Roboter vor einem Hochhaus
Biometrische Echtzeit-Fernüberwachung soll verboten werden – allerdings mit zahlreichen Ausnahmen.
Midjouney/Stefan Mey

Bereits Anfang Dezember haben EU-Abgeordnete mit Freude verkündet, dass man sich auf eine finale Version eines Gesetzespakets zur Regulierung künstlicher Intelligenz (KI), den AI Act, geeinigt habe. Ganz wahr ist das allerdings nicht, denn auch danach wird noch an diversen Details gefeilt. Nun hat der Journalist Luca Bertuzzi auf X, vormals Twitter, eine Version veröffentlicht, die nach aktuellem Stand als final gilt. Das entsprechende Dokument ist 892 Seiten lang und zeigt die gewünschten Formulierungen der drei EU-Institutionen und jene Version, auf die man sich nach aktuellem Stand geeinigt hat.

Das Dokument sei am Sonntagnachmittag in den EU-Staaten als vorbereitende Maßnahme für eine Diskussion veröffentlicht worden, die für Mittwoch angesetzt ist und bei der es um technische Inhalte geht. Eine formale Akzeptierung dieses Entwurfs ist für den 2. Februar angesetzt.

Unter Zeitdruck

Entsprechend knapp sei nun das Zeitfenster, um alle Inhalte des Dokuments zu analysieren, die Betroffenen werden sich also auf die Kernpunkte konzentrieren müssen, schreibt Bertuzzi. Frankreich hat bereits angekündigt, mögliche Partner zur Formierung einer Sperrminorität zu suchen: Paris möchte zumindest das Votum von 2. Februar verzögern und hofft, noch Änderungen im Text unterbringen zu können. Bisher hat Frankreich für dieses Vorhaben noch keine Partner finden können. Eventuell könnten sich andere Staaten aber bei der Diskussion anschließen, die am Mittwoch auf technischer Ebene stattfindet.

Das Ringen um den AI Act ist auch ein Machtspiel unter den EU-Institutionen. So hat das Europäische Parlament die Regulierungsschrauben deutlich härter anziehen wollen, als die Europäische Kommission dies vorgesehen hatte. Der Europäische Rat hat dieser Version wiederum die Zähne gezogen, der aktuelle Stand entspricht nun mehr der Version von Kommission und Rat. Frankreich Bestreben ist es nun, diverse Details in der Regulierung noch zu bereinigen. So fürchtet man, dass eine zu starke Regulierung die Innovation behindern und somit dem Wirtschaftsstandort schaden könne. Mit Mistral AI ist ein großes Unternehmen der KI-Branche in Frankreich beheimatet.

"Echtzeit-Fernidentifikation" via KI

Dass sich die EU-Staaten gegenüber dem Parlament weitgehend durchgesetzt haben, hat sich bereits in den vergangenen Wochen abgezeichnet. Das gilt auch für die biometrische Überwachung, die entsprechenden Passagen wurden in der neuen Version wieder adaptiert. So ist laut Artikel 5(1)d der Einsatz von Echtzeit-Fernidentifikation an öffentlichen Orten zum Zweck der Strafverfolgung zwar verboten, die ursprünglich vom Europäischen Parlament gestrichenen Ausnahmen finden sich jedoch wieder im Entwurf.

Demnach ist der Einsatz zur Suche nach Entführungsopfern und vermissten "Personen" – ursprünglich war nur von vermissten "Kinder" die Rede – mit der besagten Technologie möglich. Außerdem ist der Einsatz erlaubt, wenn es eine präsente oder vorhersehbare Gefahr für die Sicherheit oder das Leben von Menschen durch einen möglichen Terrorangriff gibt. Auch die Suche nach "Verdächtigen" – zuvor war explizit von "Tätern" die Rede – soll via KI möglich sein. Bedingung ist, dass das Strafausmaß des entsprechenden Verbrechens vier Jahre beträgt, zuvor war von drei Jahren die Rede gewesen.

Entwarnung für Handtaschendiebe

Diese Details sind durchaus relevant, wie Lukas Feiler, Rechtsanwalt und AI-Experte bei Baker McKenzie, erläutert. So macht es etwa einen Unterschied, ob ein bereits identifizierter und flüchtiger Täter oder bloß ein Verdächtiger aufgespürt werden soll.

Ebenso ist die Anhebung der Strafmaßgrenze in Österreich in vielen Fällen entscheidend: Handtaschendiebstahl fällt etwa unter den Strafbestand des gewerbsmäßigen Diebstahl und kann bis zu drei Jahre Freiheitsstrafe nach sich ziehen. In der alten Version hätten Handtaschendiebe also via Echtzeit-Fernidentifikation ausgeforscht werden können, in der aktuellen Version ist dies nicht möglich.

Nur mit Genehmigung

Fraglich ist laut Feiler überhaupt, wie die institutionellen Abläufe geregelt werden. So ist es bisher in Österreich so, dass für ähnliche Verfahren wie große Lauschangriffe eine Anordnung der Staatsanwaltschaft ebenso wie eine richterliche Genehmigung vorliegen muss. Für die im AI Act vorgesehenen Maßnahmen müssen die Regeln jedoch erst noch geschaffen werden. "Das ist auf technologischer Ebene noch relativ neu, und für die Gesichtserkennung braucht es große Datenmengen", sagt Feiler.

Derzeit dürfen Unternehmen Material aus Überwachungskameras freiwillig an die Behörden übermitteln, bei Unternehmen mit öffentlichem Versorgungsauftrag – etwa bei Verkehrsbetrieben – kann die Bereitstellung der Daten angeordnet werden. Die Auswertung von teils Millionen Stunden an Videomaterial kann aber nur vollautomatisiert erfolgen, und mit dem AI Act liegt nun die gesetzliche Vorlage dafür auf dem Tisch. Feiler glaubt, dass man auch hier die Notwendigkeit einer richterlichen Genehmigung und Kontrolle schaffen wird.

Ob die geplante Version nun tatsächlich beschlossen wird, hängt vor allem davon ab, ob Frankreich sich mit seinen Anliegen noch durchsetzen kann. Denn sollte sich die geplante Abstimmung im Februar weiter verzögern, so wäre ein Beschluss vor der EU-Parlamentswahl im Juni äußerst unrealistisch und das Vorhaben vorerst gescheitert.

Läuft hingegen alles nach Zeitplan, so könnte das Gesetzespaket frühestens im Jahr 2025 in Kraft treten, denn das Gesetz sieht Übergangsfristen von bis zu 18 Monaten vor, damit sich die Unternehmen an die neuen Regeln anpassen können. Bis dahin sollen die Konzerne zu einer freiwilligen Selbstregulierung animiert werden. Inwiefern die lange ausgearbeiteten Regeln angesichts der rapide fortschreitenden technologischen Entwicklung nach 2025 noch aktuell sind und ob es Europa gelingt, wie geplant als Vorbild für die restliche Welt aufzutreten, lässt sich heute schwer antizipieren. (Stefan Mey, 23.1.2024)