Digitales Business ist überall, Plattform- und Datenökonomie stellen die Grundlagen für viele erfolgreiche Geschäftsmodelle. Der Gesetzgeber hat insbesondere auf europäischer Ebene relativ lange gebraucht, die Notwendigkeit und den Inhalt entsprechender rechtlicher Rahmenbedingungen für diese digitalen Geschäftsmodelle zu evaluieren. Neben den großen Eckpfeilern Daten und Sicherheit fehlte bislang eine Regelung der als zukunftsträchtig und kritisch gleichermaßen wahrgenommenen Künstlichen Intelligenz.
Hierzu hat die EU im April dieses Jahres den Verordnungsentwurf zur Benutzung von KI vorgelegt. Dieser neue Regulierungsrahmen für die EU wird seitdem teilweise heftig und kontrovers diskutiert. So wurde zuletzt in einem kürzlich veröffentlichten Entwurfsbericht des AIDA Ausschusses (Comittee on Artificial Intelligence in the Digital Age), der sich mit dem Verordnungsentwurf befasst, die Debatte zur Definition und Regulierung von KI neu befeuert.
Die Zeit drängt: Im Mai 2022 will das EU-Plenum über den Bericht mit seinen vorgeschlagenen Änderungen debattieren und abstimmen. Bis dahin sind entsprechende Rückmeldungen der Wirtschaft, der Verbände und der Politik möglich. Änderungen und Anpassungen sind zwingend notwendig: In ihrer jetzigen Form kann die Verordnung für erhebliche Showstopper in der Wirtschaft sorgen. Die Folge: Die EU droht noch weiter im globalen Wettlauf zurückzufallen und ihre Wettbewerbsfähigkeit dauerhaft zu verlieren.
Im Verordnungsentwurf sind folgende Punkte als problematisch einzuordnen:
- eine zu weite Definition von KI
- mangelhafte Praktikabilität, Effizienz und Notwendigkeit
- hoher Regulierungsaufwand
- zu fragmentiert und schwerfällig
- allgemeine Standards fehlen
- Verlagerung von Herstellerpflichten
- innovative Systeme werden ausgebremst
KI ist zu weit und zu unspezifisch definiert
In ihrer jetzigen Verordnungsform ist die KI zu weit und damit zu unspezifisch definiert. Das führt im Ergebnis dazu, dass selbst einfache Algorithmen einer Software als ein System Künstlicher Intelligenz definiert werden, beispielsweise jede automatische Fehlerkontrolle am Produktionsband oder die Emailzuordnung im zentralen Posteingang eines Unternehmens.
Art. 3 des Entwurfs definiert KI als Software, die mit einer oder mehreren der in Anhang 1 der Verordnung aufgezählten Techniken zur Erreichung eines von Menschen definierten Ziels entwickelt wurde. Somit kann KI sowohl in einem Produkt integriert sein als auch als Stand-alone-Software vorliegen. Bei der weiten Definition von KI im Verordnungsentwurf der Kommission zeigen sich die Probleme des Gesetzgebers, die Technologie rechtlich greifbar zu machen.
In der Konsequenz ergibt sich durch die weite Definition auf logik- und wissensbasierte Vorgehensweisen, dass jede Programmiersprache sowie darauf basierende Programmierungen erfasst sind. Dies ist auch dann der Fall, wenn darin kein autonomes oder evolvierendes Element enthalten ist, sondern lediglich die Programmierlogik abgebildet wird.
Ebenso wird bei statistischen Ansätzen, wie beispielsweise der Zuordnungsfunktion von Emails im iPhone, diese als KI eingestuft. Daraus ergeben sich neue einzuhaltende Regularien, die an Praktikabilität, Effizienz und Notwendigkeit zweifeln lassen. Hier schlägt die AIDA-Kommission vor, KI nicht als Technologie zu regulieren, sondern die Risikoabschätzung abhängig von Art, Intensität und Zeitpunkt der Regulierungsmaßnahmen bei einer bestimmen Nutzung des KI-Systems vorzunehmen.
