Die EU hat gerade ein Gesetz für die Künstliche Intelligenz (KI) erlassen. Ein europäisches KI-Amt soll folgen. Man glaubt tatsächlich auf diese Weise die Führung „im weltweiten Wettlauf um vertrauenswürdige KI“ zu übernehmen. 

Ursula von der Leyen wird nicht müde zu betonen, dass sie Europa in den ersten klimaneutralen Kontinent der Erde transformieren will. Doch damit nicht genug. Nun hat die EU auch noch beschlossen, dass Europa der erste Kontinent sein soll, der als globaler Vorreiter ein Gesetz für die Künstliche Intelligenz (KI) erlässt. Bereits im April 2021 hatte die EU-Kommission einen entsprechenden Entwurf zum sogenannten AI-Act vorgelegt. Am 8. Dezember dieses Jahres wurde das Gesetz nun von Parlament und Rat angenommen. In einer Pressemitteilung vom 9. Dezember bezeichnet die EU-Kommission die Einigung von Parlament und Rat als „historischen Moment“. Ursula von der Leyen äußerte sich dazu voller Stolz: „Das EU-Gesetz über die Künstliche Intelligenz ist der erste umfassende Rechtsrahmen für Künstliche Intelligenz weltweit. Dies ist also ein historischer Moment. Mit dem KI-Gesetz werden die europäischen Werte in eine neue Ära überführt.“ Künstliche Intelligenz verändere schon heute den Alltag, doch das sei erst der Anfang. Klug und breit eingesetzt, verspreche KI enorme Vorteile für die Wirtschaft und die Gesellschaft der EU.

Weiter erklärte die Kommissionspräsidentin:

„Durch die Konzentration der Regulierung auf erkennbare Risiken wird die heutige Einigung eine verantwortungsvolle Innovation in Europa fördern. Indem sie die Sicherheit und die Grundrechte von Menschen und Unternehmen garantiert, wird sie die Entwicklung, den Einsatz und die Einführung vertrauenswürdiger KI in der EU unterstützen. Unser KI-Gesetz wird einen wesentlichen Beitrag zur Entwicklung globaler Regeln und Grundsätze für menschenzentrierte KI leisten.“

Věra Jourová, Vizepräsidentin für Werte und Transparenz, ergänzte:

„KI ist bereits ein echter Wandel, und wir, die Europäer, müssen eine rechtliche Möglichkeit haben, uns vor den schädlichsten Auswirkungen der KI zu schützen. Unser Ansatz ist risikobasiert und innovationsfreundlich. Wir wollen einfach, dass die Menschen ihre Rechte behalten und die Grundrechte im digitalen Zeitalter gewahrt bleiben. Das können wir nicht nur durch Gesetze erreichen, sondern auch durch die Wertschätzung von Technologieentwicklern und die Zusammenarbeit mit ihnen, damit sie bei der Entwicklung und Implementierung von KI-Technologie einen menschenzentrierten Ansatz verfolgen.“

„Regulatorische Sandkästen“

Auch EU-Binnenmarktkommissar Thierry Breton unterstrich:

„Das KI-Gesetz ist viel mehr als ein Regelwerk – es ist eine Startrampe für Start-ups und Forscher in der EU, um im weltweiten Wettlauf um vertrauenswürdige KI die Führung zu übernehmen. Dieses Gesetz ist kein Selbstzweck, sondern der Beginn einer neuen Ära der verantwortungsvollen und innovativen KI-Entwicklung, die Wachstum und Innovation in Europa fördert.“

Lauter schöne Floskeln also. Aber was verbirgt sich hinter Begriffen wie „risikobasiert“ oder „menschenzentriert“? Kurz gesagt: Künftig sollen KI-Systeme in verschiedene Risikogruppen eingeteilt werden. Je höher die potenziellen Gefahren einer Anwendung sind, desto höher sollen die Anforderungen an die Anbieter sein. 

Dieser risikobasierte Ansatz sieht ein konkretes Stufenmodell vor: Die überwiegende Mehrheit der KI-Systeme fällt demnach unter die Kategorie „Minimales Risiko“. Dazu gehören beispielsweise Spam-Filter. Solche KI-Systeme mit „minimalem Risiko für die Rechte oder die Sicherheit der EU-Bürger“ sollen keinen Verpflichtungen unterliegen. Allerdings können Unternehmen auf freiwilliger Basis zusätzliche Verhaltenskodizes beschließen.

