Die als „Künstliche Intelligenzen“ bezeichneten LLMs, also Large Language Models oder auf Deutsch „Große Sprachmodelle“ haben ja eine scheinbare Objektivität als Narrativ in der Tasche. Sie antworten auf Basis allen Wissens aus dem Internet, da können sie ja gar nicht subjektiv sein, oder?
Tatsächlich ist es anders. Die LLMs wie ChatGPT oder Gemini liefern als Antwort auf den Prompt nicht die objektive Antwort sondern die statistisch gesehen wahrscheinlichste Antwort. Und dabei spielt der Bias der Person, deren Frage beantwortet wird, immer mit. Denn das LLM lernt die Person kennen, kennt ihren Bias und kann durch Nuancen der Fragestellung durchaus zu unterschiedlichen Antworten gelenkt werden.
Aber darum soll es nicht gehen. Die LLMs haben durchaus einen Bias, der auf den Einstellungen und ihren Vorgaben beim Betreiber entsteht. Solche Vorgaben sind beispielsweise nach Selbstverletzungen und Suiziden von Personen gemacht worden, die durch eine „KI“ Hilfe im Zusammenhang mit meist psychischen Problemen erhofft haben.
Es gibt dabei aber auch den politischen Bias, und der kommt ins Spiel, wenn man beispielsweise über politische Themen mit ihnen kommuniziert, die einen Bezug zum Techbusiness haben.
Wozu ich KIs gerne nutze: Rahmeninfos für Texte zusammensuchen. So haben wir im Grünen Ortsverband einen Newsletter, der am ersten Sonntag im Monat erscheint – und der erste Sonntag im Monat ist zufällig auch der Digital Independance Day. Also schrieb ich einen Newslettertext dazu und war über die Erzählung, die ChatGPT mir vorschlug, verwundert.
Die Urteile „Schrems I“ und „Schrems II“ des Europäischen Gerichtshofs, die der Aktivist Max Schrems errungen hat, zeigen deutlich, dass es extrem problematisch ist, wie sehr wir in Sachen IT von US-Konzernen abhängig sind. Der US-Cloud-Act sagt aktuell ausdrücklich: Bestimmte US-Behörden haben Anspruch auf Zugang zu allen Daten, die ein in den USA sitzender Konzern gespeichert hat – egal, welche auch ausländische Tochterfirma des Konzern diese in welchem Land auf diesem Planeten gespeichert hat.
Wir vergessen halt gerne, dass diese „Cloud“ eigentlich nur ein Computer ist, der jemand anders gehört und irgendwo auf der Erde stehen kann. Auch die M365 Cloud, zu der Microsoft Deutschland garantiert, man hielte sich an die DSGVO, unterliegt dem US Cloud Act.
Während die DSGVO für den Zugriff von (Ermittlings-)Behörden auf dort gespeicherte Daten einen Richtervorbehalt vorsieht, ist das in den USA anders, und rein gefühlt ist Microsoft das Hemd garantiert näher als die Hose, wenn eine US-Behörde Zugriff auf Daten, die in den MS-Rechenzentren in Stuttgart oder Frankfurt anfordert, bei denen eigentlich die DSGVO garantiert wurde.
Und was wäre, wenn ein US-Präsident anordnet, dass die EU nicht mehr auf US-Systeme zugreifen darf? Dann ist nach einem Monat der letzte Windows-Rechner offline, weil er die Gültigkeit seiner Lizenz nicht mehr bei Microsoft prüfen konnte.
Abhängigkeit von Konzernen außerhalb der EU, wie sie aktuell Realität ist, ist also höchst riskant.
Zurück zu den KIs. Ich habe einen Prompt geschrieben, den ich mehreren KIs als Auftrag gegeben habe:
Ich brauche einen Text für einen Newsletter zum Digital Independence Day. Der Newsletter erscheint immer am 1. Sonntag des Monats, was ja auch der DiD ist. Vielleicht als Aufschlag eine Frage zur Unabhängigkeit, wenn der Mailanbieter in den USA liegt (Goole, Yahoo, Microsoft) und man alternativ auch deutsche Anbieter hätte? Mit Konflikt zwischen DSGVO und US Cloud Act?
Ich beschränke mich auf die Textabschnitte zum Konflikt DSGVO ./. US-Cloud-Act.
ChatGPT:
Das wirft Fragen auf. Die europäische Datenschutz-Grundverordnung (DSGVO) setzt hohe Anforderungen an den Schutz personenbezogener Daten. Der US CLOUD Act ermöglicht US-Behörden unter bestimmten rechtlichen Voraussetzungen, von US-Anbietern die Herausgabe von Daten zu verlangen, die sich in deren Besitz, Gewahrsam oder Kontrolle befinden – unter Umständen auch dann, wenn diese auf Servern außerhalb der USA gespeichert sind.
DSGVO und CLOUD Act stehen damit in einem möglichen rechtlichen Spannungsverhältnis. Das bedeutet nicht, dass US-Anbieter grundsätzlich rechtswidrig arbeiten oder Behörden jederzeit auf jedes Postfach zugreifen können. Es zeigt aber, dass der Speicherort allein nicht entscheidet, welches Recht auf unsere Daten einwirken kann.
Es wird relativiert: unter Umständen kann der US-Cloud-Act genutzt werden, um auf europäische Server von US-Konzernen zuzugreifen – nein, das ist der Existenzzweck des US-Cloud-Acts! Hier wird relativiert, schön geredet, das Problem faktisch geleugnet und als eher hypothetische Möglichkeit abgetan.
