Regulierung von KI: DSK fordert klare Verantwortlichkeit für Hersteller und Betreiber

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) fordert, dass in dem beabsichtigten europäischen Gesetz über Künstliche Intelligenz (KI-Verordnung) eine sachgerechte Zuweisung von Verantwortlichkeiten entlang der gesamten KI-Wertschöpfungskette vorgenommen wird. Nur so können die Grundrechte der Betroffenen geschützt werden, deren Daten durch KI verarbeitet werden. Jede Rechtsunsicherheit in diesem Feld würde den Bürgerinnen und Bürgern, aber insbesondere auch den kleinen und mittleren Unternehmen schaden. Denn sie müssen die Hauptlast der rechtlichen Verantwortung tragen. Die Unternehmen brauchen klare Regeln, damit die Risiken von KI beherrschbar bleiben. Die kommende KI-Verordnung sollte daher für alle Beteiligten – auch für Hersteller und Anbieter von Basismodellen – festlegen, welche Anforderungen sie erfüllen müssen. Eine einseitige Verschiebung der rechtlichen Verantwortung auf die letzten Stufen der Wertschöpfungskette wäre datenschutzrechtlich und wirtschaftlich die falsche Wahl. Nur mit der notwendigen Vertrauenswürdigkeit wird es eine hohe Akzeptanz für die mit KI verbundenen Chancen geben.

Zum Hintergrund:

Die Verhandlungen über einen europäischen Rechtsrahmen für Künstliche Intelligenz (KI) sind in eine entscheidende Phase getreten. Im Trilog zwischen Europäischer Kommission, Parlament und Rat hatte das Europäische Parlament in seiner Position vom 14. Juni 2023 wesentliche Abänderungen des Entwurfstexts gefordert. Ausdrücklich in den regulatorischen Rahmen einbezogen werden sollten danach Basismodelle („foundation models“). Dabei handelt es sich um KI-Systemmodelle, die auf einer breiten Datenbasis trainiert wurden, auf eine allgemeine Ausgabe ausgelegt sind und an eine breite Palette unterschiedlicher Aufgaben angepasst werden können.

Nach dem Vorschlag des Parlaments sollten die Anbieter von Basismodellen bestimmte Mindestanforderungen erfüllen, etwa mit Blick auf die Datenqualität, die Erklärbarkeit und die Cybersicherheit. In einem nunmehr bekannt gewordenen Positionspapier haben sich die EU-Mitgliedstaaten Deutschland, Frankreich und Italien jedoch gegen verbindliche Vorgaben für Basismodelle ausgesprochen und ein sanktionsloses Konzept der Selbstregulierung in die Diskussion eingebracht.

Die KI-Landschaft ist komplex und zeichnet sich durch eine Vielzahl beteiligter Akteure (z. B. Hersteller, Anbieter, Betreiber, Anwender und Endnutzende) aus, die auf ganz unterschiedlichen Ebenen (z. B. Konzeption, Entwicklung, Anpassung, Bereitstellung und Nutzung) involviert sind. Können von einem KI-System bestimmte Risiken ausgehen, dürfen Vorschriften zum Umgang damit keine verantwortungsfreien Räume entstehen lassen.

Deutlich wird dies beim Einsatz von KI für die Verarbeitung personenbezogener Daten: So wäre es problematisch, den KI-Betreibern und KI-Anwendern die vollständige Verantwortung für die Beherrschung der Risiken aufzubürden, wenn sie keine verlässlichen Informationen über die Funktionsweisen, die in das KI-Training eingegangenen Daten sowie die Optimierungsziele erhalten und die auf der Ebene der Basismodelle möglichen Maßnahmen zur Risikoeindämmung fehlen. Es muss den KIBetreibern und KI-Anwendern, darunter gerade auch den heimischen kleinen und mittleren Unternehmen, möglich sein, die Risiken korrekt zu identifizieren. Dies ist nicht nur Bedingung für Datenschutz-Folgenabschätzungen, sondern auch Grundlage, um die Anforderungen des Artikel 25 Datenschutz-Grundverordnung zu Datenschutz by Design und by Default zu erfüllen.

Links zu dem Entwurf der KI-Verordnung in den verschiedenen Versionen:

• Europäische Kommission: Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union, COM(2021) 206 final, 2021/0106(COD), 21.04.2021, https://eur-lex.europa.eu/…:52021PC0206
• Abänderungen des Europäischen Parlaments vom 14. Juni 2023 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union (COM(2021)0206 – C9-0146/2021 – 2021/0106(COD)), P9_TA(2023)0236, 14.06.2023, https://www.europarl.europa.eu/…

Über die Datenschutzkonferenz:

Die Datenschutzkonferenz besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. Sie hat die Aufgabe, die Datenschutzgrundrechte zu wahren und zu schützen, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und gemeinsam für seine Fortentwicklung einzutreten. Dies geschieht namentlich durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen, Stellungnahmen, Pressemitteilungen und Festlegungen.