AI Act geleakt: So will die EU die Künstliche Intelligenz regulieren

Nach monatelangen Verhandlungen scheint der Text der KI-Verordnung festzustehen. Bei der Gesichtserkennung haben sich die EU-Staaten durchgesetzt.

Ein Bericht von Friedhelm Greis veröffentlicht am 22. Januar 2024, 15:04 Uhr

Die EU-Vorgaben für KI-Modelle wie ChatGPT sind nun bekannt geworden. (Bild: Jonathan Raa/NurPhoto/Reuters)

Die Verhandlungspartner der EU haben offenbar einen finalen Text der Verordnung zur Künstlichen Intelligenz (KI) vorgelegt. Auf 892 Seiten enthält das Dokument (PDF), das der Journalist Luca Bertuzzi auf X veröffentlichte, die gemeinsame Position von Europaparlament und EU-Mitgliedstaaten. Der Text muss jedoch noch formal von den Verhandlungspartnern akzeptiert werden. Welche Vorgaben sind in dem Text für KI-Systeme im Allgemeinen und Angebote wie ChatGPT nun enthalten?

Die vorläufige Einigung war Mitte Dezember 2023 erzielt worden. Jedoch stand der genaue Wortlaut der 85 Artikel, 89 Erwägungsgründe und neun Anhänge noch nicht fest. In den vergangenen Wochen zeigte sich aber bereits, dass sich die Mitgliedstaaten bei der Zulässigkeit von automatischer Gesichtserkennung weitgehend durchsetzen konnten. Die geleakte Textversion enthält daher die Positionen, die im vergangenen Dezember und Mitte Januar bekannt geworden waren.

Automatische Gesichtserkennung zulässig

Demnach sollen solche Systeme laut Artikel 5 zur "Echtzeit-Fernidentifikation" zu bestimmten Zwecken erlaubt werden, etwa für die "gezielte Suche nach bestimmten potenziellen Opfern von Straftaten oder nach vermissten Kindern". Außerdem soll nach Verdächtigen und Straftätern gesucht werden dürfen. Der vorliegende Text sieht zudem kaum Einschränkungen für die nachträgliche biometrische Fernidentifikation vor.

Die Verordnung enthält umfangreiche Regelungen zu universellen KI-Systemen (General Purpose AI/GPAI). Jedoch findet sich der Begriff "Basismodelle" ("foundation models"), die das Parlament in einem eigenen Artikel 28b regeln wollte, nicht mehr wieder. Stattdessen enthält die Verordnung nun einen eigenen Abschnitt VIIIA, der solche universellen Systeme reguliert. Diese betreffen auch Chatbots wie ChatGPT oder Bard.

Kumulativer Rechenaufwand als Kriterium

Generell verfolgt die EU mit der KI-Verordnung das Konzept, nicht eine bestimmte Technik als solche, sondern nur bestimmte Anwendungen zu regulieren oder zu verbieten. Einsatzgebiete wie eine automatisierte biometrische Gesichtserkennung oder Social-Scoring-Systeme sollen stark eingeschränkt oder verboten werden. Auch sollen EU-Bürger nicht Entscheidungen unterworfen werden, die ausschließlich auf Basis maschineller Verfahren beruhen. Schäden durch KI-Anwendungen können "materiell oder immateriell sein, einschließlich physischer, psychologischer, gesellschaftlicher oder wirtschaftlicher Schäden", heißt es in Erwägungsgrund 4.

Daher definiert der Text bestimmte Kriterien, nach denen GPAI-Anwendungen als "systemisches Risiko" eingestuft werden können. Demnach gilt eine solche Anwendung als riskant, wenn sie über eine hohe Leistungsfähigkeit verfügt, "die auf der Grundlage geeigneter technischer Instrumente und Verfahren, einschließlich Indikatoren und Benchmarks, bewertet wird". Das ist laut Artikel 52a der Verordnung der Fall, wenn der kumulative Rechenaufwand für das Training des Modells mehr als 10²⁵ Gleitkommaoperationen (Flops) beträgt.

Das bedeutet jedoch nicht, dass sämtliche KI-Modelle, die diesen Wert erreichen, als riskant eingestuft werden. Vielmehr können die Anbieter selbst "ausreichend begründete Argumente vorlegen, um nachzuweisen, dass das KI-Modell für allgemeine Zwecke aufgrund seiner besonderen Merkmale ausnahmsweise keine systemischen Risiken birgt". Die EU-Kommission soll diese Einschätzung dann prüfen und könnte diese im Zweifelsfall ablehnen. Die Kommission soll zudem eine Liste der riskanten GPAI-Modelle veröffentlichen und aktuell halten.

In Artikel 52c legt die Verordnung die Anforderungen an die Anbieter dieser Modelle fest.