Metas KI-Überwachungstool gerät in Konflikt mit EU-Datenschutzrecht

Meta, der Eigentümer von Facebook und Instagram, steht mit einem internen KI-Entwicklungstool vor einem möglichen Datenschutzkonflikt in der Europäischen Union. Das Unternehmen führte im vergangenen Monat das sogenannte Model Capability Initiative (MCI) ein, das Mausbewegungen, Klicks und die Navigation durch Dropdown-Menüs von Mitarbeitern erfasst. Ziel ist es, KI-Agenten zu trainieren, die alltägliche Softwareaufgaben autonom ausführen können. Das Tool greift laut einer internen Liste Daten von mehr als 200 Apps und Websites ab.

Meta betonte, dass MCI ausschließlich auf den Geräten von US-Mitarbeitern installiert sei. Doch ein entscheidender Punkt sorgt für Brisanz: Laut einem internen FAQ-Dokument des Unternehmens werden auch Inhalte von E-Mails und Direktnachrichten erfasst, die an US-Personal gesendet werden – unabhängig davon, wo sich der Absender befindet. Das bedeutet: Kommuniziert ein europäischer Mitarbeiter per Chat oder E-Mail mit einem US-Kollegen, bei dem MCI aktiv ist, werden diese Daten ebenfalls aufgezeichnet.

Datenschutzexperten sehen klare DSGVO-Verstöße

Kleanthi Sardeli, Rechtsexpertin bei der Datenschutzorganisation NOYB („none of your business"), warnte gegenüber Reuters, dass selbst eine begrenzte oder indirekte Erfassung von Daten europäischer Mitarbeiter Meta in Konflikt mit der Datenschutz-Grundverordnung bringen könnte. Zentrale Streitpunkte seien, ob die Erfassung als „beiläufig" gilt oder als gezielte Überwachung im Sinne der DSGVO eingestuft wird – und ob das Projekt eine Prüfung der sogenannten „Zweckbindung" besteht.

„Diese Daten wurden ursprünglich zum Zweck der Arbeitskommunikation und zur Erfüllung eines Arbeitsvertrags erhoben. Die Aufnahme von Mitarbeiter-Chats in ein KI-Modell ist mit diesem ursprünglichen Zweck unvereinbar", erklärte Sardeli. Die DSGVO schreibt vor, dass Unternehmen eine klare Rechtsgrundlage für die Verarbeitung personenbezogener Daten benötigen, offenlegen müssen, was gesammelt wird, und strenge Auflagen für besonders sensible Daten erfüllen müssen. US-Arbeitnehmer genießen im Vergleich dazu deutlich weniger gesetzlichen Schutz gegen Überwachung durch den Arbeitgeber.

Meta teilte der irischen Datenschutzkommission (DPC), seiner federführenden EU-Datenschutzbehörde, mit, dass weder Daten von EU-Mitarbeitern noch die Aufzeichnung von Bildschirminhalten „in den primären Zweck des Tools fallen". Ein DPC-Sprecher bestätigte diesen Austausch gegenüber Reuters, ohne weitere Details zu nennen. Meta-Sprecher Dave Arnold lehnte einen Kommentar zu den Gesprächen mit den Regulierungsbehörden ab.

Interne Kritik und technische Enthüllungen

Auch intern sorgt MCI für erheblichen Unmut. Mitarbeiter beschwerten sich in internen Beiträgen, dass das Tool so große Datenmengen verbrauche, dass die private Internetnutzung sprunghaft angestiegen sei – in einigen Fällen sei das gesamte Monatskontingent innerhalb weniger Tage aufgebraucht worden. Zudem verglichen Mitarbeiter Meta mit einer „Fabrik zur Extraktion von Mitarbeiterdaten".

Eine Mitarbeiterin veröffentlichte intern die Ergebnisse einer detaillierten Analyse von MCI-Protokolldateien, die sie mithilfe von Anthropic's Claude – ausgerechnet jener Art von KI-Tool, zu deren Nutzung Meta seine Mitarbeiter drängt – durchgeführt hatte. Die Analyse, die von anderen Mitarbeitern repliziert wurde, ergab, dass MCI an die bestehende Datensicherheitssoftware des Unternehmens angehängt wurde. Dadurch erhielt das Tool Zugriff auf zusätzliche Details wie:

• Code-Änderungen der Mitarbeiter
• Ruhe- und Wachzyklen der Computer
• Besuchte URLs
• Alle Inhalte der Zwischenablage, die kopiert und eingefügt wurden

Diese Daten wurden zudem in unverschlüsselter Form gespeichert. Die Mitarbeiterin warnte, die Datenmenge ermögliche es, „ein vollständiges Verhaltensmodell davon zu erstellen, wie ein Wissensarbeiter seinen Job erledigt". Es gehe nicht nur darum, „eine KI, die ein Dropdown-Menü für dich anklickt", sondern um „eine KI, die weiß, welches Dropdown-Menü sie anklicken muss, was sie auswählen muss, in welches Dokument sie es einfügen muss und was als Nächstes zu tun ist". Der Beitrag verschwand später aus dem internen System.

Kernelement von Zuckerbergs KI-Strategie

MCI ist eine Schlüsselkomponente des umfassenderen Plans von CEO Mark Zuckerberg, die Arbeitsweise des Unternehmens mithilfe von KI-Agenten grundlegend zu transformieren. Das Projekt ist Teil einer weitreichenden Umstrukturierung bei Meta, die darauf abzielt, große Teile der Arbeit an KI-Systeme zu übertragen.

Meta räumte in seinem FAQ-Dokument zudem ein, dass die von MCI gesammelten Daten von identifizierenden Mitarbeiterinformationen „entkoppelt" würden und daher nicht für Einzelpersonen eingesehen oder gelöscht werden könnten – eine Anforderung, die in Europa gesetzlich vorgeschrieben ist. Meta-Sprecher Arnold erklärte lediglich, das Unternehmen habe „potenzielle Datenschutzrisiken sowohl bei der Entwicklung als auch bei der Einführung dieses Tools sorgfältig geprüft und minimiert" und sei bestrebt, „die geltenden Gesetze und Vorschriften einzuhalten".