Microsoft fragen: Nutzt ihr unsere persönlichen Daten zum Trainieren von KI?

 (foundation.mozilla.org)
1 Punkte von GN⁺ 2023-09-02 | 1 Kommentare | Auf WhatsApp teilen
  • Microsofts neue Servicevereinbarung (Service Agreement) wurde von 9 Personen geprüft, darunter Anwälte, Datenschutzexperten und Kampagnenmacher; dennoch konnte niemand feststellen, ob personenbezogene Daten zum Trainieren von KI-Modellen verwendet werden
  • Die Prüfung umfasst personenbezogene Daten, die aus 130 Produkten wie Office, Skype, Teams und Xbox gesammelt werden, darunter Audio, Video, Chats und Anhänge
  • Wenn selbst 9 Datenschutzexperten die Bedingungen nicht verstehen, ist es praktisch ausgeschlossen, dass normale Nutzer sie nachvollziehen können
  • Mozilla fordert Microsoft auf, die einfache Frage, ob „personenbezogene Daten zum KI-Training verwendet werden“, klar zu beantworten
  • Als zentrales Problem wird die fehlende Transparenz bei der Datennutzung benannt

Zentrale Kritikpunkte der Kampagne

  • Microsofts neue Servicevereinbarung wurde von 4 Anwälten, 3 Datenschutzexperten und 2 Kampagnenmachern geprüft
    • Keiner der 9 Experten konnte feststellen, ob Microsoft plant, personenbezogene Daten zum Trainieren von KI-Modellen zu verwenden
  • Aufgrund der unklaren Formulierungen in den Bedingungen lässt sich nicht überprüfen, ob Daten entsprechend genutzt werden
    • Wenn selbst 9 Datenschutzexperten die Bedingungen nicht verstehen, ist es unwahrscheinlich, dass durchschnittliche Nutzer sie verstehen können

Umfang der geprüften Daten

  • Betroffen sind personenbezogene Daten, die aus 130 Produkten gesammelt werden
    • Beispiele für enthaltene Produkte: Office, Skype, Teams, Xbox
    • Datentypen: Audio, Video, Chats, Anhänge

Mozillas Forderung

  • Microsoft wird aufgefordert, direkt offenzulegen, ob personenbezogene Daten zum KI-Training verwendet werden
  • Die Kampagne ruft Nutzer zur Beteiligung durch eine Aktion (Unterschrift) auf, um eine Antwort einzufordern

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2023-09-02
Hacker-News-Kommentare

  • Die Regulierungsstruktur für Big Tech ist eine völlige Katastrophe
    Man darf es nicht zulassen, dass faktisch zwei Unternehmen einen Großteil der digitalen Kontaktpunkte der Menschen weltweit kontrollieren.
    Es gibt absolut keinen Grund zu glauben, dass sie diese Stellung nicht auf intransparente und schwer nachvollziehbare Weise missbrauchen werden. Es sind profitorientierte Unternehmen mit Kapital in Billionenhöhe, mit Heerscharen von Anwälten und Lobbyisten, die selbst mittelgroße Staaten unter Druck setzen können, und sie werden jede Schwäche eines unfähigen, chaotischen und vereinnahmten Regulierungs- und Politsystems ausnutzen.
    Sie stehen unter dem Druck, das im Interesse ihrer Aktionäre zu tun, und diese Aktionäre wollen letztlich nur ein paar technische „Gewinner“ im Portfolio haben, ganz gleich, ob diese monopolistische Zweiteilung die gesamte digitale Zukunft ruiniert. Je länger ernsthafte Maßnahmen aufgeschoben werden, desto schwieriger wird es später.

