EU-Regulierung "AI Act" Künstliche Intelligenz: Brauchen wir ein Bundesamt für KI-Überwachung?

Ob das Sprachmodell ChatGPT oder die generative KI Midjourney, die Bilder erstellt, in den vergangenen Wochen und Monaten hat es eine wahrnehmbare Entwicklung im Bereich der Künstlichen Intelligenz gegeben, die zeigt, welche Potenziale darin stecken können. In diesem Zuge hat auch die Diskussion darum an Fahrt gewonnen, wie solche Technologien künftig reguliert werden können und sollen. Dabei geht es um Missbrauchspotenziale und Risiken. Denn die sehen auch die Fachleute selbst und warnen.

Die Europäische Union hat die Notwendigkeit zur Regulierung von KI-Technologien erkannt und arbeitet bereits am sogenannten AI Act. Derzeit wird über das Gesetz verhandelt – wenn es eine schnelle Einigung gibt, könnte es Ende dieses Jahres beschlossen werden und nach einer Übergangsfrist von zwei Jahren gelten.

Bisher ist also noch nicht im Detail klar, wie der AI Act ganz konkret aussehen wird, Grundzüge sind aber bereits bekannt. Zuletzt hatte das Europäische Parlament den Gesetzesentwurf nachgeschärft. Die Abgeordneten haben etwa das Verbot von Technologien biometrischer Überwachung (Gesichtserkennung), Emotionserkennung und sogenannter predictive policing-Systeme – also Vorhersagesysteme – für die Polizeiarbeit hinzugefügt. Aber bei Themen wie etwa der generativen KI wird noch immer diskutiert, ob diese grundsätzlich als Hochrisiko-Technologie gelten sollte oder ob das je nach Anwendungsszenario reguliert wird.

Der AI Act folgt zwei grundsätzlichen Ansätzen, erklärt Matthias Kettemann, Professor für Innovationsrecht an der Universität Innsbruck und vom Hamburger Hans-Bredow-Institut. Der eine sei ein risikobasierter Ansatz. Das heiße, dass darauf geschaut werde, welche Risiken KI-Systeme in der Gesellschaft haben und dann besonders risikoreiche Systeme reguliert würden. Der zweite Ansatz ziele nicht so sehr auf die Technologie an sich, sondern auf die Auswirkungen innerhalb der Gesellschaft. Das sei sinnvoll und deshalb begrüßt Kettemann auch die Entscheidung des Europaparlaments, Technologien zur Gesichtserkennung und zum predictive policing zu verbieten. Außerdem habe das Parlament ein Recht auf Beschwerden über KI-Systeme für alle Menschen in der EU in den Entwurf des AI Acts integriert. Das sollte unbedingt beibehalten werden, so Kettemann.

Kettemann weist außerdem auf zwei weitere Aspekte des AI Acts hin, die er für wichtig erachtet: Transparenz und Erklärbarkeit von künstlicher Intelligenz. In diesen Punkten gehe der Gesetzentwurf über bestehende Regulierungen hinaus, was zu begrüßen sei. Sie ergänzten bereits bestehende ethische Prinzipien, so Kettemann. "Es gibt schon jetzt sehr viele ethische Prinzipien für die KI, dass wir wissen, in welche Richtung wir gehen müssen. Wir wissen, dass KI Menschenrechte achten, sichern und fördern muss. Wir wissen, dass ethische und rechtliche Leitplanken im gesamten Lebenszyklus von KI-Systemen eingehalten werden müssen."

Viele Menschen dürfte überrascht haben, dass auch die Chefs großer und in KI-Technologie investierender Unternehmen wie Sundar Pichai von Google und Sam Altman von OpenAI ihre Sorgen und die Notwendigkeit für Regulierung äußern. Aber bei genauem Hinsehen ist das wenig verwunderlich: Wer sich am Aufstellen der Regeln selbst beteiligt, muss später keine Nachteile fürchten durch gesetzliche Vorschriften, die andere machen. Und so wundert es auch wenig, dass der EU-Kommissar Thierry Breton im Dialog mit Sundar Pichai eine freiwillige Selbstregulierung der Unternehmen ins Gespräch gebracht hat. Diese solle gelten, bis der AI Act in Kraft tritt. Auch ein von der EU und den USA entwickelter Verhaltenskodex ist derzeit in der Diskussion.

