NJW: Die EU will mit ihrer KI-Verordnung vergleichbar der DS-GVO einen weltweiten Maßstab setzen. Wie bewerten Sie das Regelwerk? Oder konkreter gefragt: Was ist gut geregelt, was ist schlecht?
Spies: Ihr Ansatz, die Nutzung von KI zu regeln, ohne dieser unter die Haube schauen zu müssen, hat einiges für sich. Allerdings: Keiner weiß, wie sich KI entwickeln wird und wann und wie die neuen Vorschriften dann durchsetzbar sein werden. Vielleicht werden unsere Nachfahren die KI-Verordnung mit den Red Flag Acts in Großbritannien und den USA aus dem 19. Jahrhundert vergleichen, nach denen einem Kfz ein Fußgänger mit einer roten Flagge vorangehen musste; die Geschwindigkeit des Fahrzeugs war damals auf rund 3 km/h in der Stadt begrenzt. Solche Gesetze haben keine lange Lebensdauer.
NJW: Man wähnte die KI-Verordnung schon auf der Zielgeraden. Nun stocken die Verhandlungen. Weshalb?
Spies: Der Hauptgrund ist das intensive Lobbying der Industrie jetzt vor „Toresschluss“. Die Regierungen von Frankreich, Italien und Deutschland sind gegen die strikten EU-Regeln für ChatGPT und vergleichbare KI-Modelle, weil sie ihre KI-Start-ups nicht gefährden und nicht für Investoren als innovationshemmend gelten wollen. Den Gegenpol bilden diejenigen, vor allem im EU-Parlament, denen eine KI-Regulierung gar nicht weit genug gehen kann und die im Extremfall den Weltuntergang durch KI befürchten.
NJW: Und wie bewerten Sie das gemeinsame Positionspapier?
Spies: Es befürwortet für Basismodelle die „zwingende Selbstregulierung“ und damit die Quadratur des Kreises. „Codes of Conduct“ sind hilfreich, aber wer entwickelt sie? Wer setzt sie durch? Was es im Einzelnen mit den befürworteten Model Cards für auf sich hat, ist unklar. Sie müssen von den Nutzern gelesen und verstanden werden. Der Ansatz, auf internationale Vereinbarungen für KI im Rahmen der G7-Staaten zu setzen, um dann weiterzusehen, ist gut, aber sehr konkret sind diese G7-Vereinbarungen derzeit nicht.
NJW: Man hat den Eindruck, dass es derzeit einen internationalen Wettbewerb um die schnellste, beste und umfassendste KI-Regulierung gibt. Ist das so?
Spies: Brüssel hofft auf den „Brussels Effect“ dergestalt, dass die Nicht-EU-Länder mit offenen Armen die KI-Verordnung übernehmen. Das ist zweifelhaft. Die KI-Verordnung wird immer komplizierter, und wer sie überwacht, ist unklar. Mich erinnert die Debatte an die Fabel von dem Hasen und dem Igel: Der Gesetzgeber versucht vermutlich vergeblich, die technische Entwicklung der KI einzufangen, die dem Recht immer eine Nasenlänge voraus ist.
NJW: In den USA gibt es einen Regulierungsansatz in Form einer Executive Order von Präsident Joe Biden. Unterscheidet sich das dortige Regulierungskonzept von dem der EU? Und wie würden Sie beide im direkten Vergleich bewerten?
Spies: Hier in Washington ist die Politik mit der Diskussion über die KI-Regulierung nicht so weit wie in Brüssel. Die Executive Order (EO) ist eine Anordnung des Präsidenten an die Bundesbehörden, kein Gesetz. Ob und wie die vielen Maßnahmen der EO vom Kongress finanziert werden, steht noch in den Sternen. Der Schwerpunkt liegt auf der nationalen Sicherheit und nicht auf dem Verbraucherschutz wie bei der KI-Verordnung. Entsprechend sind etwa die Tests für die wirkmächtigen KI-Systeme konzipiert. Viele Initiativen in der EO, wie die Öffnung des US-Visasystems für KI-Fachkräfte, spielen in der KI-Verordnung keine Rolle. Die EO-Initiativen erfordern konkrete Umsetzungsmaßnahmen der Bundesbehörden. Ob und wie die bundesstaatlichen Behörden mitziehen, ist offen. Gemeinsam ist beiden, dass sie die KI-Anwendungen nach ihrer Wirkmächtigkeit in verschiedene Stufen einteilen. Die Koordinierung der verschiedenen Behörden für KI ist eine weitere Herausforderung: Das sind hier in den USA unter anderem das Department of Commerce mit der National Telecommunications and Information Administration (NTIA) und dem National Institute of Standards and Technology (NIST). Hinzu kommen die Departments of Energy, Defense, Health und das Patent Office. In Europa sind es die Datenschutzbehörden, der Europäische Datenschutzausschuss, die Agentur der EU für Cybersicherheit (ENISA) und gegebenenfalls ein neues AI Office. Vermutlich werden diejenigen Unternehmen, die mit der US-Regierung im Rahmen des Vergaberechts zu tun haben, als erstes die Auswirkungen der EO zu spüren bekommen.
NJW: Wäre es aus Ihrer Sicht sinnvoll, wenn KI global einigermaßen einheitlich reguliert würde? Und für wie wahrscheinlich halten Sie es, dass sich die EU und die USA auf einen gemeinsamen Nenner verständigen können?
Spies: In den letzten Wochen gab es ein Dreierpack zu KI auf der internationalen Ebene mit den G7-Prinzipien vom 11.10.23, neuen OECD-Empfehlungen für KI mit einer neuen Definition und die Bletchley Park Declaration vom 1.11.2023. Da sind einige Dinge in Bewegung. US-Vizepräsidentin Kamala Harris hat beim Treffen in Bletchey Park (GB) vollmundig verkündet: „Wenn es um KI geht, ist Amerika weltweit führend […]. Es ist Amerika, das wie kein anderes Land in der Lage ist, globale Maßnahmen zu katalysieren und einen globalen Konsens herzustellen. Und unter Präsident Joe Biden wird Amerika auch weiterhin die Führung in Sachen KI übernehmen.“ Angesichts des kommenden Wahljahres und der Mehrheitsverhältnisse im Kongress hier in Washington glaube ich nicht, dass die USA viele Zugeständnisse für eine umfassende Regulierung wie in der KI-Verordnung machen werden.
NJW: Unterstellen wir mal, eine Einigung über die KI-Verordnung gelingt nicht mehr bis zu den Europawahlen im kommenden Jahr: Wäre KI dann weitgehend unreguliert, oder gibt es schon nach geltender Rechtslage Möglichkeiten der Regulierung?
Spies: Solche Möglichkeiten gibt es in der Tat, allen voran in der DS-GVO, aber auch in den Arbeitnehmer- und Verbraucherschutzgesetzen.
NJW: Warum wenden dann die Regulierer nicht in einem ersten Schritt die schon bestehenden Regelungen auf die KI an?
Spies: Da gibt es genug offene Fragen zu klären, etwa ob und wann das Training der KI-Basismodelle „Verarbeitung“ im Sinne des Art. 4 Ziff. 2 DS-GVO ist, welcher Urheberrechtsschutz besteht usw. Auch in den USA gibt es Gesetze zum Arbeitnehmerschutz bei KI-Beurteilungen (automated employment decision tools – AEDT) beispielsweise in New York. Und es gibt weitgehende verbraucherschützende Privacy Acts mittlerweile in 15 Staaten sowie Biometric Data Privacy Laws derzeit in Illinois, Texas und Washington. In Kalifornien hat die neue Datenschutzbehörde CPPA kürzlich eine Konsultation zu Risikoanalysen der Unternehmen bei automatisierten Entscheidungen eingeleitet, wo es auch um das Training von KI und Cybersecurity Audits geht. Gespräche der Regulierungsexperten über den Atlantik hinweg, etwa darüber, was als Best Practice funktioniert und was nicht, sollten nicht auf die lange Bank geschoben werden. Wir sollten nicht erst auf einen Welt-KI-Rat warten, wie ihn Kommissionspräsidentin Ursula von der Leyen beim letzten G7-Gipfel vorgeschlagen hat. EU-Standardvertragsklauseln für KI-Anwendungen, wie sie die Kommission für den Bereich des Vergaberechts kürzlich vorgeschlagen hat, wären auch hilfreich für mehr Rechtssicherheit.
Dr. Axel Spies studierte Jura und Politikwissenschaften. Seine erste Station als Anwalt führte ihn in das Moskauer Büro einer deutschen Kanzlei. Anschließend war er fünf Jahre in der Rechtsabteilung der VEBA AG tätig. 1999 ließ er sich als deutscher und europäischer Anwalt in Washington DC nieder. Seit Ende 2014 verantwortet er dort für Morgan Lewis den „German Desk“ für die Telecommunications Media and Technology Group. Daneben ist er unter anderem Mitherausgeber der im Verlag C.H.Beck erscheinenden Zeitschriften MMR und ZD.
Dieser Inhalt ist zuerst in der NJW erschienen. Sie möchten die NJW kostenlos testen? Jetzt vier Wochen gratis testen inkl. Online-Modul NJWDirekt.