    • Ist diese Aussage, dass man „aus rechtlichen Gründen im Interesse der Aktionäre handeln muss“, nicht eher ein alter Mythos ohne reale Grundlage?
    • Ich glaube nicht, dass der Drang, Gelegenheiten auszunutzen, nur bei Großunternehmen existiert. Selbst in kleinlichen Streitigkeiten kleiner Betriebe oder amateurhafter Organisationen wie Wohnungseigentümergemeinschaften sieht man Versuche, Macht an sich zu reißen.
      Nur die Werkzeuge unterscheiden sich; die menschlichen Eigenschaften, die solches Verhalten antreiben, sind immer vorhanden. Es gibt keinen Schalter, der plötzlich umgelegt wird, sobald Vermögen eine bestimmte Schwelle überschreitet.
      Außerdem glaube ich nicht, dass Unternehmen irgendjemandem gegenüber eine „rechtliche Pflicht“ haben oder überhaupt eine „Pflicht“ in diesem Sinn besteht. Führungskräfte versuchen, mit den Mitteln, die ihnen zur Verfügung stehen, ihre Ziele zu erreichen, und genau das tun sie auch.
    • Ich gebe nicht nur den Tech-Unternehmen die Schuld, sondern auch all dem, was das hervorgebracht hat: Programmierer, Tech-Startups und die Informatik. Sie haben Systeme geschaffen, die sich viel zu leicht als hocheffiziente Maschinen zur Vermögenskonzentration einsetzen lassen, und die heutigen Tech-Unternehmen sind das Ergebnis davon.

  • Das ist der kafkaesk absurdeste Thread, den ich je auf Hacker News gesehen habe
    Wenn Analysedaten als personenbezogene Daten gelten, dann verwendet Microsoft ganz eindeutig Analysedaten: https://www.microsoft.com/insidetrack/blog/microsoft-uses-an...
    Ob Microsoft Gmail-Konten, Word-Dokumente und Pornoaktivitäten liest und das an OpenAI weitergibt? Laut den Nutzungsbedingungen nicht: https://learn.microsoft.com/en-us/legal/cognitive-services/o...
    Ob Microsoft trotzdem im Allgemeinen Dinge tut, von denen wir nichts wissen können? Davon gehe ich aus.

  • Ich habe mich schon lange gegen Microsofts labyrinthartige Datenschutzrichtlinie ausgesprochen
    Früher, bevor „AI“-Coding-Assistenten weit verbreitet waren, habe ich in einem anderen Forum gefragt, ob Microsofts Datenschutzrichtlinie bei aktivierter Telemetrie in VS Code zulässt, meinen Code hochzuladen und zu verwenden.
    Damals wurde das als absurd abgetan, aber niemand konnte zeigen, dass Microsofts Nutzungsbedingungen oder Datenschutzrichtlinie eine solche Verarbeitung irgendwo klar und transparent ausschließen.
    Heute, wo eine Besessenheit entstanden ist, Machine-Learning-Modelle mit jedem nur möglichen großen Datensatz zu trainieren, wirkt diese frühere Vorsicht vielleicht nicht mehr ganz so lächerlich.

    • Solche Richtliniendokumente dienen nicht dazu, offenzulegen, was sich ein Unternehmen selbst verbietet. Sie existieren als Verteidigungsmittel gegen Nutzer, die versuchen, ein Unternehmen daran zu hindern, etwas zu tun, nachdem sie der Richtlinie durch die weitere Nutzung des Dienstes zugestimmt haben.
      Sofern es keinen geschäftlichen oder rechtlichen Vorteil hat zu sagen: „Wir werden X nicht tun“, werden Großunternehmen sich bewusst keine solchen Beschränkungen auferlegen.

  • Der vollständige Text von Microsofts geplanter Dienstleistungsvereinbarung ist übrigens hier zu finden
    https://www.microsoft.com/en-us/servicesagreement/upcoming.a...
    Eine Zusammenfassung der Änderungen gibt es hier
    https://www.microsoft.com/en-us/servicesagreement/upcoming-u...

