Der Artificial Intelligence Act („AI-Act“) – ein Zwischenstand

Nachdem die Europäische Kommission („EU-Kommission“) am 21. April 2021 ihren Entwurf einer Verordnung zur Regulierung der Nutzung Künstlicher Intelligenz („KI“) veröffentlicht hat und der Ball nun im Spielfeld des Rats der Europäischen Union („Rat“) und des Europäischen Parlaments („EU-Parlament“) liegt, geht es in Brüssel nur langsam voran. Die Verhandlungen über die Details der Verordnung gestalten sich in beiden Institutionen aufgrund der hohen Komplexität erwartungsgemäß zäh, weder Rat noch EU-Parlament konnten sich bisher auf eine Position für den anstehenden Trilog einigen. Zuletzt scheint jedoch etwas Tempo in den Gesetzgebungsprozess zu kommen, weswegen ein kurzer Blick auf den aktuellen Stand des AI-Act durchaus lohnenswert ist.

Zwischenstand im EU-Parlament: Beginn der Debatten

Nachdem sich bisher hauptsächlich die maßgeblichen Parlamentsausschüsse „Internal Market and Consumer Protection“ (IMCO) und „Civil Liberties, Justice and Home Affairs“ (LIBE) mit dem Verordnungsentwurf beschäftigt hatten, führte das EU-Parlament am 5. Oktober 2022 seine erste Plenardebatte über den AI-Act, welche von EURACTIV begleitet wurde. Dabei wurde die Diskussion zunächst auf eher technische Aspekte der Verordnung beschränkt, in der Hoffnung, ein gewisses positives Momentum aufzubauen, bevor die politisch stärker umstrittenen Regelungsgegenstände angegangen werden sollten. So einigten sich die Abgeordneten auf Kompromisse zu Verfahrensvorschriften, Konformitätsbewertung, Standards und Zertifikaten sowie bestimmte Verpflichtungen für den Einsatz von Hochrisiko-Systemen. Der größere – und leidenschaftlicher geführte – Teil der Debatte in Straßburg war jedoch strittigen Themen gewidmet, wie dem Anwendungsbereich der KI-Verordnung oder dem Einsatz von biometrischen Erkennungssystemen.  Obwohl es hier bisher keine Einigung zu verzeichnen gibt, liegen interessante Kompromissvorschläge vor: 

Der Anwendungsbereich des AI-Act ist auch im EU-Parlament ein umstrittenes Thema. Die Berichterstatter der Ausschüsse schlugen eine Ausnahmeregelung für Behörden in Drittländern und internationale Organisationen vor, welche KI im Rahmen von Vereinbarungen über internationale oder justizielle Zusammenarbeit verwenden und einem Angemessenheitsbeschluss nach der Datenschutz-Grundverordnung oder einer Vereinbarung über Grundrechte unterliegen. Auch reine Forschungs- und Entwicklungsaktivitäten sollen nicht erfasst werden. 

Bezüglich biometrischer Erkennungssysteme, dem wohl größten Streitpunkt, sah die EU-Kommission in ihrem Erstentwurf vor, Echtzeit-Fernerkennungssysteme im öffentlichen Raum zur biometrischen Identifizierung von Personen zum Zweck der Strafverfolgung zu verbieten. Das Verbot enthielt jedoch einige Ausnahmen, etwa für die Identifikation von Entführungsopfern und Kriminellen oder der Abwehr von unmittelbaren Bedrohungen wie Terroranschlägen, was nach Ansicht vieler Abgeordneter die Tür zu einer generellen Überwachung der Bevölkerung öffnen könnte. Der Änderungsvorschlag der Berichterstatter soll daher ein umfassendes Verbot beinhalten. Außerdem entfernt er den Verweis auf „Echtzeit“ und erweitert das Verbot damit auf die nachträgliche Identifizierung von Personen, was einige der umstrittensten Fälle, wie etwa das sogenannte Face-Scraping, betrifft. Überdies soll das Verbot nun nicht mehr nur für den öffentlichen, sondern auch für den privaten Bereich – offline wie online – gelten. Ob sich bezüglich dieser Änderungsvorschläge Mehrheiten finden werden, bleibt abzuwarten. Beobachter sind allerdings optimistisch, denn das vollständige Verbot würde einer Resolution entsprechen, welche im Oktober 2021 bereits angenommen wurde.

