Neue Regeln, keine Kontrolle

Am Wochenende sind in der EU neue Vorgaben des sogenannten AI Acts in Kraft getreten. Die Verordnung zur Regulierung künstlicher Intelligenz (KI) war bereits im Frühjahr 2024 angenommen worden, wurde jedoch mit großzügigen Übergangsfristen versehen. Eigentlich sollte das Gesetz im KI-Zeitalter Grundrechte schützen, Risiken mindern und technologische Machtkonzentration verhindern. Doch den Techlobbys ist es gelungen, die Vorgaben weitgehend aufzuweichen und zahlreiche Schlupflöcher einzubauen. Das zeigt auch die aktuelle Umsetzungsstufe.

Dabei wären verbindliche Vorgaben dringend geboten, schießen neue KI-Tools doch seit dem Start von Chat-GPT im November 2022 wie Pilze aus dem Boden. Überall kommt die Technologie zur Anwendung – ob in der Verwaltung, im Bildungssektor, der Werbebranche, den Personalabteilungen der Unternehmen, der Polizei oder beim Militär. Die verschiedenen Anwendungen basieren auf großen, vielfältig einsetzbaren Sprachmodellen wie GPT, Deep Seek oder auch Mistral Large des französischen Anbieters Mistral AI. Für diese grundlegende Ebene gelten nun in der EU überhaupt erstmals gesetzliche Vorgaben.

Hierbei handelt es sich einerseits um Transparenz- und Dokumentationspflichten, die für alle Modelle greifen sollen. Für jene, von denen gemäß der Definition des »AI Acts« ein »systemisches Risiko« ausgeht, gelten zudem weitere, strengere Vorgaben und Meldepflichten. Ein solches Risiko wird dann unterstellt, wenn beim Modelltraining eine Rechenleistung von 10²⁵ Flops (Floating Point Operations) überschritten wurde. Ein ziemlich hoher Wert, die meisten relevanten Modelle – insbesondere jene des europäischen Techkapitals – fallen durchs Raster.

So bietet das französische Vorzeigeunternehmen Mistral AI leistungsstarke und vielseitig einsetzbare Modelle wie Mistral 7B an, bei denen die Trainingsrechenleistung deutlich unter der Schwelle blieb. Das bedeutet: keine Pflicht zur Risikominderung, keine regelmäßige Überprüfung, keine verpflichtende Meldung von Vorfällen. Dass diese Systeme dennoch dazu dienen, öffentliche Entscheidungen zu automatisieren, politische Manipulationskampagnen zu generieren, zur Personalauswahl oder zur systematischen Überwachung im öffentlichen Raum eingesetzt werden könnten, spielt keine Rolle.

Doch auch den Anbietern der schätzungsweise weltweit rund 30 Modelle, deren Trainingsleistung die Schwelle überschreitet, dürften die neuen Regeln keine Kopfschmerzen bereiten. Schließlich gelten auch für sie großzügige Übergangsfristen: In den ersten zwölf Monaten soll überhaupt keine Kontrolle erfolgen. Erst im August 2026 soll das neue »AI Office« der EU-Kommission als Kontrollinstanz seine Arbeit aufnehmen – mit minimaler Finanz- und Personalausstattung. Bis dahin versteht sich die Behörde ausdrücklich als beratender Partner der Branche.

Für alle Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, gilt sogar eine zweijährige Nachrüstfrist. Bis zum Sommer 2027 dürfen sie also weiter eingesetzt werden, ohne den Anforderungen der KI-Verordnung zu genügen. Für die betroffenen Nutzer bedeutet das: weitere Jahre ohne Transparenz, ohne Schutz und ohne wirksame Beschwerdemechanismen.

Auch die Bundesregierung trägt ihren Teil zur Verschleppung der KI-Regulierung bei. So wurde am Sonnabend die Frist zur Einsetzung einer nationalen Aufsichtsbehörde überschritten. Diese wäre etwa für die Einhaltung geltender KI-Verbote zuständig. »Wenn beispielsweise der Arbeitgeber auf die Idee kommt, eine Emotionsüberwachung in Telefonaten oder Videocalls einzubauen; eine Behörde bestimmte Sozialleistungen mit einem Social-Scoring-System verknüpft; oder Veranstalter großer Events gezielt biometrische Daten der Besucher für spätere Werbezwecke speichern wollen«, wäre sie zuständig, erläutert die Organisation Algorithmwatch.

Doch ein Umsetzungsgesetz gibt es bislang nicht; also weiterhin weder eine Kontrolle der Regeleinhaltung noch eine Festlegung von Sanktionen und Bußgeldern, die im Falle von Verstößen greifen. Das sei wie wenn es in einem Land »zwar Verkehrsregeln gibt, aber weder einen Bußgeldkatalog noch eine Verkehrspolizei«, kommentierte Pia Sombetzki von Algorithmwatch am Donnerstag.