    • Dort steht weiterhin sinngemäß: „Um Microsoft-Produkte und -Dienste zu verbessern, gewähren Sie Microsoft eine weltweite, lizenzgebührenfreie Lizenz an geistigen Eigentumsrechten zur Nutzung Ihrer Inhalte.“
      Eine ausdrückliche Einschränkung scheint es nur für zielgerichtete Werbung zu geben. Etwa in Formulierungen wie: „Wir verwenden keine E-Mails, Chats, Videoanrufe oder Voicemails, Dokumente, Fotos oder andere persönliche Dateien, um Werbung auf Sie zuzuschneiden.“
      In der Zusammenfassung der Änderungen werden keine Änderungen an der Datenschutzrichtlinie erwähnt, und auch diese Datenschutzrichtlinie scheint das Training von AI-Modellen mit Nutzerdaten nicht auszuschließen.

  • Ich habe in der Werbebranche gearbeitet, und die Gesetze rund um personenbezogene Identifikationsdaten sind interessant. In Kalifornien gibt es den CCPA, und soweit ich weiß, muss man nach einer Anfrage über ein Formular zur Löschung meiner personenbezogenen Identifikationsdaten diese etwa 90 Tage später löschen.
    Aber was passiert, wenn ein Modell mit den personenbezogenen Identifikationsdaten eines Bewohners Kaliforniens trainiert wurde, dann ein Löschantrag eingeht und drei Monate später jemand nach dieser Person fragt und das Modell die „gelöschten“ personenbezogenen Identifikationsdaten ausspuckt?
    Am Ende wird das wohl vor Gericht entschieden werden, aber falls sich jemand mit dem kalifornischen Recht auskennt, frage ich mich, warum es noch keine Versuche gibt, genau so etwas anzuvisieren, schon allein in der Hoffnung auf einen Vergleich

    • Sie werden es einfach abstreiten. Oder behaupten, dass es aus dem trainierten Modell nicht wiederherstellbar ist.
      Ich kenne das kalifornische Recht nicht, aber etliche ähnliche Datenschutzgesetze erlauben selbst bei einem Löschantrag Ausnahmen für aggregierte Daten
    • Mit dem CCPA kenne ich mich nicht gut aus, aber ich kenne das EU-Recht. Derzeit ist das „Recht auf Löschung/Recht auf Vergessenwerden“ in diesem Bereich sehr vage, und es scheint noch keine breit etablierte Rechtsprechung zu geben.
      Im Allgemeinen gilt das Recht für Rohdatenaufzeichnungen, nicht für aggregierte Daten oder Kennzahlen oder Modelle. Wobei ich mich erinnere, dass mit Modellen hier ein bestimmtes Urteil aus der Versicherungs- oder Kreditbewertungsbranche gemeint war.
      Das Modell muss die gelöschten Daten nicht einmal „ausspucken“. Es könnte auch ein Klassifikator oder Regressionsmodell statt eines generativen Modells sein, und idealerweise hätte es von vornherein gar nicht mit meinen Daten trainiert werden dürfen.
      Wichtig ist auch, dass es technisch schwierig ist. Nehmen wir an, ein Modell wurde zu sehr hohen Kosten X erstellt und wird normalerweise alle 6 Monate neu trainiert. Wenn aber laufend Löschanträge eingehen, ist häufiges Neutrainieren zur Einhaltung der Vorgaben viel zu teuer.
      Es gibt Forschung zum Machine Unlearning, um das effizient zu lösen, aber bisher ist sie eher enttäuschend
    • Ich verstehe nicht, warum man überhaupt annimmt, dass darin meine personenbezogenen Identifikationsdaten enthalten sind und die identifizierbaren Teile nicht entfernt wurden.
      Wenn der persönliche Teil verschwunden ist, bin ich mir nicht sicher, ob es dann überhaupt noch eine Grundlage für Ansprüche gibt

  • Wie schafft die Rechtsabteilung von Microsoft so etwas eigentlich? Haben sie eine ausreichend große Mannschaft, bei der nur Microsoft oder vielleicht eine Grand Jury überhaupt genug sprachliche Abstraktionsebenen extrahieren kann, um dem Sinn zu folgen?
    Sind das Ködersätze mit Fallen, versteckt an scheinbar harmlosen Stellen? Oder ist es eher diese Art, sich im Kreis auszudrücken und nie eine wirklich genaue Antwort zu geben?

