Das Rahmengesetz über die Entwicklung künstlicher Intelligenz und die Schaffung einer Vertrauensgrundlage, kurz KI-Rahmengesetz, ist seit dem 22. in Kraft. Es ist das erste Mal, dass ein umfassendes Gesetz, das künstliche Intelligenz insgesamt in einem Regelwerk behandelt, auf staatlicher Ebene vollständig in Kraft gesetzt wurde. Doch sechs Tage nach Inkrafttreten steht in den Unternehmen die Arbeit an der Einhaltung der Regeln hinten an. Im Gange ist die Auslegungsarbeit, in welches Feld dieses Gesetzes der eigene Dienst fällt.
Das Gesetz gliedert die Regulierung nach den Achsen Transparenz, hohe Auswirkung und Sicherheit. Transparenz bedeutet, offenzulegen, was KI ist, hohe Auswirkung bedeutet, KI, die das Leben von Menschen stark beeinflusst, strenger zu verwalten. Doch bei den ersten beiden Achsen trat das Gesetz in Kraft, ohne dass die Grenzlinien gezogen waren. Die Kriterien zur Bestimmung von KI mit hoher Auswirkung und die einzelnen Pflichten wurden nicht festgelegt, und auch der Umfang der „externen Verbreitung", die über die Kennzeichnungspflicht für Erzeugnisse entscheidet, sowie die Anwendungskriterien je nach Umsetzung der Bildschirmdarstellung des jeweiligen Dienstes sind den Leitlinien überlassen.
KI mit hoher Auswirkung wird als System bestimmt, das in Entscheidungen eingreift, die Lebensbedingungen bestimmen, etwa Rechte und Pflichten der Bürger, den Lebensunterhalt oder die Kreditwürdigkeit. Fällt ein System darunter, muss ein Risikomanagementkonzept erstellt werden, es muss die Möglichkeit vorbereitet werden, einen Überblick über die Trainingsdaten und die Funktionsweise des Algorithmus zu erläutern, und es müssen Schutzmaßnahmen für Nutzer sowie ein System der unmittelbaren Verwaltung und Aufsicht durch Menschen vorhanden sein. Im Finanzsektor werden Systeme wie bankinterne Kreditbewertungsmodelle, die automatische Kreditprüfung und Limitberechnung sowie die Erkennung auffälliger Transaktionen (FDS) als Kandidaten genannt. In welchem Verfahren und von wem diese Einstufung vorgenommen wird, ist nicht festgelegt.
Bei der Kennzeichnungspflicht gibt es vergleichsweise ein Bild. Die am 21., einen Tag vor Inkrafttreten, veröffentlichten Leitlinien zur Sicherung der Transparenz künstlicher Intelligenz teilen Transparenz auf in die vorherige Mitteilung, dass KI mit hoher Auswirkung oder generative KI eingesetzt wird, und die Pflicht, ein Ergebnis als von KI erzeugt zu kennzeichnen. Wird ein Erzeugnis nur innerhalb des Dienstes verwendet, sind lockerere Formen wie ein Hinweis auf dem Bildschirm oder die Anzeige eines Logos zulässig. Bei Chatbots kann dies durch einen Hinweis vor Beginn des Gesprächs oder ein Logo auf dem Bildschirm erfolgen, bei Spielen und im Metaverse durch einen Hinweis beim Login oder eine Kennzeichnung der Figur.
Verlässt das Erzeugnis den Dienst, steigt das Anforderungsniveau. Bei Ausfuhr, Download und Weitergabe muss ein Wasserzeichen angebracht werden, das Menschen mit Augen oder Ohren wahrnehmen können, oder es müssen nach einem Hinweis per Text oder Ton maschinenlesbare Metadaten eingebettet werden. Erzeugnisse, die wie Deepfakes kaum von der Wirklichkeit zu unterscheiden sind, müssen in einer für Menschen eindeutig erkennbaren Form gekennzeichnet werden. Das Problem liegt darin, dass bei Diensten, in denen Erzeugnisse über SaaS und API hin und her gehen, der Maßstab unklar ist, mit dem sich bestimmen lässt, wo „außen" beginnt.
