Künstliche Intelligenz ist seit der Veröffentlichung von ChatGPT im November 2022 in aller Munde. Auch wenn die dahinter liegenden Techniken und Strukturen schon deutlich länger im Einsatz sind, hat sich durch ChatGPT ein öffentliches Bewusstsein ergeben. Damit ist auch ein Regulierungsbedürfnis entstanden. Die vorhandene Regulierungslücke wird von der EU als Vorreiter gefüllt. Sehr zeitnah ist der Praxisleitfaden erschienen. Die KI-Verordnung ist Anfang August in der Europäischen Union in Kraft getreten, kurz danach ist der Leitfaden erschienen, der sich an Praktikerinnen und Praktiker in den Unternehmen wendet. Damit erhalten Unternehmen einen zeitlichen Vorlauf, den sie nutzen können, um sich auf die vollständige Anwendbarkeit der Richtlinie ab August 2026 vorzubereiten.

Das regulatorische Problem der KI ist die Undurchsichtigkeit und Unvorhersehbarkeit der Ergebnisse, wie sie sich aus großen Sprachmodellen wie ChatGPT ergeben können. Dies liegt an der zugrunde liegenden Technik: Die Sprachmodelle suchen nach dem wahrscheinlichsten nächsten Wort in einem Text, wobei sie die Quellen aus dem Internet zur Hilfe nehmen. Diese Technik wird ständig verbessert, die Wahrscheinlichkeitsberechnung immer besser, daher spricht man von lernenden Systemen. Zu Recht schreiben die Autoren, dass sich Zukunftsprognosen über die Entwicklung hin zu neuen Techniken im Moment so gut wie nicht seriös abgeben lassen. Zum einen kann heute weit verfügbare KI Dinge, die noch vor 20 Jahren als Science-Fiction galten. Zum anderen ist die dahinterstehende Technologie seit 50 Jahren bekannt und im Einsatz.

Da die verwendete Technologie keineswegs so revolutionär ist, wie häufig kolportiert wird, ist die Definition von künstlicher Intelligenz sehr wichtig. Die EU hat sich für eine breite Definition entschieden, die auf früheren Ansätzen der OECD basiert. Hier sind sechs Merkmale benannt, die erfüllt sein müssen: Das System muss für einen wechselseitig autonomen Betrieb ausgelegt sein, das nach der Einführung immer noch anpassungsfähig sein muss, und das aus den erhaltenen Eingaben für explizite und implizite Ziele ableitet, wobei die physische oder virtuelle Umgebung beeinflusst werden kann. Die EU-Kommission wird diese Leitlinien noch durch Leitlinien präzisieren.

Im Folgenden beschreibt das Buch das risikobasierte Regulierungskonzept der EU. So gibt es verbotene KI-Systeme, deren Einsatz nach dem Willen der EU unannehmbare Risiken mit sich bringen. Dies sind KI-Systeme, die auf wesentliche Manipulationen ausgelegt sind und zu wesentlichen Verhaltensänderungen beitragen. Ebenfalls verboten sind, Systeme, die das soziale Verhalten von Menschen beurteilen (Social Scoring). Umstritten in der Diskussion war das Verbot von Systemen zur prädiktiven Polizeiarbeit. Diese Systeme sind immer dann verboten, wenn sie personenbezogen sind.

Die besonderen Regeln sind von KI-Systemen einzuhalten, die hochrisikoreich sind. Diese haben hohe Risiken, die aber der Gesetzgeber noch für annehmbar hält. Ziel der Regulierung ist es, dass die Grundrechte und die Werte der EU eingehalten werden können. Daneben gibt es KI-Systeme, die nicht unter die Verordnung fallen. Dies sind solche, denen der Gesetzgeber kein oder nur ein sehr überschaubares Risiko zumisst.

Im weiteren Verlauf zeichnet der Band nach, wie die Verantwortlichkeiten anhand der Wertschöpfungskette zuzuordnen sind und welche Beziehungen zu anderen Rechtsgebieten (dem Datenrecht, dem Urheberrecht, dem Schutz von Geschäftsgeheimnissen, dem Arbeitsrecht, dem Jugendschutz und dem Medienrecht) bestehen.

Insgesamt ein sehr hilfreicher Leitfaden. An manchen Stellen merkt man, in der Natur der Sache liegend, dass die Dinge noch nicht abschließend geklärt sind. Teilweise muss der Gesetzgeber noch nachliefern, um die notwendigen Präzisierungen zu realisieren. An anderer Stelle muss sich erst eine Praxis entwickeln, die zu den sich ständig wandelnden technischen Möglichkeiten passt.

Prof. Dr. Stefan Behringer, Hochschule Luzern

Quelle: ZRFC Risk, Fraud & Compliance Ausgabe 1/2025