AI Act: Die EU reguliert sich selbst hinunter

Italien blockiert ChatGPT, in Deutschland wird darüber debattiert, und in den USA hat das Center for Artificial Intelligence and Digital Policy (CAIDP) Klage gegen OpenAI und sein neues AI-Modell GPT-4 eingereicht. Genau, Innovation und Tradition, Angriff und Verteidigung, Vollgas und Bremse. Wenn man die Kontinente auf den beiden Seiten einordnen müsste – Europa wäre nicht auf der Seite mit Innovation, Vollgas, Angriff. Derzeit wiederholt sich ein, Schema, das man schon kennen gelernt hat: In den USA prescht eine Firma vor, und in Europa wird ein Gesetz dagegen geschmiedet.

Derzeit geht es ganz stark um das von stark von Microsoft finanzierte Startup OpenAI. ChatGPT und GPT-4 mit seiner Integration in die Suchmaschine Bing und die Office-Software macht nicht nur Google nervös, sondern die komplette Politik- und Medienlandschaft in Europa. Sicher zurecht: ChatGPT lügt wie gedruckt, hebelt den Datenschutz auf neuartige Weise aus wie damals Social Media, stellt die Schule auf den Kopf, lädt zum Schummeln und Plagiieren ein und lässt Millionen Menschen um ihre Jobs fürchten.

Auf EU-Ebene will man das jetzt kurzerhand mit dem AI Act (für Liebhaber:innen: „Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften Für Künstliche Intelligenz“) in den Griff kriegen. Weil am AI Act seit 2021 gefeilt wird, war generative AI, wie sie aktuell in Form von ChatGPT, Dall-E, Midjourney, Stable Diffusion und Co. Furore sorgt, nicht wirklich am Radar. Deswegen versucht man jetzt noch schnell, diese Tools per Annex (Anhang) in die EU-Verordnung hinein zu pressen. Und da wird im Prinzip alles, was derzeit ehrfurchtsvoll bestaunt wird, im Handumdrehen zum Hochrisiko. Hier die Liste der geplanten „Hochrisiko-AI-Anwendungen“ zusätzlich zu jenen, die bereits definiert wurden (siehe ganz unten):

• biometrische Identifizierung und Kategorisierung durch biometrisch basierte Systeme (z.B. Apps wie Lensa betreffen, die Avatare auf der Grundlage des Gesichts einer Person erstellen kann)
• biometrische Identifizierung in Echtzeit in öffentlichen Bereichen soll komplett verboten werden
• die Zuweisung personalisierter Lernaufgaben auf der Grundlage der persönlichen Daten der Schüler:innen
• Algorithmen, die Entscheidungen im Zusammenhang mit der Anbahnung, Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses treffen oder unterstützen
• AI-Modelle zur Bewertung der Anspruchsberechtigung für Kranken- und Lebensversicherungen
• AI-Modelle betreffend Unterkunft, Strom, Heizung und Kühlung sowie Internet
• AI-Modelle, die vulnerable Gruppen (z.B. Kinder) betreffen
• KI-Anwendung, die die Wahlentscheidungen von Menschen beeinflussen könnte
• Jeder KI-generierte Text, der fälschlicherweise für einen von Menschen erstellten Text gehalten werden könnte, gilt als Risiko; es sei denn, er wird von Menschen überprüft und eine Person oder Organisation ist rechtlich dafür verantwortlich; würde ChatGPT, Jasper.ai, Bing Chat und Co. betreffen
• KI-generierte audio-visuelle Inhalte, die eine Person darstellen, die etwas tut oder sagt, was nie passiert ist; Ausnahme für offensichtliche Kunstwerke; AI-Dienste wie Vall-E (Microsoft), Dall-E (OpenAI), Stable Diffusion, Midjourney, Murf AI uvm. wären betroffen

Da fragt man sich: Was ist denn dann eigentlich nicht Hochrisiko? Wenn das so kommt, wie es die beiden Verhandlungsführer, die Abgeordneten Brando Benifei (Italien; Sozialdemokrat) und Dragoș Tudorache (Rumänien; Liberaldemokraten), vorgeschlagen haben, dann fallen im Prinzip alle neuen Generative-AI-Services in den Hochrisikobereich.