Zur Kategorie „Hohes Risiko“ zählen dagegen kritische Infrastrukturen wie die Versorgungssicherheit mit beispielsweise Wasser, Gas, Strom und Medizin, aber auch der Zugang zu Bildungseinrichtungen sowie die Bereiche Strafverfolgung und Grenzkontrolle. Außerdem spielen die Möglichkeit der biometrischen Identifizierung und „Emotionserkennungssysteme“ eine wichtige Rolle. Hier sollen strenge Anforderungen greifen wie etwa detaillierte Aktivitätenprotokolle. Darüber hinaus sollen „Regulatorische Sandkästen“ („Regulatory Sandboxes“) eingesetzt werden: ein kontrolliertes und überwachtes Umfeld, in dem Unternehmen neue Anwendungen testen und mit ihnen experimentieren können. Auch öffentliche Einrichtungen, die KI-Systeme mit „hohem Risiko“ nutzen, werden künftig verpflichtet sein, sich in der EU-Datenbank für Hochrisiko-KI-Systeme zu registrieren.

In die Kategorie „Unannehmbares Risiko“ schließlich werden KI-Systeme eingestuft, die eine „eindeutige Bedrohung für die Grundrechte der Menschen“ darstellen. Dazu gehört Künstliche Intelligenz, die „das menschliche Verhalten manipuliert, um den freien Willen des Nutzers zu umgehen“, wie beispielsweise Spielzeug mit Sprachassistenz, das gefährliches Verhalten von Minderjährigen fördert, oder bestimmte Anwendungen der „vorausschauenden Polizeiarbeit“ („Predictive Policing“). So werden biometrische Systeme, die etwa Emotionen am Arbeitsplatz erkennen können oder der „Fernidentifizierung für Strafverfolgungszwecke in öffentlich zugänglichen Räumen“ dienen, gänzlich verboten. Konkret soll die KI-basierte biometrische Identifizierung von Personen im öffentlichen Raum nur bei der gezielten Suche nach einzelnen Verdächtigen, etwa im Zusammenhang mit Terroranschlägen, möglich sein.

Europäisches Amt für Künstliche Intelligenz

Zudem müssen Unternehmen Transparenzverpflichtungen eingehen: Beim Umgang mit KI-Systemen wie Chatbots (bekanntes Beispiel dafür ist ChatGPT) muss den Nutzern bewusst sein können, dass sie es mit einer Maschine zu tun haben. KI-generierte Inhalte müssen generell als solche gekennzeichnet werden und künstlich erzeugte Audio-, Video-, Text- und Bildinhalte mit entsprechenden Hinweisen versehen werden. Nicht zuletzt müssen die Nutzer informiert werden, wenn Systeme zu biometrischer Kategorisierung oder Emotionserkennung verwendet werden. 

Unternehmen, die diese Vorschriften nicht einhalten, werden mit Geldstrafen belegt. Diese können bei Verstößen gegen das Verbot von KI-Anwendungen bis zu 35 Millionen Euro respektive 7 Prozent des weltweiten Jahresumsatzes betragen; bei Verstößen gegen Verpflichtungen 15 Millionen Euro oder 3 Prozent des Jahresumsatzes und bei der Verbreitung von Fehlinformationen 7,5 Millionen Euro oder 1,5 Prozent des Umsatzes. Im Zweifel gilt der höhere Betrag. Geldbußen für kleine und mittlere Unternehmen (KMU) und Start-ups sollen mit verhältnismäßigen Obergrenzen versehen werden. Stellt sich unweigerlich die Frage: Wer definiert diese Verhältnismäßigkeit, und wer definiert, was „Fehlinformationen“ sind? Letztlich die EU-Kommission? 

Mit dem KI-Gesetz soll auch für Transparenz „entlang der Wertschöpfungskette“ gesorgt werden. So sollen Verhaltenskodizes umgesetzt werden, die von „der Industrie, der Wissenschaft, der Zivilgesellschaft und anderen Interessenträgern“ gemeinsam mit der Kommission aufgestellt werden. Zwar sollen die zuständigen nationalen Marktüberwachungsbehörden die Anwendung der neuen Vorschriften auf nationaler Ebene beaufsichtigen, doch gleichzeitig wird ein neues Europäisches Amt für Künstliche Intelligenz innerhalb der Europäischen Kommission eingerichtet, das für die Koordinierung auf europäischer Ebene zuständig ist und die Umsetzung der EU-Verordnung überwachen soll. Da dieses Amt weltweit das erste seiner Art sein wird, das verbindliche Vorschriften für KI durchsetzt, werde es darüber hinaus – so zumindest der fromme Wunsch der EU-Kommission – zu einer internationalen Bezugsstelle werden.

