Kaum ein Thema rund um KI sorgt derzeit für so viel Verwirrung wie der AI Act.
KI müsse künftig gekennzeichnet werden, heißt es an einer Stelle. Der AI Act sei verschoben worden, an anderer Stelle. Wieder andere schreiben, ChatGPT dürfe in Europa bald gar nicht mehr eingesetzt werden.
Wer versucht, diese Aussagen miteinander zu vergleichen, stellt schnell fest: Sie können kaum alle gleichzeitig stimmen. Manche treffen zu. Manche nur teilweise. Manche sind schlicht falsch.
Woher kommt diese Verwirrung eigentlich?
Ein Gesetz, das lange vor ChatGPT begann
Der naheliegende Verdacht: Der AI Act sei eine Reaktion auf ChatGPT und die aktuelle Welle an Sprachmodellen. Die zeitliche Nähe legt das nahe.
Tatsächlich reichen die Vorarbeiten der EU-Kommission bis in eine Zeit zurück, in der Sprachmodelle in der öffentlichen Wahrnehmung noch keine Rolle spielten. Der Auslöser waren andere Anwendungen: Gesichtserkennung im öffentlichen Raum. Systeme zur sozialen Bewertung von Menschen durch Behörden. Automatisierte Bewerbungsfilter, die bestimmte Gruppen systematisch benachteiligten. Scoring-Systeme, die die Kreditwürdigkeit oder das Verhalten von Menschen bewerteten, ohne dass Betroffene nachvollziehen konnten, wie die Entscheidung zustande kam.
Diese Systeme haben etwas gemeinsam: Sie treffen Entscheidungen über Menschen, oft ohne dass die Betroffenen davon wissen oder sich wehren können. Ein Scoring-System etwa kann einen Kreditantrag ablehnen, ohne dass die betroffene Person erfährt, welche Faktoren dabei den Ausschlag gegeben haben - eine falsche Postleitzahl, ein bestimmtes Konsumverhalten, ein statistischer Zusammenhang, der mit der individuellen Situation gar nichts zu tun hat. Wer eine menschliche Entscheidung anfechten will, kann nach den Gründen fragen. Bei einer automatisierten Entscheidung ohne Offenlegungspflicht fehlt genau diese Möglichkeit. Genau dieses Problem sollte reguliert werden - lange bevor ein Sprachmodell einen Text schreiben konnte.
ChatGPT hat den AI Act also nicht ausgelöst. Es hat ihn bekannter gemacht, weil plötzlich Millionen Menschen mit KI direkt in Berührung kamen und sich fragten, welche Regeln dafür eigentlich gelten.
Nicht die Technologie wird reguliert
Wer den AI Act verstehen will, muss einen naheliegenden Gedanken loslassen: dass ein Gesetz für “KI” bedeutet, dass KI als Technologie reguliert wird.
Der AI Act tut das nicht. Er reguliert nicht das Werkzeug, sondern den Anwendungsfall.
Dasselbe Sprachmodell, das einen Chatbot antreibt, kann in einem Kontext völlig unreguliert bleiben und in einem anderen unter strenge Auflagen fallen - oder sogar verboten sein. Ein Sprachmodell, das E-Mails zusammenfasst, unterliegt anderen Regeln als dasselbe Modell, wenn es über die Vergabe eines Kredits mitentscheidet. Nicht weil die Technologie sich unterscheidet, sondern weil die Konsequenz für den betroffenen Menschen eine andere ist.
Der AI Act unterscheidet deshalb nach Risiko, nicht nach Werkzeug. Manche Anwendungen sind verboten, weil sie als unvereinbar mit Grundrechten gelten - etwa Systeme zur sozialen Bewertung von Menschen durch Behörden, die aus dem Verhalten einer Person einen Gesamt-Score errechnen und daran Vor- oder Nachteile knüpfen. Manche gelten als hochriskant, weil sie über Zugang zu Jobs, Krediten oder Bildung mitentscheiden: Eine Software, die Bewerbungen vorsortiert, bevor ein Mensch sie überhaupt sieht, fällt in diese Kategorie und muss deshalb bestimmte Prüf- und Dokumentationspflichten erfüllen. Manche unterliegen nur einer Transparenzpflicht, weil Menschen wissen sollen, dass sie mit einer Maschine interagieren oder KI-generierte Inhalte vor sich haben - ein Chatbot im Kundenservice muss sich als solcher zu erkennen geben, mehr verlangt der AI Act an dieser Stelle nicht. Der große Rest bleibt unreguliert, weil von ihm kein vergleichbares Risiko ausgeht: Ein Sprachmodell, das beim Formulieren einer E-Mail hilft, berührt keine dieser Kategorien.
Diese Einteilung ist der eigentliche Kern des Gesetzes.
Nicht KI wird reguliert. Der Anwendungsfall wird reguliert.
Wie streng die Regeln greifen, hängt dabei zusätzlich davon ab, wer gerade handelt. Der AI Act unterscheidet zwischen Anbietern, die ein KI-System entwickeln und in Verkehr bringen, und Betreibern, die es unter eigener Verantwortung einsetzen. Ein Unternehmen, das ein Sprachmodell für die eigene Bewerbervorauswahl konfiguriert, trägt andere Pflichten als der Anbieter, der dieses Modell ursprünglich trainiert und bereitgestellt hat - auch wenn beide dieselbe Technologie im Blick haben.
Warum die Aussagen vom Anfang trotzdem alle irgendwo herkommen
Mit diesem Verständnis lassen sich die drei Aussagen vom Anfang einordnen.
“KI muss gekennzeichnet werden” trifft nur für einen Ausschnitt zu: für Chatbots, die sich als solche zu erkennen geben müssen, und für bestimmte KI-generierte Inhalte. Die pauschale Formulierung “jede KI” ist falsch - die Kennzeichnungspflicht knüpft an konkrete Situationen an, nicht an die Technologie selbst.
“Der AI Act wurde verschoben” trifft ebenfalls nur teilweise zu. Verschoben wurden Fristen für einen bestimmten Teil des Gesetzes - vor allem für Hochrisiko-Systeme. Andere Teile, etwa Verbote bestimmter Anwendungen oder die Transparenzpflichten, laufen unabhängig davon planmäßig weiter. Wer daraus liest, der AI Act insgesamt sei aufgeschoben, verwechselt einen Teil mit dem Ganzen.
“ChatGPT wird verboten” lässt sich aus dem risikobasierten Ansatz gar nicht ableiten. Verboten werden bestimmte Anwendungsfälle, nicht Werkzeuge oder Anbieter. Ein Sprachmodell als solches fällt in keine der Verbotskategorien.
Drei Aussagen, drei unterschiedliche Ausschnitte desselben gestuften Regelwerks. Das erklärt, warum sie sich so widersprüchlich anfühlen, ohne dass eine davon komplett aus der Luft gegriffen ist.
Was daraus folgt
Wer verstanden hat, dass der AI Act nach Risiko und Anwendungsfall unterscheidet, kann jede neue Schlagzeile zum Thema mit einer einfachen Frage prüfen: Von welchem Teil des Gesetzes ist hier eigentlich die Rede - von einem Verbot, von einer Hochrisiko-Einstufung, von einer Transparenzpflicht, oder von gar keinem der drei?
Begriffe wie Hochrisiko-KI, Transparenzpflicht, General Purpose AI, Anbieter und Betreiber beschreiben unterschiedliche Teile dieses Regelwerks.
Wer den AI Act als Sammlung verschiedener Regeln für unterschiedliche Risiken versteht, wird künftige Schlagzeilen zum Thema deutlich leichter einordnen können.
