Künstliche Intelligenz

Zu Frage 1:

Auch wenn es für eine neue Technologie wie die Künstliche Intelligenz auch in Liechtenstein (noch) keinen speziellen, dedizierten Rechtsrahmen gibt, operiert sie dennoch nicht im rechtsfreien Raum. In Liechtenstein gelten auch für den Bereich der Künstlichen Intelligenz verschiedene allgemeine Gesetze und Regelungen, die – abhängig von den konkreten KI-Anwendungsbereichen und Inhalten – Anwendung finden können.

Alle bestehenden Gesetze und Bestimmungen, wie beispielsweise die Datenschutzgesetzgebung, Urheberrecht und geistiges Eigentum, Haftungsrecht, Arbeitsrecht sowie Regelungen zu Nichtdiskriminierung und Ethik, sind somit auch auf neue Technologien anwendbar und gültig.

In Liechtenstein, wie in vielen anderen Ländern, wird die Notwendigkeit einer spezifischeren Gesetzgebung im Bereich KI diskutiert, um den besonderen Herausforderungen und Potentialen dieser Technologie gerecht zu werden. Vor diesem Hintergrund ist geplant, die EU-KI-Verordnung in das EWR-Abkommen zu übernehmen, was bedeutet, dass die künftigen Regelungen der Europäischen Union im Bereich Künstliche Intelligenz auch in Liechtenstein Anwendung finden werden. Dieser Schritt wird zu spezifischeren Regelungen oder Anpassungen bestehender Gesetze im Einklang mit den europäischen Standards führen.

Zu Frage 2:

Der erste Entwurf der EU-KI-Verordnung wurde im April 2021 veröffentlicht. Dieser Entwurf verbindet traditionelle Produktsicherheitsansätze mit der Berücksichtigung eines breiten Spektrums an Grundrechten, die durch Künstliche Intelligenz (KI) beeinflusst werden. Es handelt sich dabei um einen risikobasierten Ansatz, der den Schutz fundamentaler Rechte einschliesst. Insbesondere mit dem Aufkommen fortschrittlicher Technologien wie ChatGPT im letzten Jahr wurde die Notwendigkeit deutlich, die Komplexität und Anpassungsfähigkeit von Basismodellen und Large-Language-Models (LLMs) durch ergänzende Bestimmungen zu adressieren. Im revidierten Entwurf, der im Juni 2023 vorgestellt wurde, wird generative KI, wie sie in Modellen wie ChatGPT verwendet wird, nun explizit erfasst. Dieser Entwurf befindet sich derzeit in der finalen Verhandlungsphase in den EU-Gremien. Abhängig vom Zeitpunkt der Einigung auf EU-Ebene wird ersichtlich, wann und in welcher Form eine KI-Regulierung in der EU/EWR in Kraft treten könnte.

In Liechtenstein verfolgen wir diese Entwicklungen aufmerksam und beteiligen uns aktiv am internationalen Diskurs.

Zu Frage 3:

Grundsätzlich «gehören» personenbezogene Daten der betroffenen Person selbst. Wenn eine andere Person oder private oder öffentliche Institution personenbezogene Daten verarbeiten möchte, muss sie sich auf einen Rechtfertigungsgrund in Art. 6 Abs. 1 Datenschutz-Grundverordnung (DSGVO) stützen bzw. im Falle besonderer Kategorien von personenbezogenen Daten auf einen Grund in Art. 9 Abs. 2 DSGVO. Sprich, es muss entweder die Einwilligung der betroffenen Person vorliegen, die Daten für eine Vertragserfüllung erforderlich sein, eine rechtliche Verpflichtung zur Datenverarbeitung vorliegen, die Verarbeitung lebenswichtigen Interessen dienen, für eine öffentliche Aufgabe erforderlich sein oder durch die berechtigten Interessen des Datenverarbeiters gedeckt sein. Art. 9 Abs. 2 DSGVO nennt noch einige weitere Gründe.

