehirnaktivität, die äusserst persönlich und mit anderen Daten kombiniert sehr identifizierbar sind.
Das Dilemma: Nutzer geben oft nur einer breiten, vagen Zustimmungsklausel zu, ohne zu wissen oder zu verstehen, dass ihre Gehirndaten konkret für KI-Training verwendet werden. Dies ist ein klassischer Fall von "Hidden in Plain Sight": Die Information steht technisch in den Nutzungsbedingungen, aber der durchschnittliche Nutzer liest diese nicht oder versteht nicht, was es bedeutet.
Warum ist das problematisch? Gehirndaten sind extrem sensitiv. Sie können Erkrankungen, psychische Zustände, Kognitives Leistungsvermögen und weitere sehr private Informationen enthüllen. Wenn diese Daten ohne echte Zustimmung für KI-Training verwendet werden, entstehen mehrere Risiken: Unbefugte könnten trainierte Modelle nutzen, um Vorhersagen über Individuen zu treffen. Daten könnten gehackt werden. Es können Diskriminierungsmuster entstehen.
Für Unternehmen und ihre IT-Verantwortlichen bedeutet das mehrere Lektionen. Erstens: Prüfen Sie, welche Drittanbieter-Tools Ihre Organisation einsetzt, die Sensordaten oder Biometrie erfassen. Verstehen Sie, wie diese Daten verwendet werden. Zweitens: Dokumentieren Sie und kommunizieren Sie transparent gegenüber Nutzern, wie deren Daten verarbeitet werden. Nutzen Sie echte, spezifische Zustimmungsmechanismen statt breiter Blanko-Genehmigungen. Drittens: Berücksichtigen Sie dies bei der Datenschutz-Grundfolgenabschätzung für neue Technologien. Datenschutz sollte von Anfang an ein Design-Kriterium sein, nicht ein späterer Zusatz.