Europa feiert, der erste Kontinent mit AI-Regulierungen zu sein. In den EU AI Act sind eine Menge Technologieängste verpackt. Rahmenbedingungen für eine positive Entwicklung Europas als Technologietreiber sind nur schwer zu erkennen.

Eigentlich hätte es eine spannende Story werden können – aber niemand wollte sie spannend machen. Die Diskussion um den EU AI Act zog sich lange hin, immer wieder tauchten neue Aspekte auf und der AI-Hype des letzten Jahres schien dann alles über den Haufen zu werfen.

Lobbyisten standen Schlange, Google bemühte sich, die Europäische Union vor kritischen Fehlern zu bewahren (so schrieben es Google-Lobbyisten zumindest in sich an interne Audiences richtenden Memos), insgesamt listet Integrity Watch über 210 Lobbyisten-Termine rund um den AI Act im EU-Parlament. 

Was stand auf dem Spiel, wie sollte es weitergehen, was fehlte eigentlich noch zu einer Entscheidung? Diese Fragen habe ich dem Berichterstatter Dragos Tudorache vor einigen Monaten gestellt und insgeheim auf eine spannende Story rund um widerstreitende Interessen, neue Aspekte und politische Auseinandersetzungen mit vielschichtiger sich noch entwickelnder Technologie gehofft.

Tudoraches Antwort konnte allerdings langweiliger und ausweichender nicht sein. Der AI Act befinde sich im Prozess der EU-Gesetzgebung, werde weiter diskutiert und so bald wie möglich zur Abstimmung gebracht. Punkt. 

Jetzt liegt offenbar die Einigung auf dem Tisch. Und was war dabei so schwer? 

Die Ergebnisse verwirren auf den ersten Blick ein wenig. Die relevantesten Aspekte, die jetzt auch in den meisten Medienberichten referiert werden, betreffen den Schutz von Bürgern vor Überwachung und Manipulation – Themen, wie wir sie seit Vorratsdatenspeicherung, DSGVO und Whats App-Ver- oder Entschlüssungsdiskussionen kennen. Biometrische Identifikationssysteme sollen also nicht schrankenlos verwendet werden können. Social Scoring bleibt in der EU unerwünscht. BürgerInnen werden sich beschweren können.

Und sonst? Ich habe den Act durchgeblättert; hier sind einige Punkte, die mir besonders aufgefallen sind. Im AI Act werden viele Probleme von Technikgesetzgebung im allgemeinen offensichtlich. 

Recht beschreibt Abstraktionen, Technik schafft Fakten 

Gesetzgebung orientiert sich an erwünschten Zuständen und möchte Rahmenbedingungen gestalten, die diese Zustände ermöglichen. Technik dagegen schafft Fakten. Letztes kann gezielt oder unabsichtlich vonstatten gehen. Manchmal werden Projekte konzipiert und umgesetzt. Manchmal schafft Technik, manchmal auch ein Nebenprodukt technischer Entwicklungen, die Voraussetzungen, die andere Prozesse in Gang bringen oder sie zeitigen Ergebnisse, die in anderen Zusammenhängen verwendet werden können. Die besten Verschlüsselungssysteme etwa machen das Leben von Sicherheitsbehörden leichter, wenn sie selbst diese Toole verwenden. Aber sie machen ihnen das Leben zur Hölle, wenn sie von anderen verwendet werden. Und für Entschlüsselungssysteme gilt das gleiche. Wo soll Gesetzgebung hier ansetzen? 

Diese Unklarheit zieht sich durch den AI Act. Entwickler von high risk AI Anwendungen sollen ausschließen, dass diese missbräuchlich verwendet werden können. Wie lässt sich das feststellen? Wer ist verantwortlich für Missbrauch? Wer stellt Missbrauch einer in anderen Zusammenhängen nützlichen Lösung fest? Diese Abgrenzungen machen keinen Sinn, wenn nicht geklärt ist, in welcher Beziehung Technologie und Gesellschaft hier gesehen werden. Setzt Technologie Entwicklungen in Gang, die unaufhaltsam fortschreiten? Bestimmt also Technologie Gesellschaft, Kultur und Natur? Oder ist Technologie das Ergebnis sozialer Prozesse und dient zur Lösung von Problemen, die eben sozial relevant sind? Über technischen und sozialen Determinismus kann man lange streiten. Zuletzt sind die Argumente der Techno-Deterministen etwas aus der Mode gekommen; gegenüber dystopischer Science Fiction war Technik zuletzt einfach zu freundlich. Gerade mit AI aber haben viele Freunde mahnender Technovisionen wieder eine lohnende Gegnerin gefunden.

