Das Europäische Parlament hat mit großer Mehrheit für den KI Act gestimmt. Das Gesetz sieht unter anderem vor, KI-Systeme in verschiedene Risikogruppen einzuteilen.
Während die Mitgliedsstaaten des EU-Rats versuchten, etwa bei der Videoüberwachung, möglichst weitgehende Überwachungsmechanismen durchzusetzen, beharrte das EU-Parlament lange auf seinen bürgerrechtsfreundlicheren Positionen. Herausgekommen ist ein Kompromiss, bei dem sich der EU-Rat zumindest in einigen Bereichen durchgesetzt hat.
Am 11.5.2023 hatte das Beschlussverfahren zum KI-Gesetz (engl. Artificial Intelligence Act, kurz AI Act) begonnen: Die zuständigen Ausschüsse des EU-Parlaments hatten mit großer Mehrheit den Änderungsanträgen zum Kommissionsvorschlag zugestimmt, der bereits seit April 2021 vorlag (zum Beitrag). Am 9. Dezember haben nun EU-Parlament und EU-Rat die Endfassung des KI-Gesetzes beschlossen. Damit steht die erste umfassende KI-Regulierung der Welt.
Einteilung in Risikoklassen
Kern des neuen KI-Gesetzes ist die Einteilung von KI-Systemen in Risikoklassen. Alle KI-Systeme, die in die höchste Kategorie fallen, sind ausdrücklich verboten – dazu gehören z. B. Systeme zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. In die zweithöchste Risikoklasse fallen KI-Systeme, die ein „erhebliches Schadenspotenzial“ etwa für die Demokratie, die Gesundheit oder die Sicherheit haben. Für sie gibt es eine Reihe von Vorschriften sowie Beschwerdemöglichkeiten für Betroffene. Andere Systeme, etwa Chatbots, werden dagegen nur wenig oder nicht reguliert.
Kurz vor der letzten Verhandlungsrunde war ein Konflikt um die besonders wichtigen und leistungsfähigen KI-Systeme ausgebrochen, die Basismodelle. Diese bilden die Grundlage für zahlreiche weitere Anwendungen. Bekanntestes Beispiel dafür ist ChatGPT. Deutschland hatte gemeinsam mit Frankreich und Italien gefordert, diese Modelle von verpflichtenden Regeln auszunehmen und nur eine Selbstverpflichtung vorzusehen. Die Position setzte sich nicht durch: Wer Basismodelle auf den Markt bringt, muss unter anderem Transparenz- und Dokumentationspflichten erfüllen. Sind es Modelle mit hohem Risiko, gelten weitere Vorschriften, z. B. strengere Tests.
KI und Überwachung
Beim Thema Überwachung mussten schwerwiegende grundsätzliche Meinungsunterschiede zwischen dem EU-Parlament und den Mitgliedsstaaten überwunden werden. Der EU-Rat, in dem die Mitgliedsstaaten vertreten sind, wollte möglichst viele Möglichkeiten verankern, biometrische Überwachung mittels KI zu erlauben, wie z. B. KI-basierte Gesichtserkennung bei der Videoüberwachung, oder präventive Polizeimaßnahmen aufgrund von Datenauswertungen (engl. Predictive Policing) zuzulassen.
Der Kompromiss, der für die Endfassung des KI-Gesetzes gefunden wurde, kommt dem EU-Rat nun weit entgegen. Es sind zwar grundsätzliche Verbote vorgesehen, z. B. gegen den Einsatz der Echtzeit-Gesichtserkennung bei Überwachungsmaßnahmen oder gegen die biometrische Kategorisierung, bei der Merkmale wie sexuelle Orientierung oder religiöse Überzeugungen verwendet werden. Gleichzeitig sind jedoch eine ganze Reihe von Ausnahmen bei der Strafverfolgung vorgesehen, etwa bei der Personensuche bei schweren Straftaten. Auch die retrograde Identifizierung, also die Identifizierung von Personen im Nachhinein, ist unter bestimmten Bedingungen erlaubt, etwa bei Terrorgefahr oder der gezielten Suche von Einzelpersonen beim Verdacht auf schwere Straftaten.
Unterschiedliche Reaktionen
Die Reaktionen auf das KI-Gesetz fallen unterschiedlich aus. Politische Vertreter und Unternehmensorganisationen sehen die Endfassung überwiegend positiv. Sie loben die damit verbundene Rechtssicherheit und begrüßen, dass die Grundrechtsfolgen-Abschätzung im Gesetz verankert werden konnte. Kritiker und auch einige Verbraucherschutz- und Menschenrechtsorganisationen befürchten hingegen, dass das KI-Gesetz trotz aller Einschränkungen einer neuen Form der Massenüberwachung und Vorratsdatenspeicherung den Weg ebnen könnte. Die zahlreichen Ausnahmeregelungen und offensichtliche Regulierungslücken würden dem „Missbrauch der KI Tür und Tor öffnen“.
Bußgelder und Inkrafttreten
Für Unternehmen, die sich nicht an die Regeln halten, sind Geldbußen vorgesehen: Je nach Verstoß und Größe des Unternehmens können es bis zu 35 Millionen EUR oder 7 Prozent des weltweiten Umsatzes sein.