Der Appetit auf Daten wächst

KI-Systeme, die Gesichter identifizieren, können für mehr Sicherheit sorgen, sagt Rechts---wissenschaftler Florent Thouvenin. Sie könnten aber auch missbraucht werden, um Menschen zu überwachen. Deshalb ist es wichtig, bestimmte Anwendungen zu regeln.

Von Roger Nickl

Florent Thouvenin, KI-unterstützte Programme wie Clearview können Millionen Gesichter erkennen und identifizieren. Was passiert da? 

Florent Thouvenin: Wie bei vielen Anwendungen von Künstlicher Intelligenz geht es auch hier in erster Linie darum, eine menschliche Fähigkeit nachzubilden. Weil KI-Systeme aber sehr viel mehr Daten speichern und bearbeiten können als Menschen, sind Gesichtserkennungssysteme theoretisch in der Lage, jeden Menschen auf der Welt zu identifizieren. Voraussetzung ist allein, dass das System über ausreichend Daten verfügt.

Die Technologie wird zunehmend im öffentlichen Raum, etwa an Flughäfen, eingesetzt. Soll man das?

Thouvenin: Bei Anwendungen im öffentlichen Raum geht es meist darum, die Sicherheit zu gewährleisten und nach gesuchten Personen zu fahnden. Die KI-gestützte Gesichtserkennung geht hier an sich nicht über das hinaus, was man bisher mithilfe von Videokameras und Mitarbeitern gemacht hat. Die Systeme sind aber wesentlich leistungsfähiger als Menschen, jedenfalls hinsichtlich der Quantität. Sie sind allerdings auch fehleranfällig. Schon allein deshalb ist bei ihrem Einsatz Zurückhaltung geboten.

Inwiefern?

Thouvenin: Es werden sehr grosse Mengen an Personendaten bearbeitet. Damit müssen die Vorgaben des Datenschutzrechts eingehalten werden. Dieses sieht unter anderem vor, dass Personendaten nur bearbeitet werden dürfen, wenn dies für die Betroffenen erkennbar ist. Im Gegensatz zu anderen biometrischen Daten, etwa Fingerabdrücken, ist dies bei der Gesichtserkennung nicht immer der Fall. Manchmal sind Kameras bewusst so installiert, dass sie gesehen werden, oft aber auch nicht. Selbst wenn die Kameras erkennbar sind, stellt sich die Frage, ob es reicht, wenn die Betroffenen erkennen können, dass Bilder von ihnen gemacht werden, oder ob sie auch darüber informiert werden müssten, dass die Aufnahmen zur Gesichtserkennung verwendet werden.

Welchen Nutzen haben Systeme zur Gesichtserkennung?

Thouvenin: Das kommt ganz auf den Anwendungsbereich an. Zur Fahndung nach Personen an einem öffentlichen Ort, etwa einem Bahnhof, scheint mir Gesichtserkennung durchaus nützlich zu sein. Ähnliches gilt, wenn sie beim Grenzübertritt eingesetzt wird. Etwas anders würde ich es einschätzen, wenn Gesichtserkennung als blosses Mittel zur Identifikation verwendet wird, etwa anstelle einer PIN bei einem Smartphone. Da kann man sich schon fragen, wie gross der Nutzen ist. Mit einer geeigneten technischen Ausgestaltung lassen sich hier aber auch Risiken minimieren. Ähnliches gilt, wenn die Technologie verwendet wird, um Leute auf Fotos wiederzuerkennen, etwa auf Facebook oder auf dem Smartphone. Es gibt aber auch ganz andere mögliche Anwendungen. Stellen Sie sich vor, Sie müssten künftig beim Einkaufen nur noch die Waren in Ihre Tasche packen und könnten das Geschäft verlassen, ohne an einer Kasse zu bezahlen, weil Sie von den Kameras ebenso erkannt werden wie die Waren, die Sie einpacken, und weil der zu bezahlende Betrag direkt von Ihrem Konto abgebucht wird. Ich kann mir durchaus vorstellen, dass das viele Leute recht nützlich finden würden.

Wie schätzen Sie die Missbrauchsgefahr ein, wenn Gesichtserkennung von Staat und Wirtschaft eingesetzt wird?

