KI-Verordnung mit Löchern

Letztlich haben die Mitglieder des EU-Parlaments den sogenannten AI Act vergangene Woche mit großer Mehrheit angenommen: 523 Abgeordnete stimmten dafür, 46 dagegen, 49 enthielten sich. Das sieht eindeutig aus. Doch fraktionsübergreifend fühlten sich viele Abgeordnete vom EU-Rat in den Trilog-Verhandlungen über den Tisch gezogen – und dürften nun eher zähneknirschend zugestimmt haben, froh darüber, dass das Gesetz zur Regulierung der Entwicklung und Nutzung von »künstlicher Intelligenz« (KI) überhaupt noch beschlossen werden kann. Vorausgegangen waren dreijährige Verhandlungen, die insbesondere in den vergangenen Wochen mehrfach zu platzen drohten.

Vornehmlich die Regierungen Deutschlands, Frankreichs und Italiens hatten Druck gemacht, um die Vorschriften aufzuweichen. Nicht ohne Erfolg. So wurden etwa die Pflichten für die Entwickler großer Sprachmodelle so allgemein gefasst, dass jeder darunter verstehen kann, was er will. Darauf hatte insbesondere Frankreichs Präsident Emmanuel Macron gedrungen, dessen früherer Digitalminister Cédric O heute als Gründer für die wichtigste KI-Firma des Landes, Mistral AI, lobbyiert. Sollten die Regeln zu streng ausfallen, könnten europäische Firmen im Wettbewerb mit der US-Konkurrenz nicht bestehen, hieß es. Kurz nach Beschluss der laxen Regeln gab Mistral dann eine milliardenschwere Kooperation mit Microsoft bekannt.

Kein Biometrieverbot

Komplett durchlöchert wurden auch die Regeln zum Einsatz KI-basierter biometrischer Überwachungssysteme. Eigentlich sollten die komplett verboten werden, doch zahlreiche Ausnahmetatbestände sorgen dafür, dass die Technologie fast immer zum Einsatz kommen kann, wenn eine Sicherheitsbehörde das für sinnvoll hält. Die Beschränkung auf bestimmte Verbrechensarten ist auf den letzten Metern ebenso rausgeflogen wie ein wirksames Verbot von Echtzeitüberwachung. CDU-Chef Friedrich Merz bekommt schon feuchte Träume und fordert – angeheizt durch die Verhaftung von Daniela Klette – eine umfassende Nutzung zur Bekämpfung von »politischem Extremismus«.

Ein Bündnis aus 16 zivilgesellschaftlichen Organisationen um Wikimedia und Algorithmwatch hat bereits in einem offenen Brief an den Deutschen Bundestag gefordert, auf nationaler Ebene ein konsequentes Verbot umzusetzen. Die Organisationen warnen vor Einschränkungen von Meinungsfreiheit und Demonstrationsrecht. Sie argumentieren, insbesondere marginalisierte Gruppen würden von der Ausübung ihrer politischen Rechte abgehalten, wenn sie Repressalien zu fürchten haben. Der »AI Act« enthält eine Öffnungsklausel, die es Mitgliedstaaten ermöglicht, auf nationaler Ebene weitergehende Regelungen zu treffen.

Nun steht der Vertragstext also – zumindest fast: Ein juristischer und sprachlicher Feinschliff steht noch aus. Anschließend folgt noch mal eine formelle Bestätigung in Rat und Parlament – vermutlich im April – dann geht es an die Umsetzung der Vorgaben in den Mitgliedstaaten. Viele Beobachter warnen bereits vor einem ähnlichen Desaster wie bei der Datenschutzgrundverordnung. Diese wird in allen Mitgliedstaaten unterschiedlich ausgelegt. Vor allem Irland verschafft sich durch konsequente Missachtung enorme Wettbewerbsvorteile. In der BRD hat das Bundesland Bayern durch den Verzicht auf eine arbeitsfähige, unabhängige Aufsichtsbehörde, für sich eine solche Rolle gefunden.

Bayerische Schlupflöcher

Dort sucht man nun auch schon intensiv nach Schlupflöchern, um die neuen Vorschriften für KI-Firmen zu umgehen und selbige samt ihrer steuerpflichtigen Profite in die Berge zu locken. »Es ist mein erklärtes Ziel, Bayern zu Europas Heimat für Hightech und dem Premiumstandort für Zukunftstechnologien im Herzen Europas zu entwickeln. Wir unternehmen hierzulande alles, was in unserer Macht steht, um Sieger der KI-Revolution zu werden«, prahlte Landesdigitalminister Fabian Mehring nach dem Beschluss des EU-Parlaments. Doch man sei in Sorge, »dass Brüssel uns mit den heutigen Beschlüssen einmal mehr die weiß-blauen Schuhbändel zusammenbindet«. Deshalb werde man »einen bayerischen AI-Innovationsbeschleuniger etablieren« und damit »einen Schutzschirm gegenüber überbordender EU-Bürokratie« aufspannen.

Und tatsächlich sind die Spielräume für Möchtegernregulierungsoasen à la Bayern und Irland groß. So ist zwar festgelegt, dass die Mitgliedstaaten nationale Aufsichtsbehörden benennen müssen, die die Einhaltung der Vorschriften für den KI-Einsatz in Hochrisikobereichen überwachen sollen. Es gibt allerdings keinerlei Mindestvorschriften bezüglich der finanziellen und personellen Ausstattung dieser Einrichtungen. Weitere Spielräume ergeben sich daraus, dass viele Formulierungen abstrakt sind und Unternehmen letztlich selbst die Verantwortung dafür tragen, ihre Anwendungen in die Risikokategorien einzuordnen. Rechtsexperten warnen zudem, es gebe zahlreiche Schnittmengen zu sektoralen Gesetzen, so dass unklar ist, was gilt.

Und noch eine Möglichkeit hat das Tech-Kapital an die Hand bekommen, den »AI Act« weiter auszuhöhlen, bevor er umgesetzt wird. So wurden viele Vorgaben auf politischer Ebene abstrakt gehalten und müssen nun über die Festlegung spezifischer Standards konkretisiert werden. Die zuständigen Gremien, insbesondere CEN/Cenlec auf EU-Ebene, arbeiten jedoch vollkommen intransparent und werden von Konzernen und Kapitalverbänden dominiert. In den Arbeitsgruppen sind lediglich zwei zivilgesellschaftliche Organisationen vertreten, und das auch nur mit Beobachterstatus.