Auch der Kreis der Verpflichteten lässt sich auf zwei Weisen lesen. Die Pflicht zur Sicherung der Transparenz wird als auf Unternehmen beschränkt bestimmt, die Nutzern KI-Produkte und -Dienste unmittelbar anbieten, doch der Gesetzestext bezieht neben denjenigen, die KI entwickeln und anbieten, auch nutzende Unternehmen ein, die KI übernehmen und daraus Dienste bauen. Für ein Unternehmen, das Dienste mit fremden Modellen verkauft, ist dieser Unterschied nicht geringfügig. Denn der Zeitpunkt, zu dem die Vorbereitung beginnt, und der Umfang des Budgets ändern sich damit vollständig.
Die Untersuchungsergebnisse zum Vorbereitungsstand sind nicht gut. Bei einer Vollerhebung unter 118 Finanzunternehmen im April vergangenen Jahres verfügten nur 5 Banken, 4 Versicherer und 1 Wertpapierhaus über ein Entscheidungsgremium für KI. Rund 85 % der untersuchten Unternehmen hatten weder ethische Grundsätze für KI noch Kriterien für das Risikomanagement erstellt. Es liegt auch ein Untersuchungsergebnis vor, wonach der Anteil der Unternehmen, die angaben, ihre Vorbereitung auf das KI-Rahmengesetz abgeschlossen zu haben, bei 2 % lag.
Im Finanzsektor haben sich die einzuhaltenden Vorschriften Schicht um Schicht aufgetürmt. Über dem Gesetz über elektronische Finanzgeschäfte und den Aufsichtsvorschriften, den Vorschriften zum Informationsschutz einschließlich der Netztrennung, dem Gesetz zum Schutz personenbezogener Daten und dem Kreditinformationsgesetz, den Vorschriften zur internen Kontrolle und zum Verbraucherschutz sowie den KI-Leitlinien für den Finanzbereich liegt nun eine weitere Schicht, das KI-Rahmengesetz. Doch in der Steuerungszentrale dieses Gesetzes ist kein für Finanzen zuständiges Ressort vertreten. Hier hakt es an der Frage, wer an welcher Stelle die besonderen Umstände des Finanzwesens abstimmt.
Die Regierung erklärte, sie werde zur Verringerung der anfänglichen Verwirrung die Vollziehung wie die Ausübung des Untersuchungsrechts und die Verhängung von Bußgeldern um mindestens ein Jahr aufschieben. Dieses Jahr ist eine Frist für die Unternehmen und zugleich die Frist, in der die Regierung die Kriterien ausfüllen muss. Der Minister für Wissenschaft und Informations- und Kommunikationstechnologie muss alle drei Jahre einen KI-Rahmenplan aufstellen, und der Staatliche Strategieausschuss für künstliche Intelligenz wird zu einem gesetzlichen Ausschuss aufgewertet. Das Gerüst des Systems steht, das Fleisch kommt mit der Durchführungsverordnung und den Bekanntmachungen hinzu.
Der Grund für das Gesetz selbst war eindeutig. Mit der Vorschrift des Telekommunikationsgeschäftsgesetzes über das Verbot der Beeinträchtigung von Nutzerinteressen ließ sich die von Algorithmen erzeugte Diskriminierung schwer fassen, und mit dem Netzwerkgesetz, das auf der Annahme der Verbreitung und Offenlegung von Informationen aufgebaut ist, ließ sich die Lage schwer behandeln, in der KI Informationen neu erzeugt. Damit das Gesetz, das zum Füllen von Lücken geschaffen wurde, nicht erneut Lücken hinterlässt, müssen in der verbleibenden Frist Bestimmungskriterien und Grenzfälle als Dokument vorliegen.
Läuft dieses Gesetz richtig, sind die Veränderungen für die Nutzer schlicht und konkret. Beim Öffnen des Beratungsbildschirms erfährt man in der ersten Zeile, ob das Gegenüber ein Mensch ist oder nicht, auf einem heruntergeladenen Bild bleibt der Hinweis, dass es erzeugt wurde, und bei einer abgelehnten Kreditvergabe entsteht ein Weg, nachzufragen, was auf diese Entscheidung eingewirkt hat. Derzeit sind alle drei in Vorbereitung. In dem Maß, in dem im kommenden Jahr die Zeit abnimmt, die Unternehmen mit Anwälten verbringen, nimmt zu, was Nutzer auf dem Bildschirm nachprüfen können.
