Der „Artificial Intelligence Act”

Ein Prestigeprojekt der EU unter die Lupe genommen

Am 21. April 2021 hat die Europäische Kommission („EU-Kommission“) ihren mit Spannung erwarteten Entwurf einer Verordnung zur Regulierung der Nutzung Künstlicher Intelligenz („KI“) veröffentlicht. Der Verordnungsentwurf, der in einem früheren Stadium bereits „geleakt“ worden war, enthält harmonisierte Vorschriften für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union („EU“). Er stellt einen wichtigen Schritt im Rahmen der umfassenden KI-Strategie dar, welche im Jahr 2018 ihren Anfang genommen hat und mit der Kommissionspräsidentschaft Ursula von der Leyens endgültig in den Fokus der EU-Kommission gerückt ist.

1. Künstliche Intelligenz im Fokus der EU-Kommission

Mit den Plänen „Künstliche Intelligenz für Europa“ und dem „Koordinierten Plan für Künstliche Intelligenz“ begann vor nunmehr über drei Jahren der Versuch, die Digitalisierung in der EU voranzutreiben und diese im internationalen Vergleich konkurrenzfähig zu machen. Dieser Absicht ließ die EU-Kommission mit ihrer am 19. Februar 2020 vorgestellten Digitalstrategie Taten folgen: „Weißbuch zur Künstlichen Intelligenz – Ein europäisches Konzept für Exzellenz und Vertrauen“ („Weißbuch“)  hieß das auf diesen Strategiepapieren aufbauende Dokument, das zum ersten Mal überhaupt ein Konzept zur Regulierung von KI entwickelte.

Mit einem auf die Besonderheiten von KI abgestimmten Regulierungsrahmen sollte nach den Vorstellungen der EU-Kommission das Vertrauen der Gesellschaft in existierende sowie zukünftige KI-Anwendungen gestärkt werden. Dieser Rahmen versucht, auf der Grundlage europäischer Werte einen eigenen Weg zur Nutzung von KI zu finden, ohne vor dem Hintergrund des internationalen Wettbewerbs die zweifellos großen Chancen der Technologie zu blockieren. Nach Veröffentlichung des Weißbuchs stieß die EU-Kommission ein breit angelegtes Konsultationsverfahren an, in welchem interessierte Kreise aus aller Welt Stellungnahmen zu dem Konzept abgeben konnten, die dann in der weiteren Ausarbeitung berücksichtigt werden sollten.

2. Der „Artificial Intelligence Act” im Überblick

Nun liegt mit dem „Artificial Intelligence Act”, dem „Gesetz über Künstliche Intelligenz“, der bislang konkreteste Vorschlag zur Regulierung der Nutzung von KI vor, der diesen Weg fortführen soll. Er folgt einem bereits im Weißbuch angelegten risikobasierten Ansatz, nach dem KI-Anwendungen ihrem potentiellen Risiko nach in vier Kategorien eingruppiert werden: „unannehmbares Risiko“, „hohes Risiko“, „geringes Risiko“ und „minimales Risiko“. Das Herzstück des Entwurfs ist dabei die umfangreiche Regulierung solcher KI-Systeme, die nach diesem Ansatz ein hohes Risiko aufweisen.

2.1 Verbot von KI-Anwendungen mit unannehmbarem Risiko

Anwendungen von KI mit unannehmbarem Risiko werden in Art. 5 Nr. 1 verboten.

Darunter fallen ausweislich der Vorschrift solche Anwendungen, die menschliches Verhalten manipulieren und dadurch Menschen Schaden zufügen können (lit. a und b), was nach Angaben der Kommission beispielsweise ein „Spielzeug mit Sprachassistent, das Minderjährige zu gefährlichem Verhalten ermuntert“, sein könnte. Was allerdings unter den weiten Begriff der Manipulation fallen soll, bleibt unklar.

Ebenfalls verboten werden Anwendungen, die Behörden eine Bewertung der Vertrauenswürdigkeit von Personen auf der Grundlage ihres Sozialverhaltens oder persönlichkeitsbezogener Merkmale und eine daran anknüpfende ungünstige Behandlung dieser Personen ermöglichen (lit. c). Gemeint sind also beispielsweise Sozialkredit-Systeme, die derzeit in verschiedenen Formen bereits in China praktiziert werden und nach Ansicht der EU-Kommission mit europäischen Werten nicht vereinbar sind.