AI-Risikostufen als Auslegungssache

Die Einteilung von AI Anwendungen in verschiedene Risikostufen von minimal risk bis unacceptable risk stellt den Kern des AI Act dar. Ein in der Presseaussendung ausdrücklich erwähntes Beispiel für minimal risk sind Recommender Systeme, unter unacceptable risk fallen Anwendungen, die Menschen manipulieren und ihren freien Willen untergraben sollen. Letztes klingt bösartig, Recommender Systeme dagegen sind meist freundliche Shopping-Assistenten, die Kunden Zusatzprodukte empfehlen. Hinter diesen Empfehlungen allerdings arbeiten durchaus komplexe Algorithmen, die mitunter hunderte Parameter verarbeiten, um zu einer Empfehlung zu kommen Und sie verfolgen ein Ziel: Sie wollen den Kunden, der gar nichts kaufen oder mit seiner aktuellen Auswahl im Einkaufskorb den Shopping-Prozess abschließen wollte, zu etwas anderem überreden. Man kann es nun spitzfindig nennen, auch Empfehlungen als Manipulation des freien Willens zu betrachten. Aber es ist ganz und gar nicht spitzfindig, festzustellen, dass Empfehlungen Beispiele komplexer Technologien sind, die auch die Grundlage für ganz andere, weniger freundliche Anwendungen sein können.

Der gleiche Algorithmus, der feststellt: „Wenn du A kaufst, kaufst du vielleicht auch B“, kann auch feststellen: „Weil du A tust, bist du ein politisch verdächtiges Subjekt“. Ich fürchte, es ist keine besonders gelungene Abgrenzung, wenn die Trennung von minimum und unacceptable risk dermaßen leicht übersprungen werden kann. 

Diese Trennung in Risikoklassen und wohl auch die Verantwortung des AI-Entwicklers sind als abstrakte Definitionen sehr problematisch und werden wohl einiger konkreter Einzelfälle bedürfen, um näher bestimmt zu werden. 

Aufklärung- und Kennzeichnungspflichten: Wann ist das schon verständlich? 

Andere Regelungen des AI Act sind zahlreiche Informations- und Kennzeichnungspflichten. Anwender sollen verstehen, dass sie gerade mit einem AI-System interagieren, und sie sollen verstehen und nachvollziehen können, in welchem Ausmaß AI zu dieser Interaktion beiträgt. Das ist ein herausfordernder und ziemlich aufklärerischer Anspruch.

Wer ist dafür verantwortlich, dass diese Transparenz gelingt? Wo verläuft die Grenze zwischen Bringschuld der Entwickler und Holschuld der Anwender? Wer legt fest, was erklärt werden muss, wann etwas ausführlich genug erklärt ist und in welcher Form die Erklärung stattfinden muss? Werden jetzt ellenlange allgemeine Geschäftsbedingungen nicht mehr nur von ebenso langen Datenschutzerklärungen, sondern auch von noch längeren AI-Disclaimern begleitet?

Heute hat jeder Webseitenbetreiber eine lange automatisch erstellte Datenschutzerklärung in seinem Impressum verlinkt, ohne zu wissen, was eigentlich darin steht und wozu das notwendig ist. User lesen das nicht. Die einzigen Profiteure dieses Umstands sind die Webmaster der Webseiten der Anwaltskanzleien, die die Datenschutzgeneratoren zur Verfügung stellen – und die sich jetzt über eine ungeahnte Fülle neuer Backlinks freuen können. Wird das auch das Schicksal der Aufklärung über künstliche Intelligenz? 

