KI-Verhaltensscanner in Berlin: Polizei darf mit Echtdaten trainieren

Berlin plant KI-gestützte Videoüberwachung mit automatischer Verhaltenserkennung. Eine Antwort des Senats zeigt nun genauer, wie reale Aufnahmen aus dem öffentlichen Raum auch für das Training der Systeme genutzt werden können.

Berliner Polizei kann reale Videoaufnahmen für KI-Training nutzen

Bei KI-gestützter Videoüberwachung geht es nicht mehr nur darum, Kamerabilder aufzuzeichnen. Die Systeme sollen Bewegungs- und Verhaltensmuster automatisch erkennen und auffällige Situationen an die Polizei melden.

In Berlin ist eine solche Form der Videoüberwachung zunächst an sogenannten kriminalitätsbelasteten Orten wie dem Kottbusser Tor und der Warschauer Straße vorgesehen.

Eine schriftliche Anfrage des Linken-Abgeordneten Niklas Schrader zeigt nun genauer, welche Daten dabei verarbeitet werden und wie diese später für das Training der eingesetzten KI genutzt werden können.

Das Entscheidende: Das Berliner Polizeigesetz erlaubt ausdrücklich die Weiterverarbeitung personenbezogener Daten für das Training und Testen von KI-Systemen.

Damit können unter bestimmten Voraussetzungen auch reale Aufnahmen von Menschen, die sich im überwachten Bereich bewegen, Teil des Trainingsprozesses werden.

§ 42d ASOG schafft die Rechtsgrundlage

Die zentrale Regelung findet sich in § 42d des Allgemeinen Sicherheits- und Ordnungsgesetzes Berlin, kurz ASOG.

Polizei und Feuerwehr dürfen demnach rechtmäßig gespeicherte personenbezogene Daten weiterverarbeiten, wenn dies erforderlich ist, um KI-Systeme für ihre Aufgaben zu trainieren oder zu testen.

Dabei gibt das Gesetz eine Reihenfolge vor.

Grundsätzlich sollen die Daten zunächst anonymisiert werden. Reicht das für den jeweiligen Trainings- oder Testzweck nicht aus oder wäre die Anonymisierung nur mit unverhältnismäßigem Aufwand möglich, dürfen pseudonymisierte Daten verwendet werden.

Ist auch das nicht ausreichend, können schließlich personenbezogene Daten verarbeitet werden.

Genau dieser letzte Schritt ist relevant. Das Gesetz schließt also nicht grundsätzlich aus, dass Menschen auf Trainingsmaterial weiterhin identifizierbar sind.

Für die Privacy ist das ein wesentlicher Unterschied zu einem System, das ausschließlich mit vollständig anonymisierten oder synthetischen Datensätzen arbeitet.

Anonymisierung kann dem Trainingszweck entgegenstehen

In der Antwort auf die parlamentarische Anfrage beschreibt der Berliner Senat das geplante Verfahren genauer.

Reale Test-, Pilot- oder Ereignisdaten sollen nach dem initialen Training beispielsweise zur Validierung, Qualitätssicherung oder Optimierung des Systems verwendet werden können.

Grundsätzlich sollen dafür wirksam und irreversibel anonymisierte Datenbestände genutzt werden.

Der entscheidende Zusatz lautet jedoch, dass davon abgewichen werden kann, wenn eine Anonymisierung dem Zweck des Trainings oder der Testung entgegensteht.

Das entspricht der Konstruktion des § 42d ASOG.

Damit entsteht eine rechtliche Möglichkeit, reale personenbezogene Aufnahmen für das Nachtraining der Verhaltensscanner zu verwenden.

Das bedeutet allerdings nicht, dass sämtliche Videoaufnahmen automatisch zu Trainingsdaten werden. Nach Angaben des Senats sollen entsprechende Sequenzen gezielt ausgewählt werden. Auswahl und weitere Speicherung müssen protokolliert werden.

Welche Daten die Verhaltensscanner verarbeiten

Die technische Verarbeitung geht über klassische Videoaufzeichnungen hinaus.

