Standpunkte KI-Standards: Die EU darf es sich nicht zu leicht machen

Es soll der nächste große Wurf der EU werden: Die KI-Verordnung soll als internationales Vorbild für eine Regulierung von Künstlicher Intelligenz dienen, welche die Rechte jedes Einzelnen in den Mittelpunkt stellt. Nachdem das Europäische Parlament im Juni seinen Regelungsvorschlag beschlossen hat, verhandelt es nun mit dem Rat der EU und der Europäischen Kommission über noch offene strittige Punkte. Der Zeitdruck ist groß: Anfang 2024 soll das Gesetz stehen.

Zeitgleich zu diesen von Industrie und Öffentlichkeit interessiert verfolgten Trilog-Verhandlungen findet jedoch eine für die Regulierung von KI-Anwendungen mindestens genauso entscheidende Diskussion in einer bislang kaum beachteten Arena statt: Innerhalb der europäischen Standardisierungsorganisationen CEN und CENELEC diskutieren Expert:innen schon seit mehreren Jahren über technische Standards, mit denen die rechtlichen Vorgaben in präzise Anforderungen und Spezifikationen übersetzt werden sollen. Das betrifft in besonderer Weise auch die von der KI-Verordnung aufgeworfenen grundrechtlichen Fragen, wie etwa jene nach Fairness oder Transparenz.

Wie wichtig der Kommission die Standardisierung dieser KI-Anforderungen ist, lässt sich kaum übersehen: Sie selbst hat die Erarbeitung in Auftrag gegeben und vorgegeben, dass die technischen Spezifizierungen noch vor Inkrafttreten der KI-Verordnung, also voraussichtlich bis April 2025 fertiggestellt sein sollen. Damit das gelingt, hat sie noch vor der formellen Beauftragung einen Entwurf des späteren Standardisierungsauftrags veröffentlicht – CEN und CENELEC sollten so früh wie möglich mit ihrer Arbeit beginnen können.

Es stellt sich die Frage, ob die EU sich damit zu sehr aus der Entwicklung der konkreten Regularien zurückzieht. Der Normungsauftrag ist an zahlreichen Stellen so abstrakt formuliert, dass er für die Standardisierungsprozesse keinen ausreichend verbindlichen Rahmen setzt. So werden beispielsweise Standards für die Transparenz von KI-Systemen in Auftrag gegeben, eine genaue Beschreibung dessen, wann oder mit welchen Mitteln Transparenz erreicht werden kann, fehlt aber. Der Auftrag für Normen zu Robustheit ist nur einen Satz lang. Die Kommission lässt den beiden Expertengremien große Spielräume bei der Ausgestaltung der unterschiedlichen Standards. Dabei werden die privat organisierten Standardisierungsorganisationen CEN und CENELEC mit der faktischen Regulierung existenzieller Lebensbereiche beauftragt, etwa dem Einsatz von KI beim Zugang zu öffentlichen Leistungen, in der Polizei oder Justiz.

Ohne klare Anforderungen im Normungsauftrag durch die EU benötigen die Gremien daher so viel Expertise wie möglich. In der Theorie ist dies auch möglich: Die Standardisierungsorganisationen sind vom Staat unabhängige Diskussionsforen. Hier können und sollen all jene teilnehmen, die mit ihrer Expertise oder aufgrund ihres besonderen Interesses etwas zur Erarbeitung praktikabler Spezifikationen beitragen wollen.

In der Praxis gestalten diese Standardisierungsprozesse aber vor allem die Industrie und die internationalen Marktführer selbst. Zivilgesellschaftliche Akteur:innen haben es im Verlauf der vielen Arbeitsschritte der europäischen Normung dagegen oft schwer: Sich einzuarbeiten in komplexe technische Zusammenhänge ist sehr zeitintensiv – eine Ressource, welche die Zivilgesellschaft nicht hat. Die eigenen Argumente und Ideen zu verteidigen erfordert zudem ein Verständnis des Normungsprozesses, das häufig nicht ausreichend vorhanden ist. Die Folge ist oft eine entsprechend niedrige Beteiligung. Studien des Ada Lovelace Instituts und des Zentrums für vertrauenswürdige Künstliche Intelligenz zeigen auf, dass sich bisher auch bei der Standardisierung von KI-Systemen kein anderes Bild abzeichnet.

Man darf daher die Frage stellen, ob sich der europäische Gesetzgeber an dieser Stelle nicht zu sehr aus der Entwicklung der konkreten Regularien zurückzieht. Zwar hat die EU in der Vergangenheit gute Erfahrungen damit gemacht, die technische Übersetzung von rechtlichen Anforderungen an private Standardisierungsexpert:innen abzugeben. Weil die Herausforderungen rund um KI weit über reine Sicherheitsspezifikationen hinausgehen, darf es sich die EU mit Blick auf die Entwicklung harmonisierter Normen nicht zu leicht machen: Der unpräzise formulierte Standardisierungsauftrag und die mangelnde Beteiligung der Zivilgesellschaft können dazu führen, dass die entwickelten Standards den hohen Zielen der KI-Verordnung letztlich nicht genügen. Sie muss deshalb eine aktive Rolle im Standardisierungsprozess einnehmen.

Dafür braucht es zum einen eine aktive Förderung der europäischen Zivilgesellschaft. Diese muss inhaltlich wie finanziell dazu befähigt werden, in den kommenden Monaten wirkungsvoll an der Erarbeitung belastbarer Standards mitzuwirken. Ihre aktive Einbeziehung ist auch bei den zuständigen Standardisierungsgremien konkret einzufordern.

Zum anderen muss die EU-Kommission die Verfahren nutzen, die sie zur inhaltlichen Überprüfung und Abnahme harmonisierter Normen hat. Dazu gehört vor allem, dass sie sich bereits jetzt für angemessene Prüfungen der einmal entwickelten KI-Standards aufstellt, um fehlende Perspektiven ausgleichen zu können. Sollten die erarbeiteten KI-Standards sich tatsächlich nicht für eine Umsetzung der KI-Verordnung eignen, müssen sie außerdem durch präzise Durchführungsbeschlüsse ersetzt werden können (Art. 41 Abs. 1 KI-Verordnung).

Um dies zu vermeiden, sollte die Kommission schon jetzt aktiv werden, und ihren Standardisierungsauftrag nachschärfen. Das gilt insbesondere für jene erwähnten Themen, bei denen Grundrechte oder ethische Fragestellungen betroffen sind. Sie darf sich nicht damit begnügen, alle inhaltlichen Fragen auf die Standardisierungsorganisationen abzuwälzen. Nur, wenn die Qualität der KI-Standards gesichert ist, können sie auch wirklich helfen, die EU zu einem globalen Drehkreuz für vertrauenswürdige KI zu machen.

Matthieu Binder und Michael Puntschuh arbeiten im – vom unabhängigen Think Tank iRights.Lab verantworteten – Zentrum für vertrauenswürdige Künstliche Intelligenz (ZVKI) zur rechtlichen und technischen Regulierung von Künstlicher Intelligenz auf europäischer Ebene.