AI Act könnte ChatGPT, Lensa oder Vall-E als Hochrisiko einstufen

Auch DSGVO und Digital Services Act stoppten Facebook und Co. nicht

Und da muss man sich fragen: Würgt sich Europa damit selbst ab, schließt sich selbst von der nächsten Innovationswelle aus? Für AI-Anwendungen im Hochrisikobereich werden hohe Auflagen gelten, die wahrscheinlich nur große Corporates erfüllen können, nicht aber die Vielzahl der KMU und Startups, aus denen die europäische Wirtschaft besteht. Wird schon so sein, dass Microsoft und Google es bewerkstelligen, GPT-4 und LaMDA für Bing Chat bzw. Bard so einzurichten, dass sie die Dinger am Markt anbieten können. Die Handvoll europäischen Startups, wie etwa Aleph Alpha aus Heidelberg, die sowieso schon in der Unterzahl gegen die US-Riesen antreten, bekommen aber die gleichen Hürden, weil sie vermeintlich „Hochrisiko“ sind.

Die EU läuft Gefahr, vergangene Fehler zu wiederholen. Zwar werden neue Regelungen immer gerne als Vorreiterschaft verkauft, um die erste Weltregion mit Regulierung für neue Bereiche zu sein. In Wirklichkeit waren Verordnungen und Richtlinien für Technologie aber immer Reaktionen auf US-amerikanische Entwicklungen: Die DSGVO ist das vermeintliche Datenschutzbollwerk gegen Facebook und die anderen Datenkraken; die MiCA ist die Reaktion auf die Stablecoin-Bestrebungen von Facebook (Libra/Diem). Während die DSGVO den Normal-User:innen hauptsächlich viele Cookie-Banner brachte, muss MiCA erst beweisen, ob sie die EU wirklich zum Blockchain-Hub #1 machen kann – derzeit sieht es nicht unbedingt danach aus.

Nach den Erfahrungen der letzten Jahre müssen sich die Europäer:innen ernsthaft fragen, ob sie sich neuerlich nieder regulieren wollen. Die fünf, sechs dominierenden IT-Unternehmen mit AI-Power (Microsoft, Google, Meta, Amazon, Adobe, usw.) werden es schon schaffen, die Regulierungshürden entweder zu erfüllen oder sie clever zu umgehen. Die DSGVO hat Facebook auch nach fünf Jahre nach Inkrafttreten nicht gebändigt, noch immer muss der tapfere Max Schrems gegen den Giganten kämpfen.

Besser wäre es, KI den geltenden Regeln zu unterwerfen; wie Social Media darf sie den Datenschutz nicht verletzen, nicht Unwahrheiten verbreiten, niemand anderen verletzen, und die Unternehmen, die die AI-Tools anbieten, können mit saftigen Strafen ohnehin belangt werden. Dann vermeidet man auch, dass man AI-Anwendungen, die bei den Hausaufgaben helfen, nicht in den selben Topf wirft wie biometrische Identifikationssysteme an den EU-Außengrenzen. Nicht das Tool ist die Gefahr, sondern der Anwendungsbereich.

Stattdessen muss ermöglicht werden, dass kleine wie große Unternehmen sinnvoll und vertrauenswürdig mit AI arbeiten, und zwar nicht als Mitarbeiter:innen-Ersatz, sondern als cleveres Werkzeug, um produktiver zu werden. Österreich, Deutschland und alle anderen EU-Nationen stehen in immer schärferen Wettbewerb mit den USA und China – und die geben bei AI Stoff, und die EU nicht. Den Rest der Story, den kann man sich bereits ausrechnen.

Kritik an AI Act: „Echte KI-Strategie braucht enormen Geldsummen statt Überregulierung“