KI-Verordnung: Zwischen Selbstverpflichtung und klaren Verantwortlichkeiten

Seit April 2021 wird in Brüssel ein Rechtsrahmen für KI, der Artificial Intelligence Act (AI Act), verhandelt. Dieser soll Regeln und Qualitätsvorgaben für Betreiber von KI-Systemen definieren. Der Rat hatte sich bereits am 6. Dezember 2022 auf eine Position zum AI Act geeinigt. Das Europäische Parlament folgte am 14. Juni 2023. Im Rahmen der Trilog-Verhandlungen fand am 24. Oktober 2023 die entscheidende Verhandlung zwischen Rat, Europäischem Parlament und Europäischer Kommission statt. Eine Einigung soll bis Ende 2023 erfolgen.

Jetzt scheine die Diskussionen über einen europäischen Rechtsrahmen für Künstliche Intelligenz (KI) einen kritischen Punkt zu erreichen. Im Trilog zwischen der Europäischen Kommission, dem Parlament und dem Rat hatte das Europäische Parlament am 14. Juni 2023 bedeutende Änderungen am Entwurf gefordert. Ein zentraler Punkt ist die Einbeziehung von Basismodellen, KI-Systemen, die auf breiten Datensätzen basieren und für verschiedene Aufgaben angepasst werden können.

Das Parlament schlägt vor, dass Anbieter von Basismodellen Mindestanforderungen erfüllen sollten, einschließlich Datenqualität, Erklärbarkeit und Cybersicherheit. Allerdings haben Deutschland, Frankreich und Italien in einem Positionspapier gegen verbindliche Vorgaben für Basismodelle plädiert und stattdessen ein Konzept der Selbstregulierung vorgeschlagen.

Die Datenschutzaufsichtsbehörden (DSK) betonen die Notwendigkeit einer klaren Zuweisung von Verantwortlichkeiten entlang der gesamten KI-Wertschöpfungskette im geplanten europäischen KI-Gesetz. Dies sei entscheidend, um die Grundrechte der Betroffenen zu schützen. Ähnliche Forderungen hatte bereits auch der die Verbraucherzentrale Bundesverband (vzbv) aufgestellt. Rechtsunsicherheiten könnten besonders kleinen und mittleren Unternehmen schaden, die die Hauptlast der rechtlichen Verantwortung tragen. Die KI-Verordnung sollte klare Regeln für alle Beteiligten, einschließlich Hersteller von Basismodellen, festlegen, um die beherrschbare Nutzung von KI zu gewährleisten. Eine einseitige Verlagerung der rechtlichen Verantwortung auf spätere Stufen der Wertschöpfungskette wäre datenschutzrechtlich und wirtschaftlich unangebracht.

Es müsse den KI-Betreibern und KI-Anwendern, darunter gerade auch den heimischen kleinen und mittleren Unternehmen, möglich sein, die Risiken korrekt zu identifizieren. Dies sei nicht nur Bedingung für Datenschutz-Folgenabschätzungen, sondern auch Grundlage, um die Anforderungen des Artikel 25 Datenschutz-Grundverordnung zu Datenschutz by Design und by Default zu erfüllen.