@SavageSkull
Das vermischt diverse Themen und zieht dann Schlussfolgerungen, die so schlichtweg nicht passen.
Bezüglich Patriot Act:
Ja, US-Recht und insbesondere der CLOUD Act gehören bei einem US-amerikanischen Cloud-Anbieter in die Risikobewertung und es stimmt, dass der CLOUD Act einen Anbieter unter US-Gerichtsbarkeit verpflichtet, Daten aufgrund eines gültigen US-Verfahrens herauszugeben. Und ja, der physische Standort des Rechenzentrums ist nicht entscheidend.
...nur hat das mit der Aussagekraft eines C5-Zertifikats zunächst wenig zu tun.
C5 ist eine unabhängige Prüfung, die einen recht hohen Sicherheitsstandard attestiert. Das betrifft zum Einen die Sicherheit gegenüber des Betreibers (Google, MS, ...) und zum Anderen Sicherheit gegenüber Dritten. Sicherheit gegenüber Geheimdiensten hingegen wird dir
kein Zertifikat jemals attestieren - das ist auch gar nicht möglich. C5:2020 z.B. enthält sogar ausdrücklich einen Bereich zum Umgang mit Ermittlungsanfragen staatlicher Stellen. Dort geht es unter anderem darum, ob solche Anfragen juristisch geprüft und angemessen behandelt werden. Es ist also mitnichten so, dass einfach alle Daten ständig nach Lust und Laune abgerufen werden könnten. Es sei denn vielleicht du bist "Bin Laden 2.0".
Man kann einem Sicherheits- und Kontrollnachweis also nicht ernsthaft vorwerfen, kein geopolitischer Immunitätsschein bzw. "Freifahrtsschein" zu sein.
Was ich mich hier auch insbesondere Frage, ist woher die Paranoia kommt. "99,99999% aller Benutzer" werden für Geheimdienste
vollkommen uninteressant sein. Und Meinungspolizei o.Ä. spielt man eher hier in Europa als in den USA. Da bedeutet Meinungsfreiheit noch wirklich, dass du tatsächlich quasi alles sagen darfst - verbal wie digital.
Unabhängig davon muss man "Patriot Act", "CLOUD Act" und "FISA" differenzieren.
Der CLOUD Act betrifft insbesondere die grenzüberschreitende Herausgabe elektronischer Beweismittel aufgrund rechtlicher Anordnungen (sprich Gerichtsentscheide usw; solange du also nicht jedwede Strafverfolgungskooperation USA<=>Europa einstellen möchtest, ist das sowieso vollkommen irrelevant).
FISA betrifft Auslandsaufklärung. Das können also durchaus Geheimdienste sein. Die Aussage allerdings, Anbieter dürften "nicht einmal dem User oder sonst wem" etwas melden, ist trotzdem zu absolut: Das US-Recht sieht unter anderem gerichtliche Anfechtungsmöglichkeiten für Provider und begrenzte beziehungsweise aggregierte Transparenzangaben vor. Solange du also nicht "Bin Laden 2.0" bist, wird weder Google, MS, ... deine Daten einfach so ohne triftigen Grund rausrücken. Auch Apple z.B. ist ja immer wieder in den Schlagzeilen, wenn sie sich gegen Herausgabe sträuben und Rechtsprozesse anstreben - sicherlich ist einiges davon auch Marketing...aber genau das meine ich ja auch am Ende. Wenn sie einfach so Daten rausrücken, vor allem ohne triftigen Grund, wäre der marketingtechnische Schaden so immens...das ist ein viel zu großes Risiko für die Dienstanbieter. Das bedeutet natürlich nicht, dass sie sich wie die Schweiz verhalten werden, aber den Rechtsspielraum werden die schon ausschöpfen.