Bezogen auf autonome KI-Systeme besteht beim Verordnungsentwurf vor allem im Gesundheitssektor ein Widerspruch zu den Informationspflichten, die sich aus der Datenschutzgrundverordnung (DSGVO) ergeben. Dies käme gerade nicht dem Ziel der Förderung der Rechtssicherheit zugute. Hier würde auf Unternehmen ein hoher Regulierungsaufwand zukommen, der auch finanziell nicht zu unterschätzen ist. Dem Vorschlag der dynamischen Rechtsetzung kann hier nur zugestimmt werden.
Der aktuelle Vorschlag ist zu fragmentiert und schwerfällig. Es sollten nur risikoreiche Anwendungen streng reguliert werden, Verwaltungsprozesse beschleunigt und regulatorische Belastungen vermeiden werden.
Normungsprozess eher hinderlich
Ein weiterer Schwachpunkt des Verordnungsentwurfs liegt darin, dass die aus anderen Produktrechtsbereichen bekannte Systematik harmonisierter Normen und Standards übernommen wird. Dieses System ist ohne Frage eine industrielle Erfolgsgeschichte, die eine hohe Effektivität und Kosteneffizienz in der europäischen Industrie erzeugt hat. Voraussetzung hierfür ist ein hoher Reifegrad in der jeweiligen Industrie, der eine Standardisierung ermöglicht. In hoch volatilen und innovativen Prozessen ist ein Normungsprozess jedoch kaum möglich und eher hinderlich.
Die Vorgehensweise sollte so angepasst werden, dass der Schnelligkeit der Technologieentwicklung entsprechend auch Harmonisierungsvorschriften erlassen und veröffentlicht werden können. Denn bisher ist schon ein Stau bei der Veröffentlichung harmonisierter Normen entstanden. In der Praxis kann ein Konformitätsbewertungsverfahren unter Beteiligung einer dritten Partei, der so genannten anerkannten Stelle, ohne Harmonisierungsvorschriften jedoch nicht durchgeführt werden. Hier verhindert das Fehlen eines allgemeinen Standards neben der Entwicklung standardisierter KI-Produkte auch die Entwicklung innovativer neuer Systeme, die durch den Mangel an Experten verstärkt wird.
In der Praxis ist zudem zu erwarten, dass sich die aus der Verordnung ergebenen Pflichten für Hersteller vor allem auf die anderen Wirtschaftsakteure verlagern, wenn der tatsächliche Hersteller nicht in der EU sitzt. Dies dürfte in der Regel bei Produkten mit integriertem System der Fall sein. Somit müssten insbesondere Betreiber in der EU, aber auch Akteure in der Lieferkette die kompletten Pflichten der KI-Verordnung übernehmen. Das dürfte überwiegend nicht möglich sein.
Zusammenfassend heißt dies: Die aufgegriffenen Punkte zeigen in der Gesamtschau die Schwierigkeit, Technologieförderung und Regulierung im richtigen Maß auszubalancieren. Dies schlägt sich beispielsweise in dem deutlich zu weiten Definitionsraum und den komplexen Anforderungen auch an normale Systeme mit künstlicher Intelligenz nieder.
Im Rahmen des Gesetzgebungsprozesses zur DSGVO hat sich die deutsche Wirtschaft zu wenig eingebracht, um die Regelungen, die auf die Einhaltung feinst ziselierter Formalien zugeschnitten sind, entsprechend anzupassen. Das sollte bei der KI-Verordnung nicht erneut passieren, wenn man eine innovative Software- und Digitalisierungsbranche in Deutschland und der EU unterstützen, fördern und auf Dauer behalten will.
Philipp Reusch ist Rechtsanwalt, Founding Partner und Head of Regulatory Affairs & Marktmaßnahmen bei reuschlaw Legal Consultants in Berlin und Saarbrücken.