„Drehkreuz von Weltrang für KI“

Bei sogenannten „Modellen mit allgemeinem Verwendungszweck“ soll dazu noch ein wissenschaftliches Gremium unabhängiger Sachverständiger eingesetzt werden, das zur „Klassifizierung und Erprobung der Modelle“ beitragen und „Warnungen über systemische Risiken“ ausgeben soll. Als „Modelle mit allgemeinem Verwendungszweck“ („Multi-Purpose AI“) werden KI-Systeme bezeichnet, die als eine Art Allzweck-Anwendung verschiedene Aufgaben wie Bild- oder Spracherkennung, Audio- und Videogenerierung sowie Mustererkennung erfüllen. Sie lassen sich in andere KI-Systeme integrieren und bieten vielseitige Anwendungsmöglichkeiten in Bereichen wie Medizin, Automobilindustrie oder Unterhaltung. Die Begriffe „Multi-Purpose AI“, „KI-System mit allgemeinem Verwendungszweck“, „General Purpose AI“ (GPAI), „Basismodell“ und „Foundation Model“ werden allerdings oft unscharf verwendet. Doch nicht nur die Regulierung der Multi-Purpose-AI war in den sogenannten Trilog-Verhandlungen von Kommission, Parlament und Rat umstritten, sondern generell der Ausgleich zwischen Innovationsförderung auf der einen und Datenschutz auf der anderen Seite. Dabei geht es unter anderem um das EU-Urheberrecht und die Offenlegung von Informationen darüber, mit welchen Daten Unternehmen ihre KI-Modelle trainieren.

Die Einigung auf das KI-Gesetz muss nun noch vom Parlament und vom Rat förmlich verabschiedet werden. 20 Tage nach der Veröffentlichung im EU-Amtsblatt tritt das Gesetz dann in Kraft und kommt zwei Jahre später zur Anwendung. Verbote gelten allerdings bereits nach sechs Monaten; die Vorschriften für „KI mit allgemeinem Verwendungszweck“ nach 12 Monaten. Bis dahin will die Kommission einen KI-Pakt ins Leben rufen, der KI-Entwickler aus Europa und der ganzen Welt zusammenbringen soll, die die wichtigsten Verpflichtungen des KI-Gesetzes freiwillig schon früher umsetzen sollen. Außerdem will die EU in Foren wie der G7, der OECD, dem Europarat, der G20 und den Vereinten Nationen dafür werben. Erst im Oktober begrüßte die Kommission die Vereinbarung der Staats- und Regierungschefs der G7 über internationale Leitprinzipien für KI und einen freiwilligen Verhaltenskodex für fortgeschrittene KI-Systeme im Rahmen des Hiroshima-KI-Prozesses.

Die europäische KI-Strategie zielt laut EU-Kommission insgesamt darauf ab, die EU zu einem „Drehkreuz von Weltrang für KI zu machen und dafür zu sorgen, dass KI menschlich und vertrauenswürdig ist“. Mangelndes Selbstvertrauen kann man der EU-Kommission eben nicht gerade vorwerfen. Es melden sich jedoch schon Kritiker aus verschiedenen Richtungen zu Wort: Wirtschaftsvertreter befürchten, dass die EU-Verordnung Innovationen hemmen wird; Verbraucherschützer befürchten, dass die Risiken mancher KI-Anwendungen nicht ernst genug genommen werden.

Nach Ansicht des Bundesverbands der Deutschen Industrie (BDI) droht die EU bei der Schlüsseltechnologie KI nun ins Hintertreffen zu geraten. So kommentierte BDI-Geschäftsführungsmitglied Iris Plöger das Gesetz: „Mit der umfassenden Regulierung von KI-Basismodellen und KI-Anwendungen gefährdet der AI Act die Wettbewerbs- und Innovationsfähigkeit sowohl auf Hersteller- als auch auf Anwenderseite.“ Die Regulierung basiere auf unausgereiften Kriterien, die den Unternehmen weniger statt mehr Rechtssicherheit brächten. Die europäische Verbraucherschutzorganisation Beuc kritisierte dagegen, dass sich die EU zu sehr auf die Selbstregulierung der Unternehmen verlasse. 

Wie auch immer: Das KI-Gesetz der EU lädt Unternehmen zusätzlichen Bürokratieaufwand auf. Außerdem drohen nicht gerade unerhebliche Strafzahlungen. In Kombination mit anderen Regulierungen der EU wie etwa dem Gesetz über digitale Dienste (Digital Services Act, kurz: DSA), das ab dem 17. Februar 2024 in vollem Umfang gelten wird, müssen Unternehmen nun vor allem aufpassen, dass sie keine Informationen verbreiten, die nach Einschätzung der EU-Kommission „falsch“ sind. Sonst kann es ziemlich teuer für sie werden.

Martina Binnig lebt in Köln und arbeitet u.a. als Musikwissenschaftlerin (Historische Musikwissenschaft). Außerdem ist sie als freie Journalistin tätig.