Neue Ära für KI-Regeln: EU-Parlament beschließt AI Act, der ChatGPT kontrollieren soll

Auf die Ausschüsse folgt das Plenum: Am Ende hat das EU-Parlament doch noch für den AI Act gestimmt. Vertreter der EU-Kommission sprechen vom „ersten KI-Gesetzeswerk der Welt“ und bezeichnen es als wegweisend. Bürgerrechtler kritisieren jedoch Lücken und Ausnahmen, die etwa bei der biometrischen Überwachung gelten.

Die Abgeordneten nahmen die Verordnung mit 523 zu 46 Stimmen bei 49 Enthaltungen an. Die ursprüngliche Einigung erfolgte bereits im Dezember 2023. Weil bei der finalen Fertigstellung des Verordnungstextes es aber noch zu weitergehenden Änderungen kam, als Abgeordnete erwartet haben, stand der AI Act kurzfristig noch in der Schwebe. Nun ist dieser aber beschlossen.

Das Ziel des Regelwerks ist es, die Risiken von KI-Technologien zu minimieren und gleichzeitig einen Rahmen zu schaffen, von dem insbesondere europäischen Firmen und Entwickler profitieren. Dazu zählen auch weitergehende Maßnahmen wie ein KI-Innovationspaket.

Risikobasierter Ansatz für ChatGPT und Co.

Der AI Act ist ein risikobasierter Ansatz. Das heißt: Je gefährlicher eine Anwendung eingestuft wird, desto strikter sind die Vorgaben. Anwendungen der höchsten Kategorie sind in der EU komplett untersagt. Dazu zählen unter anderem die biometrische Kategorisierung auf der Grundlage sensibler Merkmale und das verdachtsunabhängige Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras für Gesichtserkennungsdatenbanken. Ebenfalls verboten sind künftig auf KI-Technologie basierende Emotionserkennungssysteme am Arbeitsplatz und in Schulen sowie Social-Scoring-Systeme.

Anbieter von Hochrisiko-Systeme müssen hingegen bestimmte Anforderungen erfüllen. Neben Transparenzvorgaben müssen etwa Nutzerprotokolle geführt oder die Systeme von Menschen beaufsichtigt werden. Solche Auflagen greifen, wenn KI-Anwendungen eine „erhebliche Gefahr“ für Gesundheit, Sicherheit, Grundrechte, die Umwelt, Demokratie und den Rechtsstaat darstellen.

Für Large Language Models (LLM) und darauf basierende Anwendungen wie ChatGPT und andere Chatbots gelten hingegen nochmals separate Vorgabe. Denn bei diesen handelt es sich um allgemeine Anwendungen, die sich nicht ohne Weiteres in das Risikosystem einstufen lassen. Anbieter kleinerer Modelle müssen nur bestimmte Transparenzanforderungen erfüllen, verschärfte Auflagen gelten hingegen für „hochwirksame“ Basismodelle. Deren Betreiber müssen unter anderem auch Sicherheitsvorfälle melden.

Lücken durch Ausnahmen für Strafverfolgungsbehörden

Im AI Act gibt es jedoch auch Ausnahmen. In den letzten Wochen und Monaten drehte sich die Diskussion vor allem die biometrischen Überwachungssysteme, die Strafverfolgungsbehörden trotz des neuen Regelwerks einsetzen dürfen. Vertreter der EU-Institutionen sprechen zwar von „eng abgrenzten Ausnahmefällen“ und schützenden Maßnahmen wie einem Richtervorbehalt, Bürgerrechtler kritisieren diese Passagen aber.

So heißt es etwa in einer Mitteilung des Chaos Computer Clubs (CCC), der AI Act schaffe einen Rechtsrahmen für den Einsatz von Gesichtserkennungssoftware. „Ein weiterer Ausbau von Überwachung im öffentlichen Raum ist hier vorprogrammiert“, so der CCC. Von der Bundesregierung fordert man, die Lücken bei der Umsetzung in die nationalen Gesetze zu schließen. Auf ein Verbot biometrischer Erkennung in der Öffentlichkeit habe sich die Ampel bereits im Koalitionsvertrag verständigt, nun sollte man diesem Weg folgen.

Das Risiko, dass jede Überwachungskamera im Nachhinein das eigene Gesicht identifizieren kann, lässt vom Recht auf Anonymität in der Öffentlichkeit nicht viel übrig. Zudem wäre diese Technologie in den Händen einer zukünftig möglichen, rechtsextremen (Landes-)Regierung ein Werkzeug des Schreckens.

Chaos Computer Club

Nur noch formale Schritte

Bis der AI Act tatsächlich in Kraft tritt, fehlen noch einige formale Schritte. Im Rahmen eines Berichtigungsverfahrens sollte die Verordnung aber noch vor der Europawahl im Juni angenommen werden. Auch muss der Rat die neuen Vorschriften noch förmlich zustimmen.

Die Verordnung tritt 20 Tage nach ihrer Veröffentlichung im Amtsblatt der EU in Kraft und gilt – bis auf einige Ausnahmen – 24 Monate nach ihrem Inkrafttreten. Das wäre also voraussichtlich der Frühjahr 2026.