Nehmen wir Geminis antwort:
- Der US Cloud Act: US-amerikanische Tech-Giganten unterliegen US-Gesetzen. Das bedeutet, dass US-Behörden unter bestimmten Bedingungen Zugriff auf Daten verlangen können – selbst dann, wenn diese physisch auf Servern in Frankfurt oder Dublin gespeichert sind.
- Die DSGVO (Datenschutz-Grundverordnung): Europa hat mit der DSGVO einen der strengsten Datenschutzstandards weltweit. Doch die Gesetze der USA (wie der Cloud Act) hebeln diesen Schutz für US-Konzerne oft praktisch aus.
Das Ergebnis ist ein ständiger Konflikt zwischen europäischem Datenschutzanspruch und amerikanischer Gesetzgebung. Die gute Nachricht: Wir sind dem nicht hilflos ausgeliefert.
Gemini ist ehrlicher und relativiert nicht.
Auch ClaudeAI ist ehrlich und erwähnt sogar die ersten beiden EuGH-Urteile, die Max Schrems gegen Datenschutzvereinbarungen zwischen EU und US-Regierung erstritten hat und, dass das Urteil des EuGH gegen die dritte Version dieser Vereinbarung noch aussteht:
Hier prallen zwei Regelwerke aufeinander. Die DSGVO verlangt, dass personenbezogene Daten nur unter strengen Bedingungen in Länder außerhalb der EU gelangen. Nach Art. 48 DSGVO reicht eine Anordnung einer Behörde aus einem Drittstaat allein nicht aus, um Daten herauszugeben. Es braucht ein internationales Abkommen oder eine andere Rechtsgrundlage.
Der US CLOUD Act von 2018 sieht dagegen vor, dass US-Behörden von US-Anbietern Daten herausverlangen können, unabhängig davon, wo diese gespeichert sind. Das gilt auch für europäische Töchter, wenn die Muttergesellschaft in den USA sitzt.
Der Konflikt ist bis heute nicht aufgelöst. Als Brücke dient das EU-US Data Privacy Framework (DPF), das den Datentransfer an zertifizierte US-Unternehmen erlaubt. Es ist aber ein Angemessenheitsbeschluss und kein Schutzschild vor dem Zugriff. Seine Vorgänger, Safe Harbor und Privacy Shield, hat der EuGH nach Klagen von Max Schrems gekippt. Das EU-Gericht hat das DPF im September 2025 bestätigt, doch die Berufung beim EuGH läuft. Auf Dauer ist die Rechtslage also nicht gesichert. (Bitte vor Versand kurz prüfen, ob es ein neues Urteil gibt.)
Perplexit.ai relativiert wieder ein Bisschen:
Liegt Ihr E-Mail-Postfach bei einem US-Konzern – etwa Google (Gmail), Microsoft (Outlook/Hotmail) oder Yahoo?
Dann sollten Sie wissen: Diese Anbieter unterliegen grundsätzlich dem US-Recht. Der amerikanische CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen, Zugriff auf Daten zu verlangen, die bei Unternehmen mit Sitz in den USA gespeichert sind – auch dann, wenn die Server physisch in Europa stehen. Das kann mit den Schutzvorgaben der europäischen Datenschutz-Grundverordnung (DSGVO) in Konflikt geraten, insbesondere wenn Behördenzugriffe ohne wirksame europäische Kontrolle möglich sind.
Das heißt nicht, dass jedes Gmail-Postfach automatisch „unsicher“ ist. Aber es bedeutet: Wer Wert auf digitale Souveränität legt, sollte sich fragen, wem seine Kommunikation rechtlich untersteht – und ob es Alternativen gibt.
Doch, das Google-Postfach ist durch den US-Cloud-Act systemimmanent unsicher.
Die beste Antwort kam übrigens von der Ecosia-KI:
US-Unternehmen unterliegen dem amerikanischen Recht. Der sogenannte „CLOUD Act“ (Clarifying Lawful Overseas Use of Data Act) erlaubt es US-Behörden unter bestimmten Voraussetzungen, Zugriff auf Daten zu verlangen, die bei US-Unternehmen gespeichert sind – und das unabhängig davon, wo die Server physisch stehen. Selbst wenn die Daten auf einem Server in Frankfurt liegen, greift für den US-Anbieter das US-Recht.
Das steht in einem spannungsvollen Konflikt zur europäischen Datenschutz-Grundverordnung (DSGVO). Diese schreibt vor, dass personenbezogene Daten in der EU streng geschützt sind und Zugriffe durch ausländische Behörden nur auf Basis internationaler Rechtshilfeabkommen erfolgen dürfen. Der Europäische Gerichtshof hat diesen Konflikt im bekannten „Schrems II“-Urteil als ungelöst markiert.
Für alle, die Wert auf digitale Souveränität, Datenschutz und rechtliche Klarheit legen, stellt sich die berechtigte Frage: Wer hat eigentlich den Schlüssel zu meiner Kommunikation?
Nicht nur, dass dieser Text den Konflikt nicht relativiert, er nimmt Bezug auf das Schrems-II-Urteil und erkennt den dieser Entscheidung zu Grunde liegenden Konflikt als nach wie vor ungelöst (Was den Ausgang des aktuellen Verfahrens nicht vorweg nimmt, aber Hoffnung macht).
Wenn Ihr Texte über kontroverse Themen wie dieses, mit politischem Potenzial (und möglicherweise Bezug zu Tech-Konzernen in den USA) mit Hilfe eines LLM erstellen wollt, dann macht das bitte nur, wenn Ihr derartige Relativierungen erkennen könnt.
Generell gilt: Lasst Euch von der „KI“ nichts erklären, was Ihr nicht beurteilen könnt.
Und macht beim Digital Independance Day mit.