Die Regulierungsdebatte rund um KI verschiebt sich von der Kontrolle in der Phase der Modellerstellung hin zur Verteilung der Verantwortlichkeit. Im US-Repräsentantenhaus legten der Republikaner Jay Obernolte und die Demokratin Lori Trahan am 4. Juni Ortszeit einen 269 Seiten umfassenden KI-Gesetzentwurf vor, einen Tag später, am 5., wurden die Executive Order der Trump-Regierung „zur Förderung von Innovation und Sicherheit bei fortgeschrittener KI" und das Whitepaper von OpenAI „Demokratische Governance von Frontier-KI: Eine Blaupause für einen Bundesrahmen" veröffentlicht. Die drei Dokumente zielen jeweils auf andere Punkte, doch gemeinsam stellen sie die Frage, was zwischen Entwicklerfirmen und Regierung, Bundesstaaten und Bund wem zufällt.
Der Entwurf des Repräsentantenhauses verpflichtet Unternehmen, die modernste Modelle entwickeln, Pläne zum Umgang mit Risiken aufzustellen und umzusetzen, und lässt deren Erfüllung durch unabhängige Auditstellen Dritter überprüfen. Als Aufsichtsbehörde wurde CAISI im Handelsministerium benannt. Der Entwurf schreibt eine bislang per Executive Order betriebene Einrichtung gesetzlich fest und stattet sie über drei Jahre mit 300 Millionen Dollar (rund 460 Milliarden Won) aus.
Der Ansatz der Regierung ist anders gelagert. Die Executive Order hält fest, dass für Entwicklung und Bereitstellung neuer Modelle keine Pflichtlizenz und keine vorherige Genehmigung vorgesehen sind. Stattdessen soll ein freiwilliger Rahmen geschaffen werden, in dem Entwicklerfirmen der Regierung vor der Veröffentlichung bis zu 30 Tage lang vorab Zugang gewähren, und beim nicht öffentlichen Benchmarking, das die regulierten Frontier-Modelle bestimmt, übernimmt die NSA eine zentrale Rolle. Die Bewertung der Cyberfähigkeiten wird um NSA und CISA herum aufgebaut.
Auch das Whitepaper von OpenAI grenzt sich von einem Genehmigungssystem ab. Für die obersten Frontier-Modelle sollen Sicherheitsbewertungen und Verfahren zur Risikominderung vor der Veröffentlichung verpflichtend werden, dagegen lehnt es ab, dass die Regierung die Befugnis erhält, eine Veröffentlichung zu genehmigen oder zu unterbinden. Zugleich schlug es vor, CAISI zu einer ständigen Drehscheibe auszubauen, die Sicherheitsbewertungen, die Erarbeitung von Teststandards, die Akkreditierung unabhängiger Prüfstellen und die Abstimmung mit internationalen Partnern übernimmt. Alle drei Dokumente benennen dieselbe Behörde, doch was sie ihr übertragen wollen, unterscheidet sich.
Der schärfste Konflikt liegt zwischen Bund und Bundesstaaten. Der Entwurf des Repräsentantenhauses untersagt den Bundesstaaten Regelungen, die auf die Entwicklung von KI-Modellen selbst zielen, und lässt zugleich staatliche Regelungen zur Art der Nutzung wie bei Betrug, Diskriminierung und Verbraucherschäden unangetastet. Diese Beschränkungsklausel ist mit einer Verfallsregelung versehen, nach der sie nach drei Jahren automatisch außer Kraft tritt. Auch das Weiße Haus hatte im März in dem dem Kongress vorgelegten Entwurf für die KI-Politik eine Bundesgesetzgebung gefordert, die Entwicklungsregelungen der Bundesstaaten begrenzt.
Die Reaktionen fielen unterschiedlich aus. Brad Carson, Vorsitzender von „Americans for Responsible Innovation (ARI)", wies darauf hin, dass die Mindestabsicherungen der KI-Gesetzgebung der Bundesstaaten umgekehrt zur Obergrenze werden könnten. Technologieverbände wie ITI begrüßten den Entwurf dagegen mit Verweis darauf, dass die Regulierungsstandards vereinheitlicht werden. Die Trennlinie verläuft eher bei der Frage, auf welcher Ebene die Regulierung ansetzt, als bei ihrer Schärfe.
