Da ist er nun – der EU AI Act. Nach dem zähen Ringen hat wohl vor allem die Einsicht zur Einigung geführt, dass eine noch längere Hängepartie die Unternehmen in eine höhere Rechtsunsicherheit und Planschwierigkeiten gebracht hätte – und sicher auch, dass man sich vor der Weltöffentlichkeit blamiert hätte. Schließlich wollte man in Europa zum Vorreiter der KI-Regulation werden. Das Ziel, die Menschheit vor den negativen Auswirkungen eines falschen Einsatzes von künstlicher Intelligenz schützen, ist im Gesetzestext in vielen Bereichen gut sichtbar. Es gibt z.B. ein Verbot von Social Scoring und anderen zweifelhaften KI-Praktiken. Ein vollständiges Verbot von Echtzeitüberwachung hat es hingegen nicht über die Ziellinie geschafft. Viele unproblematische KI-Anwendungen bleiben unreguliert – nur wer es in die High-Risk-Klasse bringt, sieht seine Entwicklungs- und Verbreitungsprozesse einer starken Regulatorik unterworfen. Das ist im Kern alles sehr nachvollziehbar.
Unklar trotz Überarbeitungen
Doch im EU AI Act steht eine große Menge an interpretationsbedürftigem Text. Das fängt schon bei der Definition des Kernbegriffs der künstliche Intelligenz an. In den zwischenzeitlichen Textversionen war sie so allgemein, dass Experten anmerkten, die Regulierung umfasse jedes Softwareprodukt – mit oder ohne KI. In der finalen Fassung wurde zwar ausgebessert. Doch ob das reicht, die Ziele zu erreichen, wissen wir noch nicht. Eine Hochrisiko-KI etwa wird anhand risikobehafteter Anwendungsfälle beschrieben. Dabei bleibt wiederholt unklar, wie gut die jetzigen Formulierungen ‚risikobehaftete‘ von ‚eigentlich unproblematischen‘ Anwendungsfällen zu unterscheiden helfen.
Ähnlichkeiten zur DSGVO
Wir wissen also nicht, ob die Regularien praktikabel sind und ob sie funktionieren werden. Wir wissen nicht, in welchen Bereichen der jetzige Entwurf über- und in welchen er eher unterreguliert. Das ist kaum verwunderlich, wenn man bedenkt, dass die Risiken von KI als solche heute noch nicht gut verstanden werden. Tatsächlich führen wir damit ein großes Technologie- und Regulationsexperiment durch. Die Technologie ist zu wertvoll – und manchmal zu verführerisch – um nicht erforscht und verbreitet zu werden. Die Regulationsideen versuchen Schritt zu halten, was angesichts des rasanten Tempos schwer fällt. Die Situation erinnert an die 2018 von der EU eingeführte Datenschutzgrundverordnung (DSGVO): nachvollziehbare Intentionen, tiefgreifende Regulatorik, teils bis heute andauernde Unsicherheit sowie Aspekte, die sich als unpraktikabel erwiesen haben. Der EU AI Act tritt in diese Fußstapfen, nur in Bezug auf eine wichtigsten Technologien unserer Zeit – und ohne Praxisdaten, wie sich solche Regulationsansätze in dieser größeren Dimension auswirken. Ein sehr großes Experiment eben. Softwaretechniker wissen mit Komplexität umzugehen: iterativ herantasten und schrittweise verstehen. Bekommen wir eine solche Vorgehensweise in der Europapolitik? Werden wir sehen, wie Regulatorik erschafft, ausprobiert und in Teilen großzügig wieder verworfen wird? Das klingt nach Utopie, zumal die DSGVO seit 2018 unverändert ist. Dabei wäre dieser Ansatz in der Regulatorik vernünftig und ehrlich. Jedenfalls wenn wir ernsthaft daran interessiert sind, diese Technologie weiterzuentwickeln und gleichzeitig einen verantwortungsvollen und menschendienlichen Einsatz sicherzustellen.
Autor: Dr. Jörg Herbers, Geschäftsführer, Inform GmbH
