Neue Richtlinien für die Verwendung personenbezogener Daten in KI-Systemen in Singapur

03.08.2023

Von unserem deutschsprachigen CBBL-Anwalt in Singapur, Herrn Rechtsanwalt Dr. Andreas Respondek, respondek@cbbl-lawyers.de, Tel. +65 6324 0060, www.rflegal.com

Am 18. Juli 2023 hat die singapurische Datenschutzkommission ("PDPC") eine Reihe von vorgeschlagenen Richtlinien für die Verwendung personenbezogener Daten in KI-Empfehlungs- und Entscheidungssystemen ("vorgeschlagene Richtlinien") veröffentlicht mit dem Ziel, eine öffentliche Konsultation in die Wege zu leiten. Die öffentliche Konsultation läuft bis zum 31. August 2023. (Text der Richtlinie:
https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Legislation-and-Guidelines/Public-Consult-on-Proposed-AG-on-Use-of-PD-in-AI-Recommendation-and-Systems-2023-07-18-Draft-Advisory-Guidelines.pdf )

Die vorgeschlagenen Richtlinien zielen darauf ab, die Anwendung des singapurischen Datenschutzgesetzes ("PDPA") im Zusammenhang mit der Entwicklung und dem Einsatz von KI-Systemen zu klären, bei denen personenbezogene Daten zur Erstellung von Empfehlungen oder Vorhersagen für menschliche Entscheidungsträger oder zur autonomen Entscheidungsfindung verwendet werden.

Die wichtigsten Eckpunkte:

1. Nach dem PDPA müssen Unternehmen für die Erhebung und Verwendung personenbezogener Daten eine Einwilligung einholen, es sei denn, es liegt eine mutmaßliche Einwilligung vor oder es gilt eine Ausnahme. Die vorgeschlagenen Leitlinien stellen klar, dass die Ausnahmeregelung zur Geschäftsverbesserung von einem Unternehmen angewendet werden kann, wenn es entweder ein neues Produkt entwickelt, ein bestehendes Produkt verbessert oder ein KI-System einsetzt, um die betriebliche Effizienz zu steigern und personalisierte Dienstleistungen anzubieten. Dies gilt auch für den Datenaustausch innerhalb von Unternehmensgruppen zu diesen Zwecken.Darüber hinaus kann die Ausnahmeregelung für die Forschung auch dann in Betracht gezogen werden, wenn das Unternehmen kommerzielle Forschung betreibt, um Wissenschaft und Technik ohne einen Produktentwicklungsplan voranzubringen.
2. Die Zustimmungs- und Meldepflichten unter dem PDPA gelten weiterhin: Wenn sich Organisationen auf eine Einwilligung statt auf eine Ausnahme nach dem PDPA berufen, sollten sie eine Einwilligungsformulierung wählen, die es dem Einzelnen ermöglicht, sinnvolle Einwilligungen zu erteilen.
   So sollte beispielsweise eine Social-Media-Plattform, die personalisierte Inhaltsempfehlungen anbietet, erklären, warum bestimmte Inhalte angezeigt werden und welche Faktoren die Rangfolge der Beiträge beeinflussen (z. B. frühere Nutzerinteraktionen oder Gruppenmitgliedschaften).
3. Wenn Unternehmen professionelle Dienstleister damit beauftragen, maßgeschneiderte oder vollständig anpassbare KI-Systeme bereitzustellen, können diese Dienstleister als Datenvermittler/Datenverarbeiter tätig sein und unterliegen den Verpflichtungen des PDPA in Bezug auf den Schutz und die Aufbewahrung personenbezogener Daten. Um die Unternehmen bei der Erfüllung ihrer Zustimmungs-, Melde- und Rechenschaftspflichten zu unterstützen, sollten die Dienstleister Praktiken wie die Datenzuordnung und -kennzeichnung in der Vorverarbeitungsphase und die Führung von Aufzeichnungen über Schulungsdaten anwenden.

Die vorgeschlagenen Leitlinien bauen auf dem bestehenden Modellrahmen für KI-Governance des PDPC (PDPC | Singapore's Approach to AI Governance) auf (erstmals 2019 veröffentlicht und 2020 aktualisiert) und stehen im Einklang mit dem innovations- und unternehmensfreundlichen Ansatz Singapurs, KI auf rechtmäßige, aber pragmatische Weise weiter zu entwickeln.

Sie haben weitere Fragen zu den neuen Richtlinien für die Verwendung personenbezogener Daten in KI-Systemen in Singapur? Sprechen Sie uns an!

Unser deutschsprachiger CBBL-Anwalt in Singapur, Herrn Rechtsanwalt Dr. Andreas Respondek, berät Sie gerne: respondek@cbbl-lawyers.de, Tel. +65 6324 0060