Zwischen diesen beiden Polen bewegen sich auch die Reaktionen auf den Entwurf der KI-Verordnung der EU, den die Kommission im Jahr 2021 vorgelegt hat. Ziel der KI-Verordnung und ihres risikobasierten Ansatzes ist es vor allem, Regelungen für Systeme zu schaffen, die hohe Risiken mit sich bringen und gleichzeitig risikofreie Systeme nicht zu regulieren. KI-Lösungen mit „unannehmbaren“ Risiken werden komplett verboten. Das betrifft unter anderem solche Systeme, die zur biometrischen Echtzeitidentifikation von Menschen gedacht sind.
„Hochrisiko“-Systeme, also vor allem für die Verwaltung kritischer Infrastruktur, werden umfassender Regulierung unterworfen, was erhebliche Sicherheits- und Dokumentationspflichten nach sich zieht. Das ist verständlich, bedrohen Fehlfunktionen in diesem Bereich regelmäßig Gesundheit oder Sicherheit von Menschen. Zwar umfasst der Bereich kritischer Infrastruktur im Kommissionsentwurf neben dem Straßenverkehr bisher „nur“ die Wasser-, Gas-, Wärme- und Stromversorgung, allerdings kann die EU-Kommission nach dem Entwurf weitere Hochrisiko-Anwendungen definieren. Insbesondere Unternehmen, die nach allgemeinem Verständnis zur kritischen Infrastruktur gehören oder solche, die Unternehmen der kritischen Infrastruktur „zuarbeiten“, kann eine nachträgliche Regulierung auch bereits bestehender Systeme drohen.
Sonstige KI-Systeme werden entweder kaum reguliert, wie solche, die nur im Kundenservice eingesetzt werden, oder gar nicht, wenn Systeme beispielsweise Produktionsprozesse optimieren oder Spam erkennen.
Hinsichtlich des Regulierungsziels – Schaffung vertrauenswürdiger und vor allem auch europäischer künstlicher Intelligenz – besteht Einigkeit. Kritisiert werden zum Teil die konkreten Anforderungen, die an Hochrisiko-KI gestellt werden. Diese sind mit Blick auf die Einsatzfelder – kritische Infrastruktur oder Rechtspflege – nachvollziehbar, können sich aber als innovationshemmend erweisen. Insbesondere die Anforderungen an das Risikomanagementsystem oder die Sicherstellung der Qualität der Trainingsdaten kann gerade kleine und mittlere Unternehmen vor erhebliche Herausforderungen stellen.
Auch die Regulierung von Allzweck-KI ist ein Streitpunkt. Solche Systeme können gleich einem „dual-use“-Produkt je nach Trainingsdaten beliebig eingesetzt werden, und so beispielsweise Hausaufgaben schreiben, aber auch die Energieversorgung eines Krankenhauses steuern. Wahrscheinlich unter dem Eindruck neuerer Diskussionen hat der Rat in seinem Vorschlag Allzweck-KI in weiten Teilen den Pflichten, die für Hochrisiko-Systeme gelten, unterworfen. Diese Entwicklung ist aus Sicht europäischer Unternehmen grundsätzlich zu begrüßen. Allzweck-KIs sind zumeist frei verfügbar und damit für Unternehmen interessant, die sich die Entwicklung eines eigenen KI-Systems nicht leisten wollen oder können. Setzt sich der Vorschlag des Rates durch, können Unternehmen, die bestehende Allzweck-KI für Hochrisiko-Anwendungen nutzen, (u.a.) auf Vorarbeit der KI-Ersteller für die Erfüllung der regulatorischen Anforderungen zurückgreifen.
Als Ausgleich für kleine und mittlere Unternehmen (KMU) hat der Rat vorgeschlagen, dass diese bei der Schaffung von Allzweck-KI nicht den obigen Anforderungen unterliegen, sodass diese nicht in ihrer Entwicklung gebremst werden. Auch wurden Pflichten im Zusammenhang mit dem Einsatz von Hochrisiko-KI-Systemen präzisiert und speziell für KMU die Anforderungen an die Dokumentation verringert.
Zudem sollen nach dem Rat neben KI-Reallaboren – Testumgebungen, in denen Unternehmen während der Entwicklung nur sehr zurückhaltend reguliert werden – auch Tests im realen Betrieb möglich sein, auch hier mit besonderer Förderung von KMUs.
Nachdem sich das EU-Parlament am 28. April auf seine Position verständigt hat, wird im Trilogverfahren zwischen diesem, der Europäischen Kommission und dem Rat der Europäischen Union verhandelt. Es ist davon auszugehen, dass die Verordnung voraussichtlich 2024 in Kraft treten wird.
Im Trilogverfahren werden sich zu einigen Themen noch bedeutende Änderungen ergeben können, z.B. bei der Reichweite der Hochrisiko-Einstufung. Bei dem risikobasierten Ansatz der Verordnung wird es jedoch voraussichtlich bleiben. Nach dem Inkrafttreten der Verordnung wird es eine 24-monatige Übergangszeit geben, in der die umfangreichen regulatorischen Anforderungen umgesetzt werden müssen.
Es bleibt zu hoffen, dass mit der KI-Verordnung bald technische Standards in der EU etabliert werden, die Rechtssicherheit schaffen und gleichzeitig notwendige Innovationen und die Anwendung von KI nicht hemmen. Wünschenswert wäre, dass sich die Befürworter einer eher zurückhaltenden Regulierung im Gesetzgebungsverfahren durchsetzen und gerade KMUs von dieser Schlüsseltechnologie der Zukunft nicht abgehängt werden.
