Stellen wir uns ein fünfköpfiges Team vor, das in einer Ecke des Krankenhausflurs ein Assistenzprogramm für die Befundung von Bildaufnahmen vorführt. Der Algorithmus läuft, und auch die Klinikerinnen und Kliniker zeigen Interesse. Für den nächsten Schritt braucht es jedoch Erläuterungsunterlagen, Aufzeichnungen zum Risikomanagement, eine Aufstellung der Datenherkunft und einen Plan zur nachgelagerten Überwachung. Wie viele Personen in diesem Team können diese Arbeit übernehmen?
Die KI-Regulierung in Südkorea hat sich vom Gesetz über die Durchführungsverordnung bis hinunter zu den nachgeordneten Bekanntmachungen zu einem geschlossenen Regelwerk gefügt. Mit dem Abschluss des Verfahrens der behördlichen Vorankündigung ist im Wortlaut weitgehend geklärt, was Unternehmen einzuhalten haben. Auch auf Ebene internationaler Organisationen wurde die Diskussion über Sorgfaltsleitlinien fortgeführt, die Unternehmen dabei helfen sollen, den Stand ihres KI-Managements selbst zu überprüfen. Die Phase, in der Normen zu Dokumenten werden, ist vorbei, offen bleibt nun, wer diese Dokumente tatsächlich umsetzt.
Ebenso wichtig wie die Schärfe der Regulierung ist ihre Verteilung. Als hochriskant eingestuft werden leicht jene Bereiche, die den menschlichen Körper unmittelbar berühren, etwa Medizin, Diagnostik und Gesundheitsversorgung. Ein erheblicher Teil der südkoreanischen Unternehmen, die in diesem Feld tätig sind, sind jedoch junge Firmen mit einigen Dutzend Beschäftigten. Das vom Gesetz geforderte Sicherheitsmanagementsystem ist für die Compliance-Abteilung eines Großkonzerns eine Zeile im Aufgabenplan, für diese Unternehmen wird es zu einer Entscheidung, die sie gegen die Produktentwicklung eintauschen müssen.
Wird also nicht ausgestaltet, wer die Kosten der Sicherheitsregulierung wie trägt, ordnet sich die südkoreanische Medizin-KI so, dass sie statt riskanter Dienste kleine Unternehmen aussortiert.
Der Einwand ist klar und gewichtig. In der Medizin zahlen die Patientinnen und Patienten den Preis des Scheiterns, deshalb ist es gefährlich, wegen geringer Größe weniger Prüfung zu verlangen. Dem stimme ich zu.
Es geht nicht darum, die Anforderungen zu lockern. Gemeint ist, dass dieselben Maßstäbe gelten sollen, das Problem aber in einer Ausgestaltung liegt, die jedes einzelne Unternehmen den praktischen Aufwand zur Erfüllung dieser Maßstäbe von Grund auf selbst erzeugen lässt.
Standardisierte Dokumentvorlagen, gemeinsame Prüfdatensätze und eine geteilte Infrastruktur, die die Regulierungsarbeit stellvertretend erledigt, senken allein die Kosten, ohne die Sicherheit zu senken. Hält der Zustand an, dass Daten für die klinische Prüfung mit jedem Krankenhaus neu vertraglich beschafft werden müssen, überleben am Ende nur jene, die über ein Krankenhausnetzwerk verfügen. Der Maßstab, der den Markt teilt, verschiebt sich von der Sicherheit zur Beschaffungsfähigkeit, und das ist nicht das von der Regulierung beabsichtigte Ergebnis.
Die Aussage, ein System sei vollendet, wird oft als Ende gelesen. Der Zeitpunkt, zu dem Normen in Paragrafen gefasst sind, ist jedoch eher der Moment, in dem die Beobachtung der Umsetzungskosten beginnt. Wie sich nach den Bekanntmachungen die Zahl der Zulassungsanträge südkoreanischer Medizin-KI-Unternehmen bewegt und ob der Neueintritt junger Firmen zurückgeht, wird zum Zeugnis dieser Ausgestaltung. Diese Statistik wird erst in einigen Quartalen Gestalt annehmen.
Für Patientinnen und Patienten ist diese Debatte nicht abstrakt. Hier entscheidet sich, ob Assistenzprogramme für die Befundung nur in großen Krankenhäusern installiert werden oder auch in den Sprechzimmern kleinerer und mittlerer Kliniken in der Provinz ankommen. Wenn die Gesellschaft die Kosten der Sicherheit gemeinsam trägt, wird die eine Zeile eines assistierenden Befunds auf dem Bildschirm im Sprechzimmer auch außerhalb der großen Krankenhäuser in Seoul zu sehen sein.
Was die Regulierung schützen soll, ist keine Liste von Technologien. Es ist der Alltag der Menschen, die vor diesem Bildschirm sitzen.
