EU-Regeln für KI-Modelle: Wenn meine KI keinen Atomkrieg startet, darf sie dann rassistisch sein?

In Brüssel entsteht gerade ein Text, der genaue Regeln für große KI-Modelle wie GPT-4 festlegen soll. Da wundert man sich ein wenig: Moment, hat die EU nicht schon ein KI-Gesetz? Und ja, richtig, das ist die KI-Verordnung, die nach langem Hin und Her seit vergangenem Sommer gilt.

Zu KI-Modellen wie GPT-4 enthält dieses Gesetz jedoch nur vage Regeln. Unternehmen müssen etwa angeben, mit welchen Daten sie ihre Modelle trainiert haben oder „bewerten“, welche systemischen Risiken ihre Modelle hervorrufen könnten. Wie genau das aussehen soll?

Eine gute Frage, auf die momentan zwei verschiedene Antworten entstehen. Einerseits arbeiten gerade die europäischen Standardisierungsorganisationen CEN und CENELEC an einer technischen Norm. Das ist allerdings ein sehr aufwendiger Prozess, der sich wahrscheinlich noch eine ganze Weile hinziehen wird.

Andererseits soll deshalb in einigen Bereichen ein Praxisleitfaden als Übergangslösung herhalten. Den wiederum erarbeiten derzeit hunderte Fachleute unter der Schirmherrschaft des Europäischen Amtes für künstliche Intelligenz, einem neu eingerichteten EU-Kompetenzzentrum für KI.

Sonderstellung für große Unternehmen

Eine Sache ist aber klar: An beiden Verhandlungstischen sitzen eine Menge Vertreter:innen der großen Tech-Konzerne. Das beobachtet das Corporate Europe Observatory seit einiger Zeit kritisch. Die Lobbyist:innen hätten bei den Normen etwa ein Interesse daran, dass die EU eher schwache internationale Normen übernimmt, statt sich selbst neue auszudenken, so die Befürchtung.

Auch beim Praxisleitfaden gibt es für die Industrie einiges zu gewinnen. Die Regeln des Leitfadens sind zwar nur freiwillig. Wenn sich ein Unternehmen nicht an sie hält, muss die EU-Kommission jedoch bewerten, ob es die Regeln der KI-Verordnung angemessen durchsetzt – und wird sich dabei wahrscheinlich am Praxisleitfaden orientieren.

Die Arbeit am Leitfaden läuft seit Ende September. Die Kritik setzte schon davor ein: Vertreter:innen der Zivilgesellschaft fürchteten zunächst, dass die Kommission die KI-Unternehmen ihre Regeln einfach selbst schreiben lassen würde. Die überarbeitete daraufhin den Prozess. Der ist sehr komplex geraten, mit Plenarsitzungen, Arbeitsgruppen und kurzen Antwortfristen.

Am Anfang wollten sich mehr als 1.000 Personen beteiligen. Das führte in der Praxis dazu, dass Redezeiten oft sehr kurz waren oder man einfach nur per Emoji im Chat mitdiskutieren konnte, wie das Corporate Europe Observatory und LobbyControl in einem heute erschienen Bericht schildern. Der beschreibt, wie die Vertreter:innen von Big Tech-Unternehmen bevorzugten Zugang zum Prozess bekommen haben.

Unternehmen müssen Risiken mindern

Das bisherige Ergebnis dieses Prozesses ist ein inzwischen dritter Entwurf für den Leitfaden. Und an diesem gibt es, trotz der monatelangen Diskussionen, von vielen Seiten eine Menge Kritik.

Zentral ist dabei die Frage, auf welche Risiken die Anbieter von großen KI-Modellen achten sollen. Laut der KI-Verordnung müssen die Unternehmen die Risiken erfassen, die ihre Modelle verursachen könnten und diese ans KI-Amt der EU-Kommission melden. Außerdem sollen sie diese Risiken mit Maßnahmen mindern, die „in einem angemessenen Verhältnis“ zu den Risiken stehen.

Der Entwurf für den Leitfaden führt nun zwei Listen von möglichen Risiken ein. In der ersten Liste stehen Cyberangriffe, die Gefahr von Chemie- oder Atomangriffen, Manipulation durch ein KI-Modell oder gleich ein ganzer Kontrollverlust.

Zur Erinnerung: Es geht hier um KI-Modelle wie GPT-4 oder Deepseeks R1. Der Weg vom Chatbot zur Atomwaffe ist momentan noch etwas unklar. Trotzdem warnen einige prominente KI-Expert:innen seit Jahren vor solchen Gefahren.