Zuletzt untersagt die Vorschrift im Grundsatz die Verwendung von Echtzeit-Fernerkennungssystemen im öffentlichen Raum zur biometrischen Identifizierung von Personen zum Zweck der Strafverfolgung (lit. d). Hier sind in der Vorschrift jedoch mehrere Ausnahmen vorgesehen, die in der Praxis wohl regelmäßig zum Einsatz kommen könnten: So soll die Anwendung von KI etwa zur Terrorabwehr oder Aufdeckung schwerer Straftaten möglich sein. Diese Ziffer dürfte sich im weiteren Gesetzgebungsprozess als die problematischste erweisen, herrschen in den EU-Mitgliedsstaaten doch deutlich unterschiedliche Vorstellungen von dem Verhältnis zwischen Freiheit und Sicherheit vor.

Flankiert wird das Verbot von einer Bußgeldvorschrift in Art. 71 Nr. 3 lit. a, die für Verstöße mit bis zu EUR 30 Millionen oder 6 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist, durchaus empfindliche Strafzahlungen vorsieht.

2.2 Starke Regulierung von KI-Anwendungen mit hohem Risiko

Die zweite Kategorie von KI-Anwendungen, die in Art. 6 und 7 des Verordnungsentwurfs genannt sind, sind solche, die ein hohes Risiko für die Gesundheit, Sicherheit oder die Grundrechte von Menschen darstellen. Die Einstufung als hohes Risiko hängt nicht nur von der ausgeführten Tätigkeit des KI-Systems ab, sondern auch von dem Zweck, für den das System verwendet wird.

KI-Anwendungen mit hohem Risiko werden in Anhang III des Verordnungsentwurfs mittels einer Auflistung konkretisiert, die laufend aktualisiert werden kann. Darunter fallen beispielsweise KI-Anwendungen für die biometrische Identifizierung und Kategorisierung von Personen (Nr. 1), für die Verwaltung und den Betrieb von kritischer Infrastruktur (Nr. 2), für die Regulierung des Zugangs zu Bildungseinrichtungen (Nr. 3), für Recruiting und Personalmanagement (Nr. 4) oder für den Zugang zu wesentlichen privaten und öffentlichen Leistungen (Nr. 5). Auch in den Bereich der KI-Anwendungen mit hohem Risiko fallen Systeme zur Unterstützung der Strafverfolgungsbehörden (Nr. 6), der Migration-, Asyl- und Grenzkontrolle (Nr. 7)  und der Justiz (Nr. 8). Es handelt sich also größtenteils um Anwendungen, die in grundrechtssensiblen Bereichen Entscheidungen über Menschen treffen und deren Einsatz bereits heute möglich – oder jedenfalls in naher Zukunft vorstellbar – wäre.

Diese Anwendungen werden nicht verboten, müssen aber, um auf dem europäischen Markt zugelassen zu werden, in einer ex-ante-Betrachtung strenge Voraussetzungen erfüllen, die in Art. 8 ff. beschrieben werden. Die dort dargestellten Anforderungen sind bereits heute Stand der Technik und sollen nach Angabe der Kommission weitgehend mit anderen internationalen Empfehlungen übereinstimmen, um Kompatibilität im internationalen Kontext sicherstellen zu können.

So müssen die Systeme auf der Grundlage von Daten entwickelt werden, die gewisse Qualitätskriterien erfüllen (Art. 10) sowie ein angemessenes Maß an Genauigkeit und Sicherheit erreichen (Art. 15). Dazu müssen ein Risikomanagementsystem (Art. 9) und eine detaillierte technische Dokumentation (Art. 11) eingerichtet sowie eine automatische Protokollierung (Art. 12) sichergestellt werden. KI-Systeme mit hohem Risiko sind zudem so zu konzipieren, dass ihre Funktionsweise hinreichend transparent ist, damit die Nutzer die Ergebnisse des Systems interpretieren und angemessen nutzen können (Art. 13), und dass sie von natürlichen Personen wirksam überwacht werden können (Art. 14).

Verstöße gegen diese Vorgaben werden ebenfalls mit strengen Sanktionen belegt: Art. 71 Nr. 4 sieht Bußgelder bis zu EUR 20 Millionen oder 4 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist, vor, bei Verstößen gegen Art. 10 sollen nach Art. 71 Nr. 3 lit. b sogar Bußgelder bis zu dem höheren Betrag aus EUR 30 Millionen oder 6 % des weltweiten Jahresumsatzes verhängt werden können.

2.3 Kaum Eingriffe bei sonstigen KI-Anwendungen

Während der Verordnungsentwurf mit dem Verbot von Systemen mit unannehmbaren Risiko und der umfangreichen Regulierung von Systemen mit hohem Risiko starke Eingriffe vorsieht, sollen sonstige KI-Anwendungen, also solche mit geringem oder minimalem Risiko, nach Absicht der EU-Kommission bewusst weitestgehend unreguliert bleiben, um innovationsfreundliche Bedingungen zu schaffen.

