Britischer Datenregulierer tritt nach Arbeitsplatzuntersuchung zurück

John Edwards trat am Freitag als Informationsbeauftragter des Vereinigten Königreichs zurück, nachdem eine arbeitsrechtliche Untersuchung Beschwerden über sein Verhalten gegenüber Mitarbeitenden geprüft hatte. Damit steht die wichtigste Datenschutz- und KI-Aufsichtsbehörde des Landes vorübergehend unter kommissarischer Leitung.

Das Information Commissioner’s Office überwacht das britische Datenschutzrecht, die Regeln zur Informationsfreiheit und Teile des staatlichen Regulierungsansatzes für KI. Die Behörde teilte mit, dass Edwards seine Aufgaben Ende Februar niederlegte, während ein externer Ermittler den Fall prüfte.

Edwards sagte in einer Stellungnahme, er habe schlechtes Urteilsvermögen bewiesen und Versuche von Humor gemacht, die Mitarbeitende beleidigt hätten. Er sagte außerdem, er sei mit dem Verfahren nicht einverstanden, akzeptiere jedoch, dass er das Amt nicht länger ausüben könne.

Wissenschaftsministerin Liz Kendall schilderte den Fall deutlich schärfer. Kendall sagte, sie habe Belege für vulgäre und sexuelle Sprache in Edwards’ Umgang mit Mitarbeitenden gesehen. Sie sagte, Frauen hätten dem Ermittler mitgeteilt, sie hätten sich nach Begegnungen mit ihm beleidigt, schockiert und unwohl gefühlt.

Das ICO teilte mit, die Untersuchung habe einen hinreichenden Verdacht ergeben und sei zu dem Schluss gekommen, dass Edwards’ Verhalten hinter dem von einer öffentlichen Amtsperson erwarteten Standard zurückgeblieben sei. Auf Nachfrage der BBC machte die Behörde keine weiteren Angaben zu den Feststellungen.

Edwards war seit 2022 Informationsbeauftragter. Jon Baines, leitender Spezialist für Datenschutz bei Mishcon de Reya, sagte der BBC, dass britische Informationsbeauftragte und ihre Vorgänger seit 1984 volle Amtszeiten absolviert hätten, was Edwards’ Rücktritt zu einem Novum mache.

Der Rücktritt kommt für das ICO zu einem angespannten Zeitpunkt. Die Aufsichtsbehörde sieht sich von Datenschutzgruppen wegen ihres Umgangs mit Beschwerden zum öffentlichen Datenschutz kritisiert. Das Good Law Project und die Open Rights Group haben das Vorgehen der Behörde angefochten und sagen, sie habe eine große Zahl öffentlicher Beschwerden beiseitegeschoben.

Jim Killock, geschäftsführender Direktor der Open Rights Group, bezeichnete Edwards’ Abgang als Chance für die Regierung, einen Regulator mit größerem Willen zur Durchsetzung zu ernennen.

Die Autorität des ICO ist für KI wichtig, weil die Behörde die Regeln durchsetzt, die regeln, wie Unternehmen personenbezogene Daten erheben, zum Trainieren nutzen, speichern und weitergeben. Das Vereinigte Königreich hat auf ein einzelnes KI-Gesetz wie den AI Act der Europäischen Union verzichtet, daher tragen bestehende Regulierungsbehörden einen Großteil der Last. Für KI-Systeme bedeutet das oft, dass das Datenschutzrecht die erste Grenze setzt.

Das ICO kann Missbrauch von Daten untersuchen, Änderungen anordnen und Geldbußen verhängen. In schweren Fällen kann es Organisationen mit bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Umsatzes aus dem vorherigen Geschäftsjahr bestrafen, je nachdem, welcher Betrag höher ist.

Diese Durchsetzungsbefugnis hat auch große Technologieplattformen erreicht. Das ICO verhängte 2023 eine Geldstrafe von 12,7 Millionen Pfund gegen TikTok, nachdem es festgestellt hatte, dass das Unternehmen die Daten von Kindern missbraucht hatte. Außerdem verhängte es eine Geldstrafe von 14 Millionen Pfund gegen Reddit, nachdem es festgestellt hatte, dass die Plattform personenbezogene Daten von Kindern unrechtmäßig verwendet und das Alter der Nutzer nicht mit ausreichender Sorgfalt überprüft hatte.

Für Entwickler von KI bleibt das praktische Problem dasselbe: Trainingsdaten, Nutzerdaten und Altersverifikation fallen alle in den Zuständigkeitsbereich des ICO. Ein Anbieter eines Chatbots, ein Modellhoster oder eine Social-Media-Plattform, die personenbezogene Daten britischer Nutzer verarbeitet, kann also auch ohne spezielles KI-Gesetz einer Prüfung unterzogen werden.

Die Regierung plant außerdem, die Rolle des Informationsbeauftragten durch eine Information Commission zu ersetzen. Baines sagte, diese Änderung bedeute, dass Ministerinnen und Minister eine neue Vorsitzende oder einen neuen Vorsitzenden rekrutieren müssten und zugleich die Aufsichtsbehörde nach Edwards’ Weggang stabilisieren müssten.

Das ICO teilte mit, dass sein Vorstand und das Führungsteam die Arbeit der Behörde während des Übergangs leiten werden. Das verschafft der Regulierungsbehörde Kontinuität bei laufenden Durchsetzungsverfahren, doch die Minister stehen nun unter Druck wegen der nächsten Ernennung.

Die nächste Führungsperson wird drei schwierige Aufgaben übernehmen: das Vertrauen innerhalb des ICO wiederherstellen, die Kritik von Datenschutzbefürwortern beantworten und eine glaubwürdige Durchsetzungslinie für KI-Systeme festlegen, die auf personenbezogene Daten angewiesen sind.