KI-Verordnung: Regeln für Biometrie-Überwachung bleiben unscharf

Teilen

Die KI-Verordnung der EU lässt wichtige Fragen der Regulierung von Künstlicher Intelligenz offen. Aus diesem Grund hat die EU-Kommission gestern Leitlinien zum Gesetz veröffentlicht. Doch auch die bleiben uneindeutig, vor allem bei den Themen biometrische Überwachung und Social Scoring. Auch eine Definition von KI fehlt weiterhin.

Welche Regeln gelten fürs Gesichterscannen? – Public Domain cottonbro studio / Pexels

Wichtige Detailfragen zur europäischen KI-Verordnung bleiben weiter ungeklärt. Das EU-Gesetz verbietet zwar manche Anwendungen von sogenannter Künstlicher Intelligenz, weil diese für die Gesellschaft zu riskant sind. Das Gesetz sagt jedoch nicht, wo genau die Grenzen dieser Verbote verlaufen. Die Europäische Kommission hat deshalb gestern Leitlinien veröffentlicht, die mehr Klarheit geben sollen – das aber an entscheidenden Stellen nicht tun.

Die Leitlinien kommen verspätet: In der EU gelten bereits seit dem 2. Februar neue Regeln für den Umgang mit Künstlicher Intelligenz. KI-Systeme, die hohe Risiken für Sicherheit und Gesundheit darstellen, sind nun weitgehend verboten. Außerdem müssen Unternehmen fortan den Risikograd ihrer KI-Anwendungen bewerten.

Eigentlich wollte die Kommission ihre Leitlinien schon vor dem 2. Februar veröffentlichen, das hat sie aber nicht geschafft. Außerdem fehlt weiterhin eine Definition darüber, welche Systeme überhaupt als „Künstliche Intelligenz“ gelten und damit unter die Regeln der Verordnung fallen.

Das sei „super problematisch“, meint auch Blue Tiyavorabun von European Digital Rights (EDRi). Tiyavorabun beobachtet für EDRi die europäische KI-Politik. „Das fügt sich ein in eine Reihe von schlechten Prozessen bei der Umsetzung der KI-Verordnung und schwächt die Rechtssicherheit stark.“

Mit den Leitlinien versucht die Kommission, Antworten auf offene Fragen zu geben. Doch wirkliche Klarheit sieht anders aus. Vor allem deshalb, weil die Kommission weiterhin keine KI-Definition veröffentlicht hat. Damit aber bleibt unklar, welche Systeme überhaupt unter die Regeln der KI-Verordnung fallen.

Regeln für biometrische Überwachung

Ein heikles Thema, das die KI-Verordnung regeln soll, ist die biometrische Überwachung. Dabei geht es etwa um Kameras, die Gesichter von Menschen im öffentlichen Raum scannen, mit einer Datenbank abgleichen und so identifizieren. Das Gesetz unterscheidet zwischen „Echtzeit-“ und „nachträglicher“ Überwachung.

In „Echtzeit“ dürfen Polizeibehörden biometrische Überwachung nur unter bestimmten Umständen einsetzen. Sie dürfen damit etwa nur die Identität einzelner Personen bestätigen. Das geht nur bei Opfern von Entführungen, bei möglichen tätlichen Angriffen oder wenn Betroffene schwerer Verbrechen verdächtigt werden.

Für die nachträgliche Analyse, etwa von Videoaufnahmen, gelten weniger strenge Regeln. In diesem Fall dürfen Behörden Personen biometrisch analysieren, wenn sie danach innerhalb von zwei Tagen eine richterliche Erlaubnis einholen. Außerdem genügt hier bereits ein „Zusammenhang“ mit einer vorhersehbaren Gefahr, dass eine Straftat begangen werden könnte.

Die Mitgliedstaaten benutzen diese schwachen Regeln schon jetzt, um auf nationaler Ebene bedrohliche Gesetze durchzubringen, warnt Blue Tiyavorabun von EDRi. So schlage Belgien bereits vor, die Ausnahmen aus der KI-Verordnung eins zu eins zu kopieren und so mehr biometrische Überwachung zu ermöglichen.

Grenze bleibt unscharf

Die zentrale Frage bei der biometrischen Videoüberwachung lautet jedoch: Ab wann gilt deren Einsatz als „nachträglich“? Für die KI-Verordnung bedeutet Echtzeit „ohne erhebliche Verzögerung“, aber was soll das heißen? Reichen schon fünf Sekunden? Dann könnten Behörden die strengeren Vorschriften für Echtzeitüberwachung relativ einfach umgehen.

Auf diese Frage liefern die Leitlinien keine brauchbare Antwort. „Das wird von Fall zu Fall entschieden werden müssen“, heißt es dort: „Grob gesagt, ist eine Verzögerung zumindest erheblich, wenn eine Person wahrscheinlich den Ort verlassen hat, an dem die biometrischen Daten aufgenommen wurden.“ Eine Gruppe zivilgesellschaftlicher Organisationen, darunter Access Now und AlgorithmWatch, hatte kürzlich eine weitaus strengere Bestimmung gefordert, nämlich dass diese Verzögerung mehr als 24 Stunden betragen sollte.

„Wir werden keine Timeline aufstellen“, sagte gestern ein Kommissionsbeamter. „Unserer Ansicht nach hängt das von der konkreten Situation ab.“ Der Beamte bestätigte aber, dass die Kommission keine automatische Umgehung ihrer Vorschriften sehen möchte. Behörden sollen also nicht etwa einfach ihre Videoüberