10 Probleme für Unternehmen bei den neuen KI- und Datenschutzgesetzen

Einleitung: Die Gesetze sind fortschrittlich, aber es gibt einige ungelöste Probleme

In den ersten Monaten des Jahres 2026 treten in Vietnam zwei wichtige Gesetze in Kraft: das Gesetz zum Schutz personenbezogener Daten und das Gesetz über künstliche Intelligenz (KI). Dazu gibt es auch Verordnungen, besonders eine mit strengen Regeln für die Verarbeitung großer Datenmengen (Big Data).

Als jemand, der KI erforscht und trainiert, und der sich oft Sorgen über Menschenrechte, besonders Privatsphäre, und über die Folgen von algorithmischer Überwachung gemacht hat, finde ich das gute Nachrichten. Es zeigt, dass die Gesetzgebung reifer geworden ist und die Bedeutung von Regeln für das digitale Zeitalter erkannt hat.

Aber die gleichzeitige Einhaltung beider Gesetze führt zu einigen Problemen. Manche davon sind technisch unmöglich – das heißt, selbst wenn Unternehmen guten Willen und viel Geld haben, können sie nicht beide Gesetze gleichzeitig vollständig einhalten. Dieser Artikel nennt zehn solche Probleme, geordnet von wichtig nach weniger wichtig.

Das Problem beim Sammeln öffentlicher Daten für das Training von Modellen

Das ist der schwierigste Punkt für Unternehmen. Wenn es nicht erklärt und gelöst wird, schadet es der heimischen KI-Branche.

Für das KI-Training sagt das KI-Gesetz in Artikel 7: Man darf keine Daten sammeln oder verarbeiten, die gegen den Schutz personenbezogener Daten, geistiges Eigentum oder Cybersicherheit verstoßen, um KI zu entwickeln oder zu betreiben.

Das Gesetz zum Schutz personenbezogener Daten verlangt in Artikel 9, dass personenbezogene Daten nur mit einer Einwilligung gesammelt werden dürfen, die „klar, freiwillig, bestätigend und für jeden Zweck“ ist. Die Verordnung 356 ist noch strenger: Große Datenmengen dürfen nur „im richtigen Umfang und für einen bestimmten, klaren Zweck“ verarbeitet werden.

Um ein gutes großes Sprachmodell (LLM) zu bauen, brauchen Ingenieure Milliarden von vietnamesischen Textbausteinen (Tokens). Eine mögliche Methode ist Web Scraping – das automatische Sammeln öffentlicher Daten aus dem Internet. Dabei werden sicher auch Namen, E-Mails, persönliche Meinungen und erkennbare Bilder gesammelt, die in Artikeln, Kommentaren und Online-Beiträgen stecken.

Wenn man streng versteht, dass alle Daten eine „klare, freiwillige“ Einwilligung brauchen, müssten Unternehmen Millionen von Personen kontaktieren und fragen: „Darf ich Ihre Daten zum KI-Training nutzen?“ Das ist völlig unmöglich. Das vietnamesische Recht kennt bisher keine „faire Nutzung“ oder „berechtigte Interessen“, wie sie in der EU beim AI Act flexibel angewendet werden. Persönliche Meinung: Ich denke, das ist die schwierigste Grauzone. Wenn man es streng versteht und es keine technische Lösung gibt, um jede Datenquelle zu identifizieren, sind Unternehmen sehr verunsichert und haben Angst, ihre teuren KI-Modelle löschen zu müssen.

Technische Grenzen beim „Recht auf Vergessenwerden“

Seit dem 1. Januar 2026 hat jeder vietnamesische Bürger das Recht zu verlangen, dass seine personenbezogenen Daten aus allen Systemen gelöscht werden. Die Verordnung 356 sagt: „Unternehmen müssen innerhalb von 2 Arbeitstagen antworten und die Löschung innerhalb von 20 Tagen abschließen.“ Diese Regel ist sinnvoll für normale Datenbanken. Dort kann ein Dateningenieur einfach einen Befehl wie DELETE FROM users WHERE id=... ausführen. Aber bei KI-Systemen ist das technisch unmöglich. Denn Daten in KI-Anwendungen, besonders in Sprachmodellen, sind wie ein Einbahnfluss und man kann kaum zurückverfolgen. In einem trainierten neuronalen Netz existieren personenbezogene Daten nicht als lesbarer Text, sondern sie sind in Milliarden mathematischer Gewichte und Biases im ganzen Modell verteilt. Das Entfernen der Daten einer bestimmten Person, ohne den Rest zu zerstören, nennt man Machine Unlearning. Bis Mai 2026 gibt es weltweit keine vollständige Lösung dafür.

Das häufigste Problem beim Versuch, einer KI das Vergessen beizubringen, ist das „katastrophale Vergessen“. Das Modell verliert dabei oft auch andere, nicht zusammenhängende Fähigkeiten. Die einzige sichere Methode ist, das Modell von Grund auf neu zu trainieren (Retraining). Das kostet für ein mittelgroßes Modell Hunderttausende bis Millionen Dollar an Rechenleistung.

Wie soll ein kleines oder mittleres Unternehmen in 20 Tagen ein großes Modell neu trainieren? Die Antwort: Es ist unmöglich. (Das ist meine Schlussfolgerung aufgrund der Infrastruktur und Technik in Vietnam zum Zeitpunkt des Artikels.)

Persönliche Meinung: Das ist ein klassisches Beispiel dafür, dass traditionelles Recht neue Technologie regeln will. Ich denke, eine mögliche Lösung wäre ...