Der Großteil von KI-Anwendungen wird von der EU-Kommission in den Bereich des minimalen Risikos eingestuft und in dem Entwurf überhaupt nicht erfasst, etwa Videospiele, Suchalgorithmen oder Spamfilter. Daneben soll es Anwendungen mit geringem Risiko geben, für die der Entwurf in Art. 52 lediglich bestimmte Transparenzpflichten vorsieht. Bei der Verwendung solcher Systeme, unter die beispielsweise „Chatbots“ oder „Deep Fakes" fallen, muss den Nutzern bewusstgemacht werden, dass sie mit einer KI interagieren.

3. Erwartbare Kritik von mehreren Seiten

Obwohl mit dem Verordnungsentwurf erkennbar ein Minimalkonsens an Regulierung umgesetzt wurde – so sah der Entwurf in seinem früheren Stadium etwa noch deutlich weitergehende Verbote von KI-Anwendungen zur Beeinflussung und Überwachung von Menschen vor – sieht er sich scharfer Kritik seitens der Industrieverbände ausgesetzt. Die Kategorie der KI-Anwendungen mit hohem Risiko sei zu weit gefasst und werde in Zukunft Innovationen verhindern, wodurch Europa im internationalen Wettbewerb noch weiter zurückfallen werde, wird beanstandet. Diese Kritik kommt nicht unerwartet, wurde doch das knapp ein Jahr zuvor vorgestellte Weißbuch schon hinsichtlich desselben Punkts kritisiert.

Für Bürgerrechtler hingegen geht der Entwurf nicht weit genug: Sie bemängeln, dass deutlich zu wenige Anwendungen dem Verbot in Art. 5 unterfielen. So müsse eine automatische Erkennung sensibler Merkmale wie Geschlecht, Sexualität und Herkunft untersagt werden und das Verbot der Fernerkennung, das derzeit nur Echtzeit-Fernerkennungssysteme erfasse und zahlreiche Ausnahmen vorsehe, deutlich verschärft werden. Beides könne mit europäischen Werten nicht vereint werden und ein Missbrauch sei nur durch ein Verbot wirksam zu verhindern.

4. Ein mutiger Schritt

Trotz dieser Kritik hat die EU-Kommission mit dem Verordnungsvorschlag einen Grundstein für die Regulierung von KI gelegt, der wie die Datenschutzgrundverordnung das Potential aufweist, sich zu einem internationalen „Blueprint“ zu entwickeln.

Bereits heute bestimmen Algorithmen und KI-Anwendungen unseren Alltag – auch wenn wir es teilweise nicht einmal bemerken – und werden zunehmend in grundrechtssensiblen Bereichen eingesetzt. Schon längst geht es nicht mehr nur um Suchmaschinen und Chatbots, in Teilen der Welt ist auch bei Versicherungen, Personalabteilungen und sogar Richtern der Einsatz von KI längst Alltag. Dass sich der Anwendungsbereich von KI-Systemen in Zukunft noch vergrößern wird, ist unschwer zu prognostizieren.

Es ist also zunächst durchaus positiv zu bewerten, dass sich die EU überhaupt der Regulierung dieser Technologie annimmt. Wie allerdings die Kritik von verschiedenen Seiten zeigt, muss eine Regulierung von KI genug Freiraum für Innovationen lassen und KI-Anwendungen in alltäglichen Bereichen ermöglichen, aber gleichzeitig in grundrechtssensiblen Bereichen einen wirksamen Schutz bieten und Regeln auch durchsetzungsfähig gestalten. Mit starren Verboten von KI-Anwendungen wird dies nicht zu erreichen sein. Der von der EU-Kommission mit dem Verordnungsentwurf gewählte Weg des flexibleren, risikobasierten Ansatzes und dem Schwerpunkt auf einer strengen Regulierung von hochriskanten KI-Systemen ist grundsätzlich positiv zu bewerten – solange gleichzeitigen genug Freiraum für weniger risikoreiche Anwendungen bestehen bleibt. Dafür, dass es am Ende der erhoffte große Wurf wird, werden also in erster Linie eine sorgfältig austarierte Klassifizierung der KI-Systeme und sinnvolle Regularien, deren Einhaltung auch überprüft werden kann, entscheidend sein.

Jedenfalls steht der EU bis zu dem Erreichen einer endgültigen Regelung ohne Zweifel noch eine Mammutaufgabe bevor: Der Verordnungsentwurf muss im Gesetzgebungsverfahren nun durch das Europäische Parlament und den Rat der Europäischen Union, die er nicht ohne Änderungen und höchstwahrscheinlich erst nach monatelangem zähem Ringen passieren dürfte.