Doch wenn es um konkrete Regulierungen geht, zeigen sich die großen Unternehmen plötzlich weniger engagiert, haben häufig etwas auszusetzen. Der Eindruck drängt sich auf, dass die Einstellung der Branche ist: Regulierung ja, aber nur in gewünschter Form.

Ändert sich das mit dem AI Act? Die Professorin für Technologie und Regulierung vom Oxford Internet Institute an der University of Oxford in Großbritannien, Sandra Wachter, zeigt sich da skeptisch. Sie verweist auf das sogenannte Conformity Assessment als ein Herzstück des AI Acts. "Das Conformity Assessment bedeutet, dass die Entwickler, die sich im Hochrisikobereich befinden, selbst bewerten, selbst zertifizieren werden müssen, ob sie selbst den AI Act-Regeln entsprechen", erläutert Wachter. Nur bei biometrischen Daten müsse das ein Dritter machen. Das sei also eine Regelung, die erlaube, so die Expertin, dass diejenigen, die dem Recht folgen sollen, auch diejenigen sind, die entscheiden, ob sie tatsächlich dem Recht folgen. "Das ist für sich genommen noch nicht super problematisch, aber etwas, das wir tatsächlich im Auge behalten sollten."

Wachter weist außerdem darauf hin, dass die Standards, die da eingehalten werden sollen, zunächst festgelegt werden müssten. Damit würden private Standardisierungs-Organisationen beauftragt. Und in deren Working Groups säßen wiederum in erster Linie Menschen aus der jeweiligen Branche. Das heiße also, so Wachter, die Industrie soll selbst prüfen, dass sie den Standards folgt, die sie zuvor selbst festgelegt habe. Die Entscheidungsgremien sollten deshalb etwas ausgeglichener sein, "und nicht nur in die Industrie gelagert".

Auch in den Standards an sich sieht Oxford-Professorin Wachter ein mögliches Problem. Die seien sehr technisch. "Aber ich glaube, dass vielleicht der Öffentlichkeit nicht immer ganz bewusst ist, dass die uns nicht unbedingt helfen werden oder Gefahr laufen, uns nicht [dabei zu helfen], diese ethischen Dinge richtig auszulegen." Es könne durchaus sein, dass es künftig festgelegt sei, welche "ExplainabilityTools" (Erklärhilfen zur Arbeit der KI) es gibt oder welche technischen Möglichkeiten zum Bias testen (Verzerrungen und Vorurteile, die die KI beeinflussen). Es gebe aber keine Anleitung dafür, was wann zu nutzen sei. Solche ethischen Überlegungen könnten sich womöglich nicht in den Standards finden lassen, so Wachter. "Und dann stellt sich natürlich die Frage: Wer soll denn das machen oder sind wir zufrieden, nur ein Regelwerk zu haben, das sich an die technischen Fragen anlehnt?"

Aus Sicht der Praktikerin Ulrike Luxburg – Professorin für die Theorie des maschinellen Lernens an der Eberhard Karls Universität Tübingen – ist der risikobasierte Ansatz des AI Acts sinnvoll. Es sei prinzipiell wichtig insbesondere die Hochrisikotechnologien zu regulieren.

Was ihr Unwohlsein bereite, ist der Ansatz des Gesetzes, dass die Technologien immer transparent erklärbar sein müssten. Bei KI-Systemen, die sogenannte Black-Box-Modelle seien, wäre das aber prinzipiell nie möglich. "Wenn dort Methoden verwendet werden, die Black-Box-Methoden sind, tiefe Netzwerke zum Beispiel, da wird es keine Erklärbarkeitsmethoden geben, mit denen man auf sinnvolle Art und Weise wirklich erklären kann, was diese Dinge machen – weder als gesamtes Modell noch für einzelne Entscheidungen." Dann stelle sich die Frage, so Luxburg: "Wann würden wir denn sagen, eine Erklärung ist ausreichend?"

Doch am problematischsten am aktuellen Gesetzentwurf sei aus Sicht der Informatikerin, dass da zwar viele wichtige Dinge drin stehen würden, aber unklar bleibe, wer die Einhaltung der Regeln eigentlich überprüfen solle. Am Ende sei diese staatliche Kontrolle zwar eine politische Frage, es gebe aber auch die Expertise momentan nicht, so Luxburg. "Wie sollen Kontrollen stattfinden? Brauchen wir vielleicht eine Behörde, ein Bundesamt für digitales Wesen oder für KI, das die Kompetenz hat, diese ganzen Techniken überhaupt zu beurteilen?"

