Deutschlands Datenschützer lehnen KI-Selbstregulierung ab​

Rechtsunsicherheit bei Künstlicher Intelligenz schadet Bürgern und Unternehmen. Darauf weist die Konferenz der Datenschutzbehörden des Bundes und der Länder (DSK) hin. Entsprechend fordert sie, dass in der geplanten EU-Verordnung für Künstliche Intelligenz eine "sachgerechte Zuweisung von Verantwortlichkeiten" entlang der gesamten Wertschöpfungskette vorgenommen wird. Zu Deutsch: Firmen brauchen klare Vorgaben für ihre rechtliche Verantwortung, "damit die Risiken von KI beherrschbar bleiben".

Die EU-Verordnung sollte daher für alle Beteiligten – auch für Hersteller und Anbieter von Basismodellen wie GPT, LaMDA oder LLaMA – festlegen, welche Anforderungen sie erfüllen müssen. Die DSK stellt sich mit ihrem Appell gegen die Bundesregierung. Die Regierungen Deutschlands, Frankreichs und Italiens werben für ein sanktionsloses Konzept der Selbstregulierung bei KI-Modellen, die auf breiter Datenbasis trainiert wurden und an eine breite Palette unterschiedlicher Aufgaben angepasst werden können.

Betreiber wie Open AI, Google oder Meta sollen nach Ansicht der drei Regierungen nur zu technischer Dokumentation verpflichtet werden, die grundlegende Informationen über die Modelle für ein breites Publikum zusammenfasst. Bei der spanischen Präsidentschaft des Ministerrats und im EU-Parlament kommt diese Initiative aber nicht gut an. Die Abgeordneten wollen, dass die Anbieter bestimmte Mindestanforderungen erfüllen müssen rund um Datenqualität, Erklärbarkeitt, Nachhaltigkeit und Cybersicherheit.

"Eine einseitige Verschiebung der rechtlichen Verantwortung auf die letzten Stufen der Wertschöpfungskette wäre datenschutzrechtlich und wirtschaftlich die falsche Wahl", hebt nun auch die DSK hervor. "Nur mit der notwendigen Vertrauenswürdigkeit wird es eine hohe Akzeptanz für die mit KI verbundenen Chancen geben." Könnten von einem KI-System bestimmte Risiken ausgehen, dürfen Vorschriften zum Umgang damit keine verantwortungsfreien Räume entstehen lassen. Betreiber und Nutzer von KI-Anwendungen müssten verlässliche "Informationen über die Funktionsweisen, die in das KI-Training eingegangenen Daten sowie die Optimierungsziele erhalten". Nur so könnten sie die mit den Systemen verknüpften Gefahren korrekt identifizieren. Dies sei nötig für Datenschutz-Folgenabschätzungen sowie für das Erfüllen der Vorgabe zu Privacy by Design und Default.

Kompromiss gesucht

Die Verhandlungen über den europäischen "AI Act" zwischen Ministerrat, Parlament und Kommission im sogenannten Trilog sollen am 6. Dezember abgeschlossen werden. Dragoș Tudorache, einer der Chefunterhändler der Abgeordneten, sprach am Mittwoch in Brüssel von einer 50:50-Chance, bis dahin einen Kompromiss zu finden. Der Rumäne erklärte, die Entwicklung von Basismodellen sei nicht der Schwerpunkt für die europäische Wirtschaft, da es sich um einen sehr energie- und rechenintensiven Prozess handle. In Europa stünden Anwendungen im Vordergrund. Ein Mittelweg könnte laut Ratsspitze sein, für kleinere Basismodelle Ausnahmen vorzusehen.

Ein weiterer großer Streitpunkt ist ein Verbot biometrischer Massenüberwachung etwa mithilfe automatisierter Gesichtserkennung in Bereichen wie der Strafverfolgung. Das Europäische Parlament will ein solches Verbot in der Verordnung verankern, die EU-Staaten sind hingegen für biometrische Massenüberwachung. Ein Bündnis zivilgesellschaftlicher Organisationen, darunter European Digital Rights (EDRi), forderte am Mittwoch erneut, Techniken zur bbiometrischen Fernidentifizierung vollständig aus dem öffentlichen Raum zu verbannen. Ausnahmen für Fahnder oder Grenzschützer dürfe es nicht geben. Die Verhandlungsführer des Parlaments haben allerdings schon erste Zugeständnisse für Gesichtserkennung gemacht.

(ds)