Zwischenstand im Rat: Neuer Kompromissvorschlag

Auch auf Seiten des Rats gibt es Neuigkeiten: Am 6. Dezember 2022 soll eine gemeinsame Position der Mitgliedstaaten für die ausstehenden Trilog-Verhandlungen mit dem EU-Parlament und der EU-Kommission gefunden werden. Hierfür hat die tschechische Ratspräsidentschaft Mitte September 2022 Teile eines neuen Kompromissvorschlags vorgelegt, welcher auf einem im Juli 2022 veröffentlichten Vorschlag basiert und versucht, die noch offenen Fragen im Zusammenhang mit der Einstufung von Hochrisikosystemen und den damit verbundenen Verpflichtungen für KI-Anbieter zu klären. Die entsprechenden Kompromissvorschläge sind online abrufbar. Obwohl das Grundgerüst des ursprünglichen Kommissionsentwurfs in ihnen nicht angetastet wurde, sind im Vorschlag der Minister zahlreiche Änderungen vorgesehen, wovon eine Auswahl der wichtigsten vorgestellt werden soll:

Eine fundamentale Änderung soll die Definition von KI-Systemen – und damit der sachliche Anwendungsbereich der Verordnung – erfahren. Um den Bedenken vieler Mitgliedstaaten Rechnung zu tragen, welche der Ansicht waren, dass die Definition eines KI-Systems aus dem Kommissionsentwurf mehrdeutig und zu weit gefasst sei und keine hinreichend klaren Kriterien für die Unterscheidung zwischen KI und klassischen Softwaresystemen enthalte, hat der tschechische Ratsvorsitz eine gänzlich neue Fassung der Definition vorgeschlagen, welche sich auf Systeme beschränkt, die durch maschinelle Lerntechniken und wissensbasierte Ansätze entwickelt wurden. Zusätzlich wurde das Konzept der Autonomie in die Definition aufgenommen. Um Forschungs- und Entwicklungstätigkeit nicht zu beeinträchtigen, sollen nach dem Kompromissvorschlag KI-Systeme für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung aus dem Anwendungsbereich des AI-Act herausgenommen werden.

Eine entscheidende Änderung soll auch die Klassifizierung der KI-Systeme erfahren: Die in Anhang III aufgelisteten KI-Systeme sollen nur noch dann als Hochrisiko-Systeme gelten, wenn die Ergebnisse des Systems im Hinblick auf die zu treffende Maßnahme oder Entscheidung nicht rein nebensächlich sind und deshalb zu einem erheblichen Risiko für die Gesundheit, die Sicherheit oder die Grundrechte betroffener Personen führen können. Eine entsprechende Konkretisierung soll durch die EU-Kommission erfolgen. Auch die in Anhang III aufgeführten Hochrisikokategorien selbst wurden umgestaltet: So wurden beispielsweise Streichungen in den Bereichen Versicherung, biometrische Kategorisierung, Umweltschutz und Aufdeckung von Fälschungen vorgenommen.

Weitere Änderungen gab es im Bereich der Regulierung von KI-Systemen: So wurde etwa den zuständigen nationalen Behörden mehr Spielraum bei der Beurteilung eingeräumt, inwieweit technische Dokumentation für kleine und mittlere Unternehmen, welche Hochrisiko-Systeme bereitstellen, erforderlich ist. Des Weiteren soll das im Kommissionsentwurf vorgesehene Vier-Augen-Prinzip, also die Aufsicht von Hochrisiko-Systemen durch mindestens zwei Personen, für KI-Systeme im Bereich der Grenzkontrolle aufgehoben werden. In Bezug auf Finanzinstitute sieht der Kompromissvorschlag des Rats vor, dass das Qualitätsmanagementsystem für Hochrisiko-Systeme in ein bereits vorhandenes System integriert werden kann, um Doppelarbeit zu vermeiden. Gleiches gilt für Überwachungsbefugnisse im Rahmen der KI-Verordnung, welche in den bestehenden Aufsichtsmechanismus der EU-Finanzdienstleistungsgesetzgebung integriert werden können.

Der Europäische Ausschuss für Künstliche Intelligenz, welcher die nationalen Behörden bei der Umsetzung des AI-Act unterstützen soll, wurde in seiner Zusammensetzung dahingehend geändert, dass ihm nur Vertreter der Mitgliedstaaten angehören sollen. Daneben soll eine ständige Untergruppe eingerichtet werden, welche als Plattform für ein breites Spektrum von Interessengruppen dienen und auch bei der Ausarbeitung von Durchführungsrechtsakten konsultiert werden soll. Zudem soll die EU-Kommission verpflichtet werden, eine oder mehrere Prüfeinrichtungen auf EU-Ebene zu benennen, welche den Ausschuss oder die Marktaufsichtsbehörden technisch und wissenschaftlich beraten. Darüber hinaus könnte die Kommission einen weiteren Pool von unabhängigen Experten für die Beratung ihrer selbst sowie der nationalen Behörden einsetzen. Diese Änderungen sollen potentielle Durchsetzungsschwierigkeiten aufgrund unzureichender Kapazitäten oder unzureichenden Know-hows auf der Ebene der nationalen Behörden verhindern.