    • Sobald es um mehrere Millionen Dollar geht, wird ein Anwaltsteam im Grunde zu einem juristischen Red Team. Es bekommt den Auftrag, Wege zu finden, bestehende Beschränkungen zu umgehen, und findet sie tatsächlich
    • Wie die Rechtsabteilung von Microsoft so etwas schafft? Wer sollte sie denn aufhalten?
    • Was ist M$?

  • Wenn eine Nutzung nicht ausdrücklich ausgeschlossen wurde, kann man davon ausgehen, dass die Daten letztlich als Trainingsdaten verwendet werden, solange sie nützlich sind. Wenn nicht jetzt, dann irgendwann. Das gilt für jedes Unternehmen auf der Erde, das Daten hortet.
    Das sollte die Grundannahme aller sein, und ohne Gesetze wird sie größtenteils stimmen. Selbst wenn Gesetze kommen, könnten sie wegen Umgehung von Zuständigkeiten für alte Daten wirkungslos sein, und neue Daten wahrscheinlich nur schwach schützen.
    Willkommen beim neuen Öl

  • Datenschutz und personenbezogene Identifikationsdaten sind nicht dasselbe. In vielerlei Hinsicht lässt sich die Nutzung personenbezogener Daten nicht vermeiden.
    Predictive Text verwendet personenbezogene Daten. Er „lernt“ schließlich von allen. Sind Sätze und Absätze personenbezogene Daten? Eine Suchmaschine protokolliert, was ich eingebe. Würde man Suchanfragen als „persönlich“ einstufen? Ich könnte auch den ersten Kommentar in diesem Thread kopieren und einfügen, wäre das dann auch personenbezogene Information?
    Vielleicht liege ich völlig falsch, und man sollte überhaupt nichts auf Webseiten eingeben.
    Es wirkte so, als hätten auch vier Anwälte und drei Datenschutzexperten keine Einigung darüber erzielt, was personenbezogene Daten eigentlich sind. Und ob Big Tech von Menschen erzeugte Daten in „AI“-Werkzeuge steckt? Ja. Ob kleine Tech-Unternehmen das auch tun? Ebenfalls ja.
    Ich bin bereit, gemeinsam mit Mozilla zur Mistgabel zu greifen, aber ich würde gern wissen, wofür genau. Statt die Menge aufzuhetzen, brauchen wir Leute, die klar sagen, wie ich meine eigenen Interessen schützen kann.
    Die Nutzung von Daten, egal welcher Daten, unterliegt Verträgen. Wenn man die „juristischen Dokumente“ liest, denen man bei der Nutzung von Hacker News zugestimmt hat, gibt es dort einen ganzen Abschnitt darüber, wie personenbezogene Daten verwendet werden. Sollte man dann auch gegen HN die Mistgabel erheben, oder ist es hier in Ordnung?

    • Microsoft hat Linux jahrelang töten wollen und wetzt noch immer das Messer

  • Was davon ist eigentlich „AI-Training“?
    Dass ein Missbrauchserkennungssystem anhand von Nutzerverhalten und Daten trainiert wird, um bösartige Nutzer an eine menschliche Prüfung weiterzuleiten; dass beim Durchsuchen des Webs eine Ranking-Funktion auf dem Verhalten aller Nutzer trainiert wird; dass ein E-Mail-Schreibassistent auf Basis meines Eingabeverlaufs Vervollständigungen vorschlägt; dass eine öffentlich zugängliche LLM-Chat-Oberfläche mit meinen privaten E-Mails trainiert wird.
    „AI-Training“ ist in den meisten Fällen eher ein Implementierungsdetail als etwas, das in eine Datenschutzerklärung gehört. Ich wünschte, Mozilla würde genauer sagen, vor welchem Verhalten sie warnen

  • Ja, große Konzerne machen das, und sie werden es auch weiter tun. Wenn jemand glaubt, irgendein Großunternehmen denke an unser Bestes und habe eine perfekt funktionierende Governance, dann, haha, ganz großes Haha