Das System verarbeitet laut Senatsantwort zunächst die Livebilder der Kameras ohne Ton. Hinzu kommen zahlreiche aus dem Videomaterial erzeugte Metadaten.

Dazu gehören unter anderem erkannte Ereignisklassen, Konfidenzwerte, Objektrahmen, Kamerakennungen, Zeitpunkte, definierte Detektionsklassen und Informationen darüber, wodurch ein Alarm ausgelöst wurde.

Auch kurzfristige Objektzuordnungen innerhalb einer Szene sind vorgesehen.

In der Ereignisdatenbank können darüber hinaus Szenenbeschreibungsvektoren gespeichert werden. Solche abgeleiteten Informationen sind für ein KI-System besonders relevant, weil sie reale Situationen in einer maschinell weiterverarbeitbaren Form beschreiben.

Ausgewählte Videosequenzen können anschließend für ein Nachtraining verwendet werden.

Rohvideos werden bis zu einem Monat gespeichert

Für die Aufnahmen an kriminalitätsbelasteten Orten nennt der Senat eine reguläre Speicherfrist von maximal einem Monat.

Die Videorohdaten werden dabei kontinuierlich aufgezeichnet und anschließend nach Ablauf der gesetzlichen Frist automatisch gelöscht, sofern sie nicht beispielsweise für die Verfolgung einer Straftat benötigt werden.

Für ausgewählte Trainings- und Testdaten gelten andere Regeln.

Nach § 42d ASOG müssen solche Daten gelöscht oder unumkehrbar anonymisiert werden, sobald sie für Training oder Tests nicht mehr erforderlich sind. Spätestens nach zwei Jahren soll dies erfolgen, sofern keine andere Rechtsgrundlage eine weitere Verarbeitung erlaubt.

Damit kann aus einem kurzen Aufenthalt im Erfassungsbereich theoretisch ein wesentlich länger gespeicherter Trainingsdatensatz entstehen, sofern eine Sequenz für das KI-System ausgewählt wird.

Privatunternehmen können auf die Trainingsdaten zugreifen

Besonders relevant ist die Rolle externer Unternehmen.

Wie netzpolitik.org berichtet, erhielt Adesso SE den Auftrag für die KI-gestützte Überwachungsinfrastruktur. Das Unternehmen arbeitet im Bereich Videoanalyse unter anderem mit der Staige GmbH zusammen.

Der Berliner Senat bestätigt in seiner Antwort, dass das Nachtraining durch das beauftragte Unternehmen durchgeführt werden soll.

Das bedeutet jedoch nicht, dass die Berliner Polizei ihre Videodaten einfach auf Server eines privaten KI-Anbieters überträgt.

Nach Angaben des Senats soll das Nachtraining ausschließlich auf Servern im Rechenzentrum der Polizei Berlin erfolgen. Der Zugriff des Auftragnehmers muss jeweils von der Polizei autorisiert werden. Auch Wartungs- und Supportzugriffe sollen über gesicherte, protokollierte und einzeln freigegebene Zugänge erfolgen.

Die Datenhoheit soll damit bei der Polizei Berlin verbleiben.

Trotzdem verarbeitet in diesem Szenario ein privatwirtschaftliches Unternehmen Daten, die aus realer polizeilicher Videoüberwachung stammen können.

Das erste Training erfolgte noch mit synthetischen Daten

Interessant ist der Unterschied zwischen dem ursprünglichen Training und einem späteren Nachtraining.

Die initialen Modelle für die Erkennung bestimmter Bewegungsmuster wurden laut Senat ausschließlich mit synthetisch erzeugten Daten trainiert.

Als Beispiele nennt die Antwort Gewalt-, Sturz- und Liegesituationen.

Verantwortlich für dieses Training war demnach die Staige GmbH. Es seien keine unkontrolliert aus dem Internet gesammelten Daten oder Datensätze unbekannter Herkunft verwendet worden.

Damit beginnt das System technisch zunächst mit künstlich erzeugtem Trainingsmaterial.

