Lehrerverband, ChatGPT und Datenschutz

Der Dachverband der Lehrerinnen und Lehrer (LCH) sei besorgt, dass es in der Schweiz keine einheitliche Regelung gäbe, wie Lehrpersonen mit Daten ihrer Schützlinge umgehen sollen und ob sie dafür KI-Systeme nutzen dürften.

Dabei ist ausnahmsweise die Sachlage einmal klar und schweizweit erstaunlich einheitlich geregelt, nämlich im Datenschutz:

Datenschutz

Das ab nächstem Monat gültige Datenschutzgesetz (Ähnliches steht im aktuellen DSG) sagt:

Begriffe

Art. 5 lit. c (Begriffe) definiert „besonders schützenswerte Personenadaten“ wie folgt. Die hervorgehobenen tauchen potenziell in den angesprochenen Berichten auf:

1. Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten,
2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,
3. genetische Daten,
4. biometrische Daten, die eine natürliche Person eindeutig identifizieren,
5. Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen,
6. Daten über Massnahmen der sozialen Hilfe.

Grundsätze

Art. 6 regelt die Grundsätze:

1. Personendaten müssen rechtmässig bearbeitet werden.
2. Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3. Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4. Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5. Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6. Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7. Die Einwilligung muss ausdrücklich erfolgen für:
   • die Bearbeitung von besonders schützenswerten Personendaten;
   • ein Profiling mit hohem Risiko durch eine private Person; oder
   • ein Profiling durch ein Bundesorgan.

Technik

Art. 7 (Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen) sagt u.a., dass «die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt» sein müsse.

Art. 9 (Bearbeitung durch Auftragsbearbeiter; in diesem Falle also der KI-Lieferant) legt fest, dass die Verantwortlichen (in diesem Fall Lehrer/Lehrerin/Schule) sicherstellen müssen, dass die «Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte» und «sich insbesondere vergewissern [müssen], dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten».

Ausland

Art. 16 Abs. 1 (Grundsätze bei der Bekanntgabe von Personendaten ins Ausland) sagt:

Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.

In Absatz 2 werden weitere Organe genannt, welche solchen „geeigneten Datenschutz“ bestätigen dürfen. (Die Ausnahmen in Art. 17 dürften hier alle nicht zutreffen.)

Im Anhang zur Datenschutzverordnung befindet sich auch die Liste der «Staaten, Gebiete, spezifische Sektoren in einem Staat und internationale Organe mit einem angemessenen Datenschutz». Durch Abwesenheit glänzt hier insbesondere die USA, in der wohl die meisten KI-Dienste erbracht werden.

Lehren

Welche Lehren ziehen wir aus diesem Datenschutzgesetz?

Personenbezogene Daten dürfen nur nach Treu und Glauben, verhältnismässig und zweckgebunden bearbeitet werden. Dazu gehört weder (a) die Weitergabe an Dritte, welche die Daten danach potenziell in ihre Trainingsdaten einfliessen lassen noch (b) die Weitergabe an Drittstaaten, welche kein angemessenes Datenschutzniveau bieten (die USA).

➡️ Dies schliesst nicht alle KI-Dienstleistungen aus. Wenn die Dienste z.B. in der Schweiz oder der EU erbracht werden und die Daten dabei nicht zweckentfremdet werden, ist die Nutzung von generativer KI durchaus möglich. (Insbesondere dürfen dazu die Personendaten nicht in die Trainingsdaten für zukünftige KI-Versionen einfliessen und damit potenziell in Antworten für andere Nutzerinnen und Nutzer auftauchen.)

Besonders schützenswerte Personendaten (also die, über die die Berichte meist berichten) benötigen eine explizite Einwilligung (oder einen gesetzlichen Auftrag). Diesen Auftrag dürfte die Schule bzw. die Lehrerinnen und Lehrer typischerweise haben, wenn sie diese Berichte erfassen. Eine weitere Einwilligung für die Nutzung bestimmter Werkzeuge (Textverarbeitung oder KI oder …) ist nicht nötig. Die Leitplanken für den Umgang mit personenbezogenen Daten gelten aber auch hier.

Richtigkeit ist laut Art. 6 Abs. 2 DSG ebenfalls notwendig. Da generative KI wie z.B. ChatGPT prinzipbedingt und zufallsbedingt zum Fabulieren neigt, ist der Einsatz von KI bei der Verarbeitung von personenbezogenen Daten der Schülerinnen und Schüler nur in sehr engen Grenzen möglich. Anders gesagt: Wenn man nicht genau weiss, was man macht und die KI-Outputs peinlich genau überprüft, sollte man es lieber lassen.

Schlussfolgerung

Sollen also Lehrpersonen beim Schreiben von Berichten über ihre Schützlinge auf ChatGPT & Co. zurückgreifen? In den meisten Fällen dürfte die Antwort ein klares Nein sein.

Das hätte der Lehrerinnen- und Lehrerverband auch leicht selber herausfinden können.