Zwischenstand in der Bundesregierung: Verspätete Stellungnahme 

Nach Angaben des Tagesspiegel hat die deutsche Bundesregierung mit immerhin drei Wochen Verspätung ihre Stellungnahme zum Kompromissvorschlag eingereicht, welche sich allerdings nur auf einen kleinen Teil der Regelungen bezieht. Eine weitere Stellungnahme zum Thema Verbot von KI-Systemen im Bereich biometrischer Überwachung behält sie sich ausdrücklich vor – es ist kein Geheimnis, dass sich insbesondere Vertreter von FDP und Grünen hier strengere Vorgaben wünschen.

Weniger erwünscht sind der Bundesregierung hingegen strenge Vorgaben beim Einsatz von KI-Systemen durch Strafverfolgungs-, Sicherheits-, Migrations- und Asylbehörden sowie Steuer- und Zollverwaltung: Für die Regulierung solcher hoheitlichen Aufgaben sei die KI-Verordnung nicht passend und ein gesonderter Technologierechtsakt vorzugswürdig. Jedenfalls solle es einige Erleichterung in diesem Bereich geben: KI-Systeme zur Bewertung der Zuverlässigkeit von Beweismitteln sollten nur dann als hochriskant eingestuft werden, wenn von ihnen eine Gefahr für Gesundheit, Sicherheit oder Grundrechte ausgehe. Auch die Hochrisiko-Einstufung von KI-basierter Profilerstellung durch Strafverfolgungsbehörden seien zu weitgehend, da dadurch die Verfolgung illegaler Finanztransaktionen behindert werden könne.

Transparenzpflichten dürften den Erfolg staatlicher Befugnisse zum KI-Einsatz durch eine Offenlegung von Einzelheiten der im Einsatz befindlichen KI-Anwendungen und ihrer Wirkungsweise nicht gefährden, weswegen Ausnahmen geboten sein könnten. Die vorgesehenen Prüfverfahren von KI-Systemen seien für den Bereich der Kriminalitätsbekämpfung zu langwierig, die vorgesehenen Ausnahmen nicht ausreichend. Deshalb solle es mehr Möglichkeiten für Behörden geben, fragliche KI-Systeme vorläufig einzuführen. Die Regeln zur menschlichen Aufsicht über Hochrisiko-Systeme gingen im Bereich der Strafverfolgung zu weit. Das Vier-Augen-Prinzip sei etwa dort nicht umzusetzen, wo auf Seiten der eingriffsbefugten Behörde bislang nur eine Person handele.

Striktere Vorschriften wünscht sich die Bundesregierung allerdings bezüglich der Qualität von Trainingsdaten. Hier müsse sichergestellt werden, dass die in der Verordnung angelegten Vorgaben jeweils dem aktuellen Stand der Technik und den aktuellen wissenschaftlichen Standards entsprechen.

Es geht voran – aber der Weg ist noch weit

Die neuen Kompromissvorschläge stimmen durchaus optimistisch. Zunächst ist bereits die rege Beteiligung positiv zu beurteilen. So war von über 3000 Änderungsanträgen in den führenden Parlamentsausschüssen die Rede. Was ebenfalls vielversprechend scheint: Bei genauerer Durchsicht fällt auf, dass sich einige Regelungen in den Kompromissvorschlägen (sowie der Stellungnahme der Bundesregierung) überschneiden, was nahelegt, dass damit tatsächlich Regelungslücken aus dem Kommissionsentwurf geschlossen werden könnten und der AI-Act aus dem Gesetzgebungsprozess als ein besseres Gesetz hervorgehen könnte. Frei nach dem Sprichwort „viele Köche verderben den Brei“ war dies in der Vergangenheit nicht immer der Fall. 

Allerdings dürfen die Annäherungen nicht darüber hinwegtäuschen, dass noch ein weiter Weg zu gehen ist. Denn bisher wird lediglich innerhalb der einzelnen Institutionen um einen gemeinsamen, abgestimmten Vorschlag gerungen. Wenn dieser schließlich gefunden ist, müssen sich EU-Kommission, EU-Parlament und Rat noch untereinander einig werden, was sich durchaus noch bis in den Sommer 2023 hinziehen könnte.