Die reale Umgebung Berlins kann anschließend jedoch für Validierung und Nachtraining relevant werden. Genau an diesem Punkt verändert sich die Datenbasis: Aus synthetischen Trainingssituationen können reale Aufnahmen aus dem öffentlichen Raum werden.

Trainierte Modelle könnten später weiterverwendet werden

Eine weitere interessante Regelung betrifft nicht die Videodaten selbst, sondern das daraus entstandene KI-Modell.

§ 42d ASOG erlaubt Auftragsverarbeitern grundsätzlich eine weitere Nutzung trainierter Modelle für eigene Zwecke, sofern Polizei oder Feuerwehr ausdrücklich zustimmen.

Zusätzlich muss sichergestellt sein, dass sich aus dem Modell keine ursprünglichen Trainingsdaten rekonstruieren lassen.

Auch die Senatsantwort verweist auf diese Möglichkeit.

Damit ist zumindest rechtlich denkbar, dass die technische Arbeit mit öffentlichen Daten nicht vollständig auf das Berliner Projekt beschränkt bleibt. Voraussetzung sind allerdings eine ausdrückliche Zustimmung der Polizei und entsprechende technische Schutzmaßnahmen.

Das ist eine wichtige Unterscheidung: Die Originalaufnahmen dürfen nicht einfach für beliebige kommerzielle Produkte übernommen werden. Ein daraus trainiertes Modell kann unter den gesetzlichen Voraussetzungen dagegen weiterverwendet werden.

Wie zuverlässig die Verhaltenserkennung ist, ist noch offen

Technisch bleibt außerdem eine zentrale Frage unbeantwortet: Wie zuverlässig erkennt das System überhaupt die gesuchten Situationen?

In der parlamentarischen Anfrage wurde explizit nach False-Positive- und False-Negative-Raten für die einzelnen Ereigniskategorien gefragt.

Der Senat konnte dazu noch keine konkreten Werte nennen, weil das System zum Zeitpunkt der Antwort noch nicht in Betrieb war.

Gerade bei automatisierter Verhaltenserkennung sind diese Zahlen relevant. Eine hohe False-Positive-Rate würde bedeuten, dass regelmäßig normales Verhalten als auffällig klassifiziert wird. Eine hohe False-Negative-Rate würde dagegen bedeuten, dass relevante Situationen vom System übersehen werden.

Die technische Leistungsfähigkeit entscheidet deshalb nicht nur darüber, ob eine solche Lösung praktisch hilfreich ist. Sie bestimmt auch, wie häufig Menschen aufgrund algorithmischer Einschätzungen in den Fokus der Polizei geraten könnten.

Aus Videoüberwachung wird Trainingsinfrastruktur

Die Berliner Regelung zeigt eine Entwicklung, die bei der Diskussion über KI-Überwachung leicht übersehen wird.

Eine Kamera erzeugt nicht mehr ausschließlich Aufnahmen für einen konkreten Einsatz. Die aufgezeichneten Situationen können gleichzeitig zu Daten für die Weiterentwicklung des Systems werden.

Damit entsteht ein Rückkopplungseffekt: Das System beobachtet reale Situationen, bewertet sie und kann ausgewählte Aufnahmen anschließend verwenden, um seine zukünftige Bewertung realer Situationen zu verändern.

Das macht die Frage nach Trainingsdaten zu einem zentralen Bestandteil der politischen und technischen Debatte über Videoüberwachung.

Die entscheidende Frage ist deshalb nicht nur, wo Kameras installiert werden oder wie lange Aufnahmen gespeichert bleiben. Ebenso wichtig ist, was anschließend mit diesen Aufnahmen, den daraus erzeugten Metadaten und den trainierten Modellen passiert.

Gerade bei polizeilicher Überwachung und Politik wird damit aus einer klassischen Datenschutzfrage zunehmend auch eine Frage darüber, wie staatliche KI-Systeme entstehen und wem die daraus entwickelte Technologie später nutzen kann.