Im konkreten Fall einer «Vermarktung» ist in den meisten Fällen die Einwilligung erforderlich. Nur in sehr engen Grenzen und nach einer sehr sorgfältigen Abwägung der jeweiligen Interessen könnten eventuell auch die berechtigten Interessen als Rechtsgrundlage für die Verarbeitung dienen.

Zu Frage 4:

Grundsätzlich gelten Daten dann als anonymisiert, wenn jeglicher Bezug zu einer natürlichen Person ausgeschlossen ist und somit die betreffende natürliche Person nicht mehr identifizierbar ist. Es handelt sich in diesem Fall nicht mehr um personenbezogene Daten und die DSGVO findet keine Anwendung.

Nichtsdestotrotz ist eine Weitergabe von Daten, ob im Klartext oder anonymisiert, im elektronischen Gesundheitsdossier nicht vorgesehen. Dies stellte die Datenschutzstelle (DSS) mit inzwischen rechtskräftiger Verfügung vom 19. Juni 2023 unmissverständlich fest, indem sie ausführte, dass «der in Art. 1 Abs. 2 des Gesetzes vom 7. Mai 2021 über das elektronische Gesundheitsdossier (EGDG) genannte Zweck des elektronischen Gesundheitsdossiers keine Datenverarbeitung auf Grundlage von Art. 9 Abs. 2 Bst. j DSGVO zu Forschungszwecken, Archivierung oder statistischen Zwecken erlaubt.

Zu Frage 5:

Wenn ein Verantwortlicher mittels KI personenbezogene Daten verarbeitet, so gelten dafür ebenfalls die Regeln des Datenschutzes nach DSGVO und liechtensteinischem Datenschutzgesetz (DSG). Das heisst, es ist auch hier zu beachten, dass personenbezogene Daten nur mit einer legitimen Rechtsgrundlage nach Art. 6 Abs. 1 und eventuell Art. 9 Abs. 2 DSGVO sowie unter Einhaltung aller anderen Grundsätze aus Art. 5 DSGVO verarbeitet werden dürfen. Dazu gehören auch die Grundsätze des Privacy by Design und by Default, wonach die Technologie bereits in der Designphase mit datenschutzfreundlichen Voreinstellungen ausgestattet werden muss und während des Betriebs die dem Stand der Technik entsprechenden Sicherheitsmassnahmen implementiert sein müssen. In Bezug auf die Anwendung sind gegebenenfalls auch die strengen Bestimmungen zu automatisierten Einzelfallentscheidungen einschliesslich Profiling gemäss Art. 22 DSGVO zu beachten. Und schliesslich müssen vom Verantwortlichen trotz des Einsatzes von KI auch sämtliche Betroffenenrechte nach DSGVO gewährt werden können.

Die Künstliche Intelligenz, kurz KI, entwickelt beziehungsweise verändert sich fortlaufend und sehr schnell und hält Einzug in diverse Bereiche. Die KI benötigt Daten und ist nur so gut, wie es die Datensätze sind, die dafür genutzt werden. In Kombination mit Big Data kommt es zu riesigen Datenansammlungen, die unter anderem sehr begehrt bei entsprechenden Konzernen sind. Dazu zählen die Pharma-Industrie, Versicherungen usw. Hierzu folgende Fragen an die Regierung:

1. Welche gesetzlichen Grundlagen gelten im Bereich der Künstlichen Intelligenz in Liechtenstein?
2. Da es sich um eine globale Thematik handelt, gibt es bereits gesetzliche Grundlagen im Bereich der Künstlichen Intelligenz in der EU?
3. Wem gehören persönliche Daten, wer darf damit arbeiten beziehungsweise diese vermarkten?
4. Wie kann der Inhaber eines elektronischen Gesundheitsdossiers verhindern, dass seine Gesundheitsdaten in anonymisierter Form an Dritte, zum Beispiel Forschungsinstitutionen oder Technologiekonzerne, weitergereicht werden?
5. Welche Sicherungsmassnahmen zur Verhinderung von Datenmissbrauch gelten in Sachen KI?