Datenschutz im KI-Einsatz
Was du wissen musst, wenn KI auf persönliche Daten trifft.
Beim Einsatz von KI-Werkzeugen im Unterricht ist datenschutzrechtlich in der Regel die Schule die verantwortliche Stelle. Das heisst, die Schulleitung oder die zuständige kantonale Behörde trägt die Verantwortung dafür, dass die Datenschutzgesetze (eidgenössisch und kantonal) eingehalten werden.
Die Anbieter der KI-Tools oder der Cloud-Infrastruktur handeln meist als Auftragsbearbeiter. Sie dürfen die Daten nur gemäss den Anweisungen der Schule bearbeiten. Hierfür sind spezielle Verträge (Auftragsbearbeitungsverträge, AVV) notwendig, die den Umgang mit den Daten regeln.
Besondere Vorsicht ist geboten, wenn Daten auf Servern ausserhalb der Schweiz oder der EU gespeichert werden, da dort oft kein gleichwertiger Datenschutz gewährleistet ist. Anbieter sollten idealerweise Serverstandorte in der Schweiz oder EU anbieten.
Ein zentraler Grundsatz im Datenschutz ist die Zweckbindung. Daten, die im schulischen Kontext erhoben werden (z.B. über eine KI-Lernhilfe), dürfen grundsätzlich nur für den Zweck verwendet werden, für den sie erhoben wurden und für den eine gesetzliche Grundlage besteht (z.B. individuelle Förderung der Schüler:innen).
Achtung: Verwendung für KI-Training!
Wenn ein KI-Anbieter die eingegebenen Daten (z.B. deine Anfragen, Schülertexte) nutzt, um seine eigenen, allgemeinen KI-Modelle zu trainieren und zu verbessern, ist das eine Zweckänderung. Diese Nutzung für kommerzielle Zwecke des Anbieters ist durch die gesetzliche Grundlage der Schule normalerweise nicht gedeckt.
Eine solche Weiterverwendung wäre nur zulässig mit einer spezifischen gesetzlichen Erlaubnis (selten), einer gültigen Einwilligung (im Schulkontext kaum praktikabel und oft nicht freiwillig) oder wenn die Daten sicher anonymisiert werden.
Lies die Datenschutzbestimmungen genau! Seriöse Anbieter (insbesondere solche, die sich an den Bildungsbereich oder Unternehmen richten, wie z.B. über Microsoft Azure oder die DeepL API Pro) garantieren oft vertraglich, dass deine Daten nicht für das Training ihrer allgemeinen Modelle verwendet werden.
Datensicherheit
Schule und Anbieter müssen die Daten durch geeignete technische und organisatorische Massnahmen vor unbefugtem Zugriff, Verlust oder Veränderung schützen. Schnittstellen und Cloud-Nutzung erfordern besondere Aufmerksamkeit.
Transparenz
Auch wenn oft keine Pflicht zur Datenschutzerklärung besteht, wenn eine klare gesetzliche Grundlage existiert, ist es sehr empfehlenswert, Schüler:innen und Eltern aktiv und altersgerecht über den Einsatz von KI und die Datenverarbeitung zu informieren, um Vertrauen zu schaffen.
Datenrichtigkeit & -minimierung
Es dürfen nur korrekte und für den Bildungszweck notwendige Daten verarbeitet werden ("Datenminimierung"). Das Sammeln von Daten "auf Vorrat" ist unzulässig. Falsche Daten können negative Folgen haben.
Speicherbegrenzung
Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Kläre, wie lange Daten gespeichert werden und ob/wie sie gelöscht werden können.
Weitere Aspekte wie das Auskunftsrecht der Betroffenen oder die Pflicht zur Datenschutz-Folgenabschätzung bei hohem Risiko sind ebenfalls relevant.
Wie im Kapitel Lokal vs. Cloud und in der dortigen Simulation gezeigt, können Wrapper eine gute Lösung sein, um leistungsstarke Cloud-KI datenschutzfreundlicher zu nutzen. Aber Vorsicht ist geboten!
Wichtige Punkte bei Wrappern:
- Wer ist der Anbieter? Ist der Wrapper-Anbieter selbst vertrauenswürdig und transparent bezüglich seiner eigenen Datensicherheit und Geschäftspraktiken?
- Wo werden Daten verarbeitet/gespeichert? Findet die Anonymisierung und evtl. Zwischenspeicherung in der Schweiz/EU statt? Wie lange wird gespeichert? Gibt es Löschmöglichkeiten?
- Was passiert mit den Originaldaten? Der Wrapper *sieht* zwangsläufig die Originaldaten, um sie zu anonymisieren. Was macht er damit? Werden sie nach der Verarbeitung gelöscht?
- Welche Garantien gibt es? Gibt der Anbieter klare Zusagen (idealerweise vertraglich), dass Daten nicht für andere Zwecke (z.B. eigenes Training) verwendet werden und die Anonymisierung effektiv ist?
- Transparenz: Sind die Datenschutzbestimmungen und die Funktionsweise klar und verständlich erklärt?
Beispiele wie Schabi zeigen, dass solche datenschutzfreundlichen Konfigurationen (z.B. über Azure OpenAI mit entsprechenden Verträgen) technisch möglich sind.
Prüfe Angebote kritisch und bevorzuge Anbieter, die speziell für den Bildungsbereich konzipiert wurden und hohe Datenschutzstandards nachweisen können.
Beim Einsatz von KI im Unterricht ist eine sorgfältige Prüfung der Werkzeuge, der Datenflüsse, der Speicherorte und der Nutzungsbedingungen oft unerlässlich. Gib lokalen Lösungen oder geprüften, transparenten Wrappern den Vorzug, wenn sensible Daten im Spiel sind.
Weiterführende Informationen:
Diese Seite basiert teilweise auf den Erkenntnissen dieses Dokuments.