Eine der großen Fragen, die der AI Act aufmacht, ist auch die nach der Schuld. Wer kann denn für Schäden verantwortlich gemacht werden? Die Entwickler? Oder wer ein System in der Praxis in schädlicher Weise einsetzt? Informatikerin Luxburg glaubt, dass in dieser Frage nur schwer einzelne verantwortliche Personen auszumachen sein werden. Zum Beispiel im Fall von ChatGPT: Nutzt jemand das Sprachmodell, um Fake-News zu produzieren, könne der Entwickler dafür nichts. Seine Entwicklung ist aber in der Lage Fake-News auszuspucken. Das Ganze seien aber komplexe Prozesse.

Auch Oxford-Professorin Wachter weist auf das Haftungs-Problem hin. Sie zieht einen Vergleich zum Töpfern: Dort gebe es drei Gruppen: den Hersteller des Tons, denjenigen, der ihn verarbeite und den Käufer des Produkts. Während die erste Gruppe in der Analogie zwar die technischen Grundlagen zur Verfügung stelle, so Wachter, sei die zweite Gruppe selbst verantwortlich dafür, was sie auf dieser Grundlage mache. Ein Bild-Generator sei kein Chatbot und ein Chatbot keine Medizinanwendung, genauso wie ein Aschenbecher keine Vase sei, vollzieht sie die Analogie. Und auch wenn der Käufer die Vase dann jemandem auf den Kopf schlage, sei wiederum nicht derjenige verantwortlich, der die Vase getöpfert habe.

Ob mit oder ohne Ton: Die Frage nach der Schuld wird auch mit KI-Technologie nicht einfacher. Wachter meint deshalb: "Diejenigen, die Einfluss haben, sind auch diejenigen, die Haftung tragen sollten." Der AI Act konzentriere sich da noch zu sehr auf die Hersteller der Technologie. "Das könnte man ganz einfach noch einfügen, um diese Haftungsketten zu schließen."

Eine Sorge von Gegnern der gesetzlichen KI-Regulierung ist, dass sie Innovationen abwürgen könnten. Doch die Gefahr sieht Informatik-Professorin Luxburg nicht. "Man muss gewisse Dokumentationspflichten haben. Aber viel mehr wird im Moment ja auch nicht verlangt", sagt sie. Und Oxford-Professorin Wachter ergänzt: "Wenn Leute sagen, es hält Innovation auf, dann meinen sie nicht Innovation und Entwicklung oder Forschung, sondern sie meinen Profit. Und das muss man ganz klar trennen."

Der AI Act gebe lediglich ethische oder rechtliche Leitlinien vor, wie Produkte sicher in die Gesellschaft eingefügt werden können, so Wachter. "Das ist für mich kein Aufhalten von Innovation, das ist ein Sicherstellen, dass Innovation ethisch und rechtlich sicher ist. Und man muss sich auch überlegen, will man diese Leute dann einladen, am Markt teilzunehmen, wenn sie sagen, wir kommen nicht, wenn wir uns an ethische Leitlinien halten sollen?" In Hinblick auf künftige Fortschritte auf dem Feld der KI-Technologien wünscht sich die Oxford-Professorin ein flexibleres System, um die Hochrisikogruppen regelmäßig zu "reviewen". "Das könnte man auch noch einfach einbauen", sagt Wachter. Es wäre wichtig, um mithalten zu können mit der Technik und dem Fortschritt, dass es ein einfaches, agiles System gebe, neuartige Technologien als Hochrisikobereiche zu klassifizieren.

Innovationsrechts-Professor Kettemann wünscht sich indes, dass die Diskussionen um den AI Act bald abgeschlossen werden. Es sei jetzt ein guter Zeitpunkt zu regulieren, denn es gebe auf UN-Ebene und in der transatlantischen Zusammenarbeit ein klares Bekenntnis zur Regulierung von KI-Anwendungen. "Ich bin sehr positiv gestimmt, dass wir unter Berücksichtigung aller Vor- und Nachteile hier eine schöne Balance bekommen", meint Kettemann.