KI-Regulierung allein reicht nicht

Jahrelang wurde die Europäische Union für ihren AI Act belächelt, weil er als Innovationsbremse galt, die den technologischen Anschluss an die USA und China gefährde. Tatsächlich hat Brüssel im Sinne einer Technologiefolgenabschätzung aber schon früh erkannt, welche Risiken entstehen, wenn lernende Systeme in sensible Bereiche vordringen, ohne dass jemand für ihre Sicherheit einsteht.  Inzwischen schlagen Regierungen weltweit ähnliche Wege ein, weshalb eine dauerhaft unregulierte KI eher unwahrscheinlich erscheint. Gleichzeitig wird mehr und mehr deutlich, dass die großen KI-Labore nicht zuletzt investitionsgetrieben in den vergangenen Jahren die Innovation über die Sicherheit gestellt haben.

Zu Recht wird KI deshalb mit der Kontrolle von Atomwaffen verglichen, die seit dem zwanzigsten Jahrhundert auf völkerrechtlichen Abkommen und bilateralen Verträgen beruht, weil beide Technologien folgenreiche Wirkungen entfalten können, die weit über die Grenzen eines einzelnen Staates hinausreichen. Solche Regime schaffen Verlässlichkeit, stoßen aber an Grenzen, weil es kehrseitig stets Staaten und Akteure geben wird, die trotz aller völkerrechtlichen Verpflichtungen eine klassische Dual-Use-Technologie wie KI zum Nachteil anderer einsetzen – und das geschieht bereits heute. Hinzu kommt, dass internationale Regulierung Zeit braucht und Aufsichtsstrukturen erst reifen müssen. Der deutsche Beschluss, nach britischem Vorbild in Berlin ein AI Security Institute einzurichten, ist deshalb ausdrücklich zu begrüßen, auch wenn er seine Wirkung erst mit der Zeit entfaltet. 

Technisch geht es ohnehin weniger um eine Super-KI als vielmehr darum, dass wir KI längst massenhaft und in exponentiellem Tempo in Wirtschaft, Gesellschaft und kritische Infrastrukturen integrieren. Deshalb lohnt sich umso mehr die Frage, ob sich der unkontrollierte Einsatz nicht schon mit geltenden Regeln begrenzen lässt, bevor neue rechtliche Vorgaben überhaupt entwickelt sind. Das frisch novellierte IT-Sicherheitsrecht nach dem BSIG verleiht Behörden bereits jetzt Eingriffsbefugnisse, wenn KI-gestützte integrierte IT-Systeme unsicher sind. Und auch die Verschränkung von Cyber Resilience Act und AI Act bei der Cybersicherheit bietet einen vorhandenen regulatorischen Hebel, der nur konsequent genutzt werden muss, bevor politisch wieder das nächste neue KI-Sicherheitsgesetz gefordert wird.

Schließlich sind viele der KI-Probleme und der gegenwärtig kursierenden Weltuntergangsfantasien infolge unkontrollierter AI-Integration hausgemacht, weshalb eine gesamtgesellschaftliche Debatte darüber angebracht ist, welche Risiken KI angesichts angeblich kurzfristiger Produktivitätsgewinne tatsächlich birgt. Allein mit dem Finger auf Regierungen und KI-Labore zu zeigen, wäre verfehlt, solange wir zugleich immer eifriger die Kontrolle über unsere eigenen IT-Systeme abgeben, für die jedoch letztlich jeder Einzelne selbst verantwortlich bleibt und Kompetenz durch Automation ersetzen. So wie man sich vor (KI-)Cyberangriffen als äußerer Gefahr schützen muss, müssen wir lernen, auch jene technologischen Risiken zu beherrschen, die wir uns selbst nur allzu unbedarft ins Haus holen.

Prof. Dr. Dennis-Kenji Kipker ist Gründer und Research Director des cyberintelligence.institute sowie Mitherausgeber der RDi