Dieselbe Frage stellt sich im südkoreanischen Finanzsektor in anderer Sprache. Yeon Tae-hoon, leitender Forscher am Korea Institute of Finance (한국금융연구원), unterteilte in seinem Bericht „Aufbau eines Regulierungsrahmens für den KI-Einsatz im Finanzsektor" die Regulierungstypen in die Kontrolle von Nebenwirkungen durch Gesetzgebung, die Förderung von Selbstregulierung auf Basis branchenspezifischer Leitlinien und die Ausweitung des bestehenden Modellrisikomanagements (MRM) auf KI. Modellrisikomanagement bezeichnet ein Verwaltungsverfahren, bei dem die verschiedenen Prognose- und Bewertungsmodelle eines Finanzunternehmens erfasst, eingestuft, überprüft und überwacht werden. Der Bericht sah in der dritten Variante den Kontrollprozess, der sich hinsichtlich der Umsetzbarkeit am besten anbietet.
Als konkrete Elemente werden die Identifikation und Bewertung von Modellen, die Vergabe von Risikoklassen, die Dokumentation, Tests vor dem tatsächlichen Einsatz, laufende Überwachung und Prüfung sowie die Einrichtung einer eigenen Abteilung für das Risikomanagement genannt. Dazu wurde auch eine Darstellung vorgelegt, die die Prüfung durch eine unabhängige Abteilung und die interne Genehmigung, das Management Dritter und ein dreifaches Verteidigungssystem ergänzt. Der Gedanke ist, anstelle eines neuen Gesetzes den Anwendungsbereich der Kontrollverfahren auszuweiten, die die Finanzunternehmen bislang betrieben haben.
Im Ausland ist man diesen Weg gegangen. Die britische Prudential Regulation Authority führte 2023 Grundsätze für das Modellrisikomanagement ein, die kanadische Finanzaufsicht OSFI legte im vergangenen Jahr entsprechende Leitlinien vor, und die USA überarbeiteten ihre Richtlinien in diesem Jahr und veröffentlichten sie. In Südkorea gibt es keine Leitlinie zum Modellrisikomanagement, die für den gesamten Finanzsektor gilt. Mit dem in diesem Jahr in Kraft getretenen KI-Rahmengesetz kommt zwar Regulierung, doch für die Ebene der Finanzmodelle fehlt das Instrument.
Der Bericht ging davon aus, dass KI im Finanzsektor sich mit Ausnahme einiger Bereiche, in denen der Nachweis der Regelkonformität schwierig ist, praktisch über alle Aufgaben ausbreiten wird. Zugleich rechnete er damit, dass über längere Zeit klassische mathematische und statistische Modelle und KI-Modelle nebeneinander genutzt werden. Daher wurde die Empfehlung angefügt, KI nicht gesondert herauszulösen, sondern parallel ein Verwaltungssystem einzuführen, das auch die Nicht-KI-Modelle einbezieht, damit blinde Flecken abnehmen. Denn wenn nur eine Seite angezogen wird, wandern die Aufgaben zur Seite mit der lockereren Aufsicht.
Eine Regulierung, die an der Phase der Modellerstellung ansetzt, erzeugt große politische Reibung und kommt dem technischen Wandel schwer hinterher. Eine Regulierung dagegen, die festhalten lässt, wer geprüft und wer genehmigt hat, wenn dieses Modell in der Kreditprüfung eingesetzt wird, Versicherungsprämien bemisst und Bewerbungen aussortiert, arbeitet auf den bestehenden Verfahren.
Wer am Bankschalter mit seinem Kredit abgelehnt wurde, fragt nicht danach, welches Modell aus wie vielen Parametern gebaut wurde. Er will wissen, welches Verfahren zu dieser Entscheidung geführt hat und an wen er sich wenden kann, wenn sie falsch war. Der Entwurf des Repräsentantenhauses in Washington hat die Beratung im Fachausschuss noch vor sich, und auch die Überarbeitung der Aufsichtsvorschriften in Südkorea braucht bis zum Abschluss noch Zeit.