Thouvenin: Diese Gefahr besteht. Grundsätzlich sieht das Datenschutzrecht zwar Regeln vor, die Missbräuche verhindern sollten. Namentlich dürfen Personendaten nicht zu anderen Zwecken gebraucht werden als zu denen, für die sie erhoben worden sind. Bilder, die von Überwachungskameras im öffentlichen Raum gemacht werden, dürfen also beispielsweise nicht dazu verwendet werden, mithilfe von Gesichtserkennung umfassende Bewegungsprofile von einzelnen Personen zu erstellen. Allerdings müssen wir uns eingestehen, dass die Vorgaben des Datenschutzrechts oft nicht eingehalten werden. Daran hat die seit zwei Jahren geltende Datenschutzgrundverordnung der EU (DSGVO) wenig geändert. Und daran wird auch das revidierte schweizerische Datenschutzgesetz kaum etwas ändern.

Sind wir auf dem Weg zur Big-Brother-Is-Watching-You-Gesellschaft?

Thouvenin: Nein, ich denke nicht. Unabhängig von der Masse der erhobenen Daten und der verwendeten Technologien entsteht eine solche Gesellschaft nur, wenn der Staat seine Bürger auch möglichst umfassend überwachen will. Die Technologie ist nur ein Hilfsmittel, das allerdings neue Möglichkeiten schafft und deshalb Begehrlichkeiten wecken kann. In europäischen Gesellschaften sehe ich die Gefahr einer umfassenden Überwachung kaum. Aber auch hier wächst der Appetit des Staats auf Daten über seine Bürger. Es braucht deshalb klare Regeln, die den Behörden Grenzen setzen, und vor allem auch unabhängige Institutionen – insbesondere Datenschutzbehörden und Gerichte –, die das Handeln der Behörden überprüfen. Wichtig ist zudem der öffentliche Diskurs. Wir sollten als Gesellschaft selbst entscheiden, wie viel Überwachung wir im Interesse der Sicherheit zulassen wollen und wo wir die Grenzen ziehen, um unsere Privatsphäre zu schützen. Diese Diskussion muss immer wieder aufs Neue geführt werden, gerade beim Aufkommen von neuen Technologien.

Wie sollten wir politisch und gesetzgeberisch mit KI-basierter Gesichtserkennung umgehen?

Thouvenin: Ich bin grundsätzlich zurückhaltend beim Ruf nach der Regulierung von Technologie. In aller Regel macht das wenig Sinn, weil nicht die Technologie als solche Schäden verursacht oder Risiken schafft, sondern ihre Anwendung in bestimmten Bereichen. Diese sind vielfach schon reguliert, weil sie mit besonderen Gefährdungen verbunden sind, wie etwa bei Heilmitteln oder Fahrzeugen. Richtigerweise sollte man deshalb in erster Linie prüfen, ob die bestehenden Regeln noch angemessen sind oder ob sie wegen der Veränderungen des technischen Umfelds angepasst werden müssen. Oft reichen dann punktuelle Verbesserungen, etwa bei der Zulassung von autonomen Fahrzeugen oder bei der Haftung für Schäden, die von KI-basierten Produkten verursacht werden können. Das gilt im Prinzip auch für die Gesichtserkennung. Man kann sich allerdings fragen, ob es sinnvoll wäre, den Einsatz von Überwachungs­kameras und die Verwendung der so gesammelten Daten spezifisch zu regeln. Der Gesetzgeber könnte sich dazu an der Regelung für die Überwachung des Post- und Fernmeldeverkehrs orientieren. Diese sieht vor, dass Strafverfolgungsbehörden nur bei bestimmten Straftaten und nur auf der Grundlage einer gerichtlichen Genehmigung auf die Daten zugreifen dürfen, die bei den Telekom-Anbietern gespeichert werden. Ähnliches könnte auch bei der Videoüberwachung und beim Einsatz von Gesichts­erkennung sinnvoll sein.

Wie wird sich KI-basierte Gesichtserkennung weiterentwickeln? 

Thouvenin: Die Technologie wird sich wohl rasch weiter verbessern, die Zuverlässigkeit also weiter steigen. Das ist für die Anwender und für die Betroffenen eine gute Nachricht, weil niemand ein Interesse an der Verwendung mittelmässig zuverlässiger Gesichtserkennung haben kann. Die verbesserte Qualität dürfte aber auch zu einer Erweiterung der Anwendungsbereiche führen. Umso wichtiger wird es sein, die Anwendungen rechtlich einzufassen.