Ein eigener Paragraph fordert über diese allgemeine Kennzeichungspflicht hinaus noch eine Kennzeichnungspflicht für mit künstlicher Intelligenz generierte Bilder, Videos und Audios. Das wirft wieder ähnliche Abgrenzungsschwierigkeiten auf: Wie künstlich soll es denn sein? Reichen Filter oder die Anwendung von Animationsprpogrammen? Muss ein unverfälschtes Bild zugrunde liegen, sind Täuschungsabsicht oder -möglichkeit oder die Verwechselbarkeit mit realen Szenen notwendig? Oder muss jede Fantasy-Visualisierung mit Drachen und Prinzessinnen gekennzeichnet werden?

Was mich dabei eigentlich beschäftigt: Ich konnte keinen Hinweis zur Kennzeichnungspflicht KI-generierter Texte finden. Mögliche Interpretationen: Bilder und Videos werden als wirksamer eingeschätzt , Bilder vermitteln mehr Autorität. Bilder werden als Abbildungen verstanden, die Tatsache, dass bei jedem Bild, auch einer bloß abbildenden Fotografie, eine fremde Intelligenz im Spiel war, die Aufnahmemoment, Bildausschnitt und Veröffentlichung bestimmt hat, wird ausgeblendet. Bilder geschehen von selbst, Texte dagegen entstehen nicht durch zufällige Anordnung von Buchstaben – ob eine künstliche oder eine andere Intelligenz im Spiel war, ist weniger wichtig.

Texte lügen noch besser als Bilder 

Das ist eine Reihe von Missverständnissen. Wer mit digitalen Bildbearbeitungstools zu tun hatte, weiß wie viele Prozesse auch dann schon unkontrolliert laufen, wenn nur einfach Farbkorrekturen angewendet werden. Der Automatisierungsgrad entscheidet dabei nur über das Tempo der Veränderungen (und darüber, wieviele Bilder in welcher Zeit bearbeitet werden können) – die realen Möglichkeiten sind die gleichen. Und auch versierte Anwender wissen nicht genau, was die Software wirklich macht – es ist egal, ob sie selbst Befehle tippen, Buttons klicken oder mit natürlicher Sprache einen Chatbot steuern. Das ist auch bei KI-generierten Texten nicht viel anders. Ohne den Text genau zu überprüfen, nachzurecherchieren und die Argumente nachzuvollziehen und auf ihre Konsequenzen hin durchzudenken, sollten weder handgeschriebene noch künstlich generierte Texte veröffentlicht werden. Beides passiert. 

Die unterschiediche Behandlung von Bild und Text im AI Act lässt vermuten, dass entweder Bildern mehr Autorität über unbedarfte User eingeräumt wird, oder dass Manipulation in Texten als leichter entschlüsselbar angesehen wird – oder dass das Problem möglicherweise ein ganz anderes ist und die Kennzeichnungspflicht KI-generierter Bilder am Ziel vorbeigeht. Gerade KI-generierte Texte, die sich am kleinsten gemeinsamen Nenner orientieren, wiederholen was alle sagen und keinen Bezug zu Wahrheit oder Argumenten herstellen können, können nur von auf dem Gebiet, das der Text behandelt, besonders versierten Menschen überprüft werden. Eine KI kann leichter lernen, ob sie Menschen mit fünf oder sechs Fingern zeichnen soll, als zu entscheiden, ob sich mit dem Idealismus Kants jetzt eher Relativismus oder doch Realismus argumentieren lässt oder ob eine Vermögenssteuer Wirtschaft und Sozialsystem nützen oder schaden wird.

Falls die Kennzeichnung als Unterstützung im Kampf gegen Fake News und Desinformation gemeint war, so geht das ein wenig am Ziel vorbei. Falls es ein Beitrag zur Bewusstseinsbildung auch in breiten und wenig digitalen Bevölkerungsteilen gedacht war, dann bleiben all die Graubereiche unberührt, ohne die KI kaum als relevantes Phänomen zu begreifen ist.