In der Tat stimmt es natürlich, dass es prinzipiell einen realen Rechtskonflikt gibt seitens Europa. Der Europäische Datenschutzausschuss stellt klar, dass eine Anordnung einer Drittstaatenbehörde allein noch keine Rechtsgrundlage für eine Datenübermittlung nach der DSGVO darstellt. Eine entsprechende Offenlegung muss sowohl eine Rechtsgrundlage nach Artikel 6 als auch eine Grundlage nach Kapitel V der DSGVO haben. Trotzdem ist es nicht so, dass die US-Dienste die Daten unsicher verwahren und nach Belieben an alle möglichen Behörden verteilen.
Eine Stammtischartige Position in Richtung "Die USA dürfen einfach alles und die DSGVO interessiert niemanden" existiert also de facto
nicht. Vielmehr können Unternehmen zwischen widersprüchlichen Rechtsordnungen geraten. Genau dieses Konfliktrisiko muss man
ädaquat bewerten - und vor allem
fernab vom Stammtisch "den vertrau' ich aber nicht".
Nun zum Rest:
Der Vergleich mit dem russischen Angriff auf die Ukraine ist daneben. Eine extraterritoriale Herausgabeanordnung gegenüber einem Unternehmen unter eigener Gerichtsbarkeit ist keine militärische Invasion, Annexion oder Aufhebung eines fremden Staatsgebiets. Man kann den CLOUD Act kritisieren, ohne zwei völlig unterschiedliche Sachverhalte gleichzusetzen.
Und nein, Befugnisse eines Staates enden nicht grundsätzlich an Landesgrenzen. Staaten knüpfen ihre Gerichtsbarkeit nicht ausschließlich an den Standort einer Festplatte. Relevant können beispielsweise der Unternehmenssitz, die Kontrolle über Daten, die Staatsangehörigkeit, der Tatort oder die Auswirkungen einer Handlung sein. Deutschland und die EU wenden ihre Vorschriften ebenfalls in bestimmten Fällen extraterritorial an. Die DSGVO ist dafür selbst ein recht offensichtliches Beispiel - an die Einhaltung selbiger ist geknüpft, wer Daten europäischer Bürger verarbeitet...egal ob in der EU oder nicht.
Und bzgl. der pauschalen Aussagen zu KI: welche Unternehmen, welche Produkte, welche Daten und welche konkrete Handlung?
Das Training allgemeiner Modelle mit öffentlich verfügbaren oder urheberrechtlich geschützten Inhalten ist eine andere Diskussion als die Verwendung vertraulicher B2B-Kundendaten aus Microsoft 365 oder Google Cloud. Alle bisherigen Vorfälle, die geleakt wurden (und es sind weniger, als der übliche Stammtisch vermuten lässt) sind meines Kenntnisstandes nach stets
Copyright Fälle gewesen. Also Fälle, wo KI-Anbieter aus öffentlichen Quellen Material abgerufen haben, dass eigentlich copyright-geschützt ist.
Das ist kein Beweis dafür, dass niemals irgendwo ein Fehler oder Vertragsverstoß passieren kann. Es ist aber sehr wohl ein recht gutes Indiz - zusammen mit den vertraglich zugesicherten Leistungsversprechen, die ja im Zweifelsfall, wie gesagt, durchaus auch einklagbar wären (so wie es Copyright-Halter derzeit ja auch tun). Damit sind wir wieder bei Verträgen, Protokollierung, Audits, technischen Kontrollen und Haftung statt bei "trust me bro".
Außerdem sind mit absoluter Mehrheit die Copyright-Verstöße bei OpenAI, Anthropic und Konsorten (also reinen KI-Anbietern) verortet. MS, Google, ... fallen aus gutem Grund deutlich weniger mit sowas auf: weil die eben KI-Anbieter
und Cloud-Anbieter zugleich sind. Die sind sich durchaus bewusst, dass das KI-Rennen gerne OpenAI und Anthropic unter sich ausmachen können, wenn auch mit teils illegalen Methoden, da für MS, Google, ... das Image bzgl. Datensicherheit und Vertragseinhaltung für ihr B2B Geschäft deutlich stärker wiegt, als jetzt gerade im Moment das beste LLM auf den Markt zu werfen.
Ist wie die Killerspieldebatte früher, glaube ein deutschen Phänomen