Aber welche Risiken?

Das Problem ist aber auch eher die zweite Liste. In der stehen Risiken für die öffentliche Gesundheit, die Gesellschaft an sich oder für Grundrechte, etwa Diskriminierung, Meinungsfreiheit oder Datenschutz. Laut dem Entwurf sollen Unternehmen ihre Modelle immer auf die erste Liste prüfen müssen, aber auf die zweite nur, „wenn angemessen.“

Damit wäre es Unternehmen überlassen, ob sie diese Risiken prüfen und ihre Modelle dagegen schützen. Diskriminiert meine KI? Bedroht sie die Meinungsfreiheit oder verletzt sie den Datenschutz? Das zu überprüfen, wäre optional.

„Das beinhaltet auch die Präsenz von systematischer Diskriminierung oder Fake News, für die Systeme wie ChatGPT weit bekannt sind“, betont Blue Tiyavorabun. Tiyavorabun hat die Verhandlungen für EDRi, den EU-Dachverband der digitalen Zivilgesellschaft, mitverfolgt und wurde dabei immer mehr enttäuscht: „Aus einer Menschenrechtsperspektive wurde der Praxisleitfaden in der Entstehung immer weiter abgeschwächt“.

Weicht ab von der KI-Verordnung

Das hat bei einigen Europaabgeordneten, die die KI-Verordnung mit verhandelt haben, für Entgeisterung gesorgt. Sie haben deshalb der EU-Digitalkommissarin Henna Virkkunen im März einen Brief geschrieben, in dem sie ihre Bedenken schildern. „Es ist gefährlich, undemokratisch und schafft juristische Unsicherheit, einen Gesetzestext, auf den die Mitgesetzgeber sich geeinigt haben, jetzt durch einen Praxisleitfaden komplett neu zu interpretieren und einzuschränken“, warnen sie dort.

Dem hat sich auch eine Reihe an Organisationen aus der Zivilgesellschaft angeschlossen. Auch sie hätten die „schwersten Bedenken“ gegen jede Version des Leitfadens, für den Menschenrechte optional wären. Die Kommission soll deshalb im endgültigen Text die neue Unterscheidung zurücknehmen. Ansonsten könne der Leitfaden den Schutz von Menschenrechten zu einer reinen Geschäftsentscheidung werden lassen.

Am Montag redete Brando Benifei sich noch einmal den Ärger von der Seele. Der italienische Sozialdemokrat war einer der Chefverhandler des EU-Parlaments für die KI-Verordnung – hat also genau die Regeln mitgeschrieben, die er jetzt durch den Praxisleitfaden in Gefahr sieht. In einer Sitzung des Binnenmarktausschusses sagte er, große Bedenken gegenüber dem Schwenk zu weniger Verpflichtungen zu haben. Was als ausgewogener Prozess angefangen habe, drohe nun, in Richtung Industrie abzudriften.

Benifei hatte auch schon den Brief der Abgeordneten mitunterzeichnet. Am Montag kritisierte er neben den Regeln zu Grundrechten auch noch die Teile des Leitfadens, die sich mit Transparenz und mit dem Urheberrecht beschäftigen sollen. „Transparenz sollte nicht als Bürde gesehen werden“, mahnte er. Außerdem forderte er, dass Europas Kreativschaffende stärker vor möglichen Urheberrechtsverletzungen geschützt werden sollten.

Bald, aber wie bald?

Laut der KI-Verordnung sollte der fertige Text für den Leitfaden eigentlich bis Freitag vorgelegt werden. Das scheint inzwischen eher unwahrscheinlich. Der Text könnte sich um einige Wochen verschieben, vielleicht aber auch noch weiter.

EU-Kommission und die EU-Mitgliedstaaten wollen diesen Entwurf dann noch bewerten – wobei die Kommission wohl kaum einen Entwurf als misslungen einstufen wird, dessen Entstehung sie monatelang eng begleitet hat. Anschließend kann die Kommission den Leitfaden annehmen. Ob der Schutz von Grundrechten darin optional oder verpflichtend sind, wird sich noch zeigen.

Eine weitere offene Frage ist, welche der KI-Unternehmen das freiwillige Regelwerk dann auch tatsächlich unterzeichnen. Google und Meta haben den Leitfaden schon öffentlich kritisiert – weil er zu viele neue Regeln einführen würde.