US-Konzerne und -Institutionen als stärkste Mitgestalter in Europa 

Aus dieser Perspektive finde ich es immer wieder auch spannend, wer in die Entstehung welcher Regelungen involviert war und wer wie intensiv lobbyiert hat. Verleger und andere Produzenten von intellectual property, ohne die Künstliche Intelligenz keine Intelligenz simulieren könnte, waren recht zurückhaltend. Ihre Kernthemen drehten sich offenbar vorrangig um Copyrights und Lizenzen. Das kann grundsätzlich zu neuen Geschäftsmodellen führen, wenn Inhalte nicht mehr nur an Distributoren, sondern auch an Tech-Unternehmen lizenziert werden. Aber es kann etwas zu kurz gegriffen sein, wenn die Ergebnisse dieser Lizenzproduktionen dann plötzlich Mitbewerber unter neuen Marktbedingungen sind. Ob es dazu kommt, wovon KI lernen soll, wenn sie einmal alte inhalteproduzierende Intelligenz ökonomisch vernichtet hat, und ob KI nicht doch der beste Freund des Journalisten wird, dem sie bei Recherche, Archivierung und andern Aufgaben hilft, ist noch offen.

Integrity Watch hat 210 Lobbyistentermine zum AI Act bei den beiden Berichterstattern, Axel Voss und anderen in KI, Daten, und andere Technologiefragen involvierten Abgeordneten des EU-Parlaments dokumentiert. Ganz vorne dabei sind Google mit acht und Microsoft mit sieben Terminen. Die American Chamber of Commerce hat sechs Mal interveniert, auffällig ist auch das Future of Life Institute mit vier Terminen. Nach Eigendefinition bemüht sich das Institut um Technikfolgenabschätzung und -steuerung. Größte Geldgeber sind Skype-Mitbegründer Jaan Tallinn und Ether-Mitbegründer Vitalik Buterin. Tallinn war eine Zeit im Vorstand des Instituts, Buterin hat – laut der eigenen Transparenzseite – keinen Einfluss auf Agenda und Schwerpunkte. TikTok wurde zwei Mal vorstellig, IBM ebenso. Der Bundesverband deutscher Digitalpublisher begnügte sich mit einem Termin.

Einige Ausnahmen von den strengen Regelungen sind vermutlich im Interesse aller Beteiligten, auch wenn sie das Potenzial haben, die Regelungen des Acts pauschal zu unterwandern. KI-Anwendungen im privaten und persönlichen Bereich und zu Forschungs- und Entwicklungszwecken sind von den Vorschriften und Risikoklassen ausgenommen. Für sie gibt es Sandbox-Regelungen, in denen experimentiert werden darf. Entwicklungsumgebungen für KI werden also letztlich ähnlich problematische Umgebungen wie Labors, in denen gefährliche Viren und Bakterien untersucht werden. Das baut Hürden auf und schränkt, wenn die die Regeln tatsächlich ernst genommen werden, auf die Dauer den Kreis jener, die es sich leisten können und wollen, zu Künstlicher Intelligenz zu forschen, deutlich ein. KI-Entwicklung wird zum Luxus – oder findet künftig außerhalb von Europa statt.

Als Übergangslösung, bis der Act auch überall in Kraft tritt, können und sollen Tech-Unternehmen einen AI Pact mit der EU abschließen. Dieser Pact bedeutet die vorläufig freiwillige Anerkennung des Act und wird hoffentlich auch als Chance genützt, all die diskutierbaren Bestimmungen näher zu schärfen. 

Endlich: eine KI-Behörde (/sarkasm)

Was wäre Bürokratie ohne Behörden? Zur Überwachung und Weiterentwicklung des EU AI Acts soll eine eigene KI-Behörde geschaffen werden, mit eigenen Dependancen in allen EU Mitgliedsstaaten. 

Eine eigene Behörde – das wird natürlich vor allem die Österreicher freuen. Digitalisierungsstaatssekretär Tursky, der diesen Job nicht mehr lang machen wird, hat sich vor einigen Monaten noch als KI-Warner hervorgetan, der dringende Regulierungen und eine Behörde forderte und allen Ernstes in Interviews so tat, als treibe er die EU vor sich her (im übrigen unwidersprochen vom ORF-Interviewer).

Vor einigen Wochen mutierte er zum wohlwollende KI-Erklärer, die auf die Visionen unabsehbarer Gefahren verzichtete und stattdessen als Auskennen wissen ließ, dass KI ja bereits in sehr vielen harmlosen Anwendungen arbeite. Auch diese plötzliche Wendung, ein kompletter Widerspruch zu seinen Aussagen einige Wochen davor, blieb vom Interviewer unbemerkt. 

Tursky erwähnte Kennzeichnungspflichten, wünschte sich eine „unideologische“ KI (was in der Regel die Umschreibung ist für eine KI, die die eigene Ideologie reproduziert) und verwechselte KI-Regelungen ebenfalls mit Maßnahmen gegen Fake News und Desinformation – ganz so, wie er es offenbar im Entwurf des AI Act gelesen hatte. 

Die größte Sorge in dieser Konstellation von Bürokraten, die gefallen wollen und einer Technologie, die sich plakativen Festschreibungen entzieht, ist dass diese Bürokraten in den zu gründenden KI-Behörden sitzen werden und dort neue KI-Regelunge erfinden werden und, noch schlimmer, an der Operationalisierung der bisherigen Regeln arbeiten werden. Sie werden also darüber entscheiden, ob einer Kennzeichnungspflicht genüge getan wurde, ob dem Missbrauch einer riskanten Anwendung tatsächlich ausreichend vorbeugt wurde und ob die als riskant eingestufte Anwendung erstens tatsächlich riskant ist, ob sie zweitens Forschungs- oder kommerziellen Zwecken dient und ob die notwendigen Sicherheitsbestimmungen eingehalten werden.

Das lässt einen ausgedehnte bürokratischen Overhead befürchten. 

Insgesamt ist der AI Act wohl ähnlich einzuschätzen wie die Datenschutzgrundverordnung: Es stecken ehrenwerte Absichten dahinter, an den einzelnen Entscheidungen ist im großen und ganzen nichts falsch. In Summe hat das Regelwerk aber das Potenzial, eine Armee von papierenen Monstern hervorzubringen, die niemandem nützen und keinen anderen Zweck erfüllen, als die neu geschaffenen Auflagen dieses Regelwerks zu erfüllen. In der Praxis werden sie wenig weitere Auswirkungen haben, als dass sie bürokratische Aufwände nach sich ziehen. Und es wird damit in Summe nicht leichter, KI-Anwendungen zu entwickeln. Im Gegenteil: Vermutlich überlegt man es sich in Zukunft noch gründlicher, ob die Entwicklung tatsächlich in Europa stattfinden soll.

Ein positiver Effekt der Auflagen und des Bemühens um ethisch-europäische KI kann die Entwicklung eigener europäischer KI-Varianten sein, die am Anfang lästige Zusatzaufgabe sind, im Lauf der Zeit aber vielleicht neue Effekte hervorbringen – ähnlich wie das sportliche Training in Höhenluft erst belastender ist, dann aber bessere Effekte bringt. Die Frage ist, werd den ausreichenden Atem hat, die belastenden Phasen durchzustehen. Schon bei Open AI, dem aktuell erfolgreichsten AI-Unternehmen, hatten unlängst die Befürworter der nichtkommerziellen Perspektive nur für wenige Tage in einem spektakulären Führungsstreit die Oberhand – und mussten dann Verfechter kommerzieller Ansätze zurückbitten und ihre eigenen Plätze räumen.

So gesehen klingt im EU AI Act auch eine große Portion Angst mit. Das beste Rezept gegen diese Angst ist mehr praktische Erfahrung mit Künstlicher Intelligenz, mehr Bereitschaft, sich in konkreten Fällen damit auseinanderzusetzen. Beides vermisse ich in der Politik, aber auch in Medien, Kunst und vielen anderen Bereichen. Zukunfts-Bullshitten ist für mich kein gelungener Fall von konkreter Auseinandersetzung.