Drei Jahre lang wurde gestritten und verhandelt. Mehrmals sah es so aus, als würde der AI Act scheitern. Nun, am heutigen Mittwoch, ist es aber so weit: Das europäische Regelwerk für den Umgang mit künstlicher Intelligenz wurde von den Abgeordneten des Parlaments in Straßburg abgesegnet. Damit hat eines der am intensivsten verhandelten Gesetze der vergangenen Jahre die letzte Hürde genommen. Ein historisches Ereignis, sagen die Schöpfer des Regelwerks, während die Kritik aber nicht verstummt.

Digitalkommissar Thierry Breton jubelte auf X, vormals Twitter: "Demokratie 1; Lobby 0". Von 618 Abgeordneten haben 523 dem AI Act zugestimmt. Es gab 46 Stimmen dagegen und 49 Enthaltungen.

Viele Ausnahmen für verbotene Technologie

Kern des AI Act ist das Verbot von KI-Anwendungen, die als "inakzeptables Risiko" eingestuft werden. Das betrifft etwa die biometrische Massenüberwachung oder Social Scoring, wie es in China bereits eingesetzt wird.

Der Begriff "Verbot" ist im AI Act nicht zwingend wörtlich zu nehmen, denn es gibt zahlreiche Ausnahmen für Strafverfolgungsbehörden und den Einsatz von biometrischer Massenüberwachung. Dabei werden die Gesichter der Menschen im öffentlichen Raum gescannt und deren Identität ermittelt. Damit sollen Tatverdächtige besser verfolgt werden können. Eigentlich wollte das EU-Parlament die biometrische Massenüberwachung gänzlich verbieten, denn das Missbrauchsrisiko schien zu groß.

Dass die Massenüberwachung nun doch möglich bleibt, darüber sei man auch von der Verhandlerseite des Parlaments nicht glücklich, erklärte Berichterstatter Brando Benifei im Rahmen einer Pressekonferenz am Mittwoch. Aber: Der Rat, also das Gremium der Staats- und Regierungschefs, hatte in der ursprünglichen Form des AI Acts noch gefordert, dass biometrische Massenüberwachung auch als vorbeugende Maßnahme eingesetzt werden kann.

"Der Einsatz dieser Technologie ist die Ausnahme und streng limitiert", so Benifei. Bevor die Polizei diese Technologie einsetzt, muss eine Grundrechte-Folgenabschätzung durchgeführt werden. Außerdem muss die Maßnahme in der EU-Datenbank registriert werden. Aber auch hier gibt es eine Ausnahme: Kann die Polizei den Einsatz von biometrischer Massenüberwachung gut genug begründen, dann kann die Registrierung auch im Nachhinein erfolgen.

Vor dem Einsatz der KI-Überwachung muss außerdem eine Justizbehörde zustimmen. Aber auch hier gibt es die nächste Ausnahme: In hinreichend begründeten dringenden Fällen kann der Einsatz jedoch auch ohne Genehmigung erfolgen. Diese muss dann innerhalb von 24 Stunden im Nachhinein angefordert werden. Wird die Genehmigung verweigert, muss der Einsatz der Massenüberwachung unverzüglich eingestellt werden, wobei alle Daten zu löschen sind.

Massive Kritik von Datenschutzorganisationen

Genau für diese Vielzahl an Ausnahmen gibt es massive Kritik von Datenschutz- und Bürgerrechtsorganisationen. Algorithm Watch, eine NGO für Grundrechte im digitalen Raum, ortet dringenden Nachbesserungsbedarf und ortet eklatante Lücken beim Schutz der Bürger vor Massenüberwachung. "Eine solche Überwachungsinfrastruktur führt dazu, dass Menschen unter dem ständigen Gefühl der Kontrolle ihre Freiheitsrechte nicht mehr ungehindert ausüben. Der Schutz von Menschenrechten darf jedoch nicht unter Vorbehalt stehen. Insbesondere im aktuellen politischen Klima müssen die demokratischen Kräfte gemeinsam die Möglichkeit des institutionellen Machtmissbrauchs minimieren", heißt es in einem am Abstimmungstag veröffentlichten offenen Brief.

Darin werden die EU-Staaten aufgefordert, den Einsatz von biometrischer Überwachung auf nationaler Ebene vollständig zu verbieten. Die Möglichkeit, den AI Act auf nationaler Ebene zu verschärfen, haben die Mitgliedsländer. "Die Durchführung biometrischer Echtzeit-Fernidentifikation im öffentlichen Raum öffnet die Tür in dystopische Verhältnisse, in denen jeder Mensch bei jeder Bewegung im öffentlichen Raum permanent identifizierbar und überwachbar wird", so die Warnung von Algorithm Watch.

Kritik aus der Wirtschaft

Aber nicht nur von Bürgerrechts-Seite kommen massive Bedenken, vor allem aus konservativen politischen Kreisen und der Tech-Branche wird die Überregulierung des KI-Regelwerks kritisiert. Die EU sehe zu viel Bürokratie und zu viele Offenlegungspflichten vor. Kleine KI-Start-ups könnten diesen Aufwand nicht stemmen. Vor allem aus Frankreich, Deutschland und dem sonst eher KI-skeptischen Italien wurde die Kritik am AI Act immer lauter. In Frankreich war man besorgt, der heimische Hoffnungsträger Mistral AI würde in seiner Entwicklung behindert. Ähnliche Töne kamen aus Deutschland mit Blick auf das Heidelberger KI-Unternehmen Aleph Alpha.

Auch hier wurde beim AI Act noch einmal nachgebessert. So sollen Start-ups Zugang zu den Schnittstellen europäischer Supercomputer erhalten. Außerdem muss es in jedem Nationalstaat eine KI-Sandbox geben. Dabei handelt es sich um ein geschlossenes System, in dem Forscher und Unternehmen ihre KI-Anwendungen ausprobieren könne, ohne Gefahr zu laufen, gegen den AI Act zu verstoßen. Diese Sandboxen sollen einladen, Fehler zu machen, um die Anwendungen zu optimieren, bevor sie veröffentlicht werden.

Lobbyingvorwurf gegen Microsoft

Diese Zuckerln für die Tech-Branche waren aber einigen nicht genug. Als bekannt wurde, dass Microsoft eine Partnerschaft mit Mistral AI eingegangen ist, herrschte Ende Februar Alarmstimmung in Brüssel. Denn: Mistral AI hatte einigermaßen erfolgreich im Sinne der eigenen Interessen lobbyiert. Einem europäischen Start-up könne man schließlich nicht vorwerfen, dass es bei den europäischen politischen Vertretern seine Anliegen vorbringt. Als jedoch der Microsoft-Deal bekannt wurde, wurde die Kritik aber laut, schließlich lag der Verdacht nahe, der US-Konzern hätte über das französische Unternehmen Einfluss auf die Politik in Europa genommen.

Die europäischen Grünen nannten die Lobbyarbeit von Mistral eine "Fassade für amerikanisches Big-Tech", und Axel Voss von der CDU meinte: "Die EU-Regulierer wurden reingelegt." Die beiden Berichterstatter des Parlaments für das KI-Gesetz, Brando Benifei (S&D) und Dragoș Tudorache (Renew), forderten mehr Transparenz, warnten aber davor, voreilige Schlüsse zu ziehen.

Gefährliche KIs werden noch heuer verboten

"Es freut mich sehr, dass an meinem letzten Tag als Staatssekretär für Digitalisierung, der AI-Act im Europäischen Parlament verabschiedet wurde. Mit dem weltweit ersten Rechtsrahmen für KI setzt die Europäische Union einen wichtigen Meilenstein für die sichere Entwicklung und Anwendung von Künstliche Intelligenz ohne dabei Innovationen zu hemmen", so Staatssekretär für Digitalisierung, Florian Tursky in einer ersten Reaktion.

Die Verordnung tritt 20 Tage nach ihrer Veröffentlichung im Amtsblatt der EU in Kraft und ist 24 Monate nach ihrem Inkrafttreten uneingeschränkt anwendbar. Die Ausnahmen sind Verbote sogenannter verbotener Praktiken, die bereits sechs Monate nach Inkrafttreten gelten, Verhaltenskodizes (neun Monate nach Inkrafttreten), Regeln für künstliche Intelligenz mit allgemeinem Verwendungszweck, einschließlich Governance, (zwölf Monate nach Inkrafttreten) und Verpflichtungen für Hochrisikosysteme (36 Monate nach Inkrafttreten). Das heißt in der Praxis: Ab 2026 werden Strafen bei Verstößen verhängt. (Peter Zellinger, 13.3.2024)