KI-Verordnung der EU ist fast fertig – Experten kritisieren Regeln für Gesichtserkennung

Die EU-Verordnung, die einheitliche Regeln für Künstliche Intelligenz festlegen soll, ist auf der Zielgeraden. Diese Woche wurde der Verordnungstext des AI Act vorab veröffentlicht, auf den sich EU-Parlament, Mitgliedsländer und Kommission geeinigt haben - und wie er wahrscheinlich verabschiedet werden wird. Bei einer Konferenz des Science Media Centers für Journalisten haben Experten die jüngsten Änderungen eingeordnet und einen Ausblick gegeben, wie es mit der Verordnung weitergeht.

Insgesamt zufrieden mit dem Ergebnis ist Philipp Hacker, Professor für Recht und Ethik der digitalen Gesellschaft an der Viadrina-Uni in Frankfurt (Oder). Der Entwurf sei ein politischer Kompromiss und als solcher nicht perfekt. "Wir stehen mit dem Text aber besser da als ohne." Für umfangreiche KI-Basismodelle wie ChatGPT (Foundation Models), auf denen andere Anwendungen aufbauen, gebe es künftig maßvolle Sicherheitsvorschriften.

KI-Verordnung: Bei Gesichtserkennung mit Künstlicher Intelligenz droht Missbrauch

Kritisch sieht der Experte, dass die Regeln für die Gesichtserkennung aus der Ferne, etwa bei Kameraüberwachung in Echtzeit, aufgeweicht wurden. Zwar regele die KI-Verordnung, dass personenbezogene Daten und politische Freiheiten besonders geschützt werden müssen. Allerdings sollen nationale Behörden kontrollieren, ob die Spielregeln eingehalten werden. "Eine unabhängige europäische Aufsicht ist nicht gewährleistet."

In Ländern mit Problemen bei der Rechtsstaatlichkeit, wie Ungarn, könne das für Probleme sorgen - etwa wenn eine nicht unabhängige Behörde verhindern soll, dass die Polizei Oppositionelle ausfindig macht und brandmarkt. "Da ist Missbrauch Tür und Tor geöffnet." Außerdem dürfen Verwaltungsbehörden die Echtzeitüberwachung erlauben, nicht etwa die Justiz.

Noch weniger Vorgaben gelten, wenn Menschen nachträglich per Gesichtserkennung auf Kameraaufnahmen ausfindig gemacht werden sollen. Es gebe lediglich ein Verbot, wahllos zu überwachen und die Maßgabe, dass Behörden verhältnismäßig vorgehen müssen, für Philipp Hacker eine "viel zu schwache" Regelung. Dennoch seien die neuen Mindestvorschriften besser als nichts, lautet sein Fazit.

Für Hochrisiko-KI gibt es Ausnahmen

Eine überraschende Änderung in dem nun veröffentlichten Text sind längere Übergangsfristen. Für Basis-KI-Modelle, die schon auf dem Markt sind, gelten nun zwei Jahre, bis sie die Regeln der KI-Verordnung umsetzen müssen. Dadurch würden etablierte Anbieter bevorzugt, kritisiert Hacker.

Noch fragwürdiger findet er aber, dass Hochrisiko-KI, die schon auf dem Markt ist, vom AI Act komplett ausgenommen ist, sofern sie nicht signifikant verändert wird. "Das entspricht eigentlich nicht den Prinzipien des Sicherheitsrechts", sagt Hacker. Bei Produkten sei es normal, dass sich Hersteller an neue Vorgaben anpassen müssen.

Forschung ist trotz AI Act kein Problem – aber was ist mit kleinen Unternehmen?

Licht und Schatten beim AI Act sieht auch Björn Ommer, Erfinder der Bild-KI Stable Diffusion und Leiter der Forschungsgruppe Computer Vision & Learning an der LMU München. Es sei sehr zu begrüßen, dass die Verordnung für mehr Rechtssicherheit und Transparenz sorgen soll. Die KI-Forschung sei von den Vorgaben überhaupt nicht beeinträchtigt, schon allein wegen der im Grundgesetz garantierten Forschungsfreiheit.

Allerdings sieht Ommer die Regelungen besonders für kleine Firmen kritisch. Große Firmen könnten es sich leisten, die Transparenz- und Berichtspflichten der KI-Verordnung zu erfüllen. "Aber wie sieht es mit kleineren Firmen aus?" Außerdem hofft der Experte, dass mit dem AI Act Verstöße künftig auch besser bestraft werden können.

KI-Verordnung der EU könnte im Sommer in Kraft treten

Hacker hofft hier auf das KI-Büro, die neue EU-Behörde, die darüber wachen soll, dass die Regeln eingehalten werden. Sie müsse möglichst schnell Beispiele geben, was im Rahmen der KI-Verordnung erlaubt ist und was nicht. "Das muss stehen, bevor der AI Act in Kraft tritt."

Denn die Zeit drängt: Wenn die KI-Verordnung in der jetzt bekannten Form verabschiedet wird, tritt sie voraussichtlich im Sommer in Kraft. Ein halbes Jahr später seien dann die verbotenen KI-Praktiken nicht mehr erlaubt, ein Jahr später gelten die Regeln für umfangreiche KI-Basismodelle. Für Hochrisiko-Anwendungen beträgt die Frist 24 Monate. "Das ist nicht lang", sagt Hacker.

Deutschland, Frankreich und Italien hatten für weniger strenge Vorgaben geworben

Aber: Ob die KI-Verordnung überhaupt schnell verabschiedet wird, war zuletzt fraglich. Deutschland, Frankreich und Italien hatten eine Einigung blockiert. Digitalminister Volker Wissing (FDP) und seine europäischen Kollegen wollten ChatGPT und andere Basismodelle gar nicht gesetzlich regulieren, sondern nur über eine Selbstverpflichtung.

Denkbar wäre für die Experten, dass die Verordnung deshalb nochmal vertagt wird. Gleichwohl finden im Juni die EU-Wahlen statt. Kommt der AI Act nicht jetzt, komme er vielleicht sehr viel später oder gar nicht mehr. Philipp Hacker glaubt deshalb nicht, dass die Bundesregierung in die Fundamentalopposition geht. "Das wäre schon ein schwerer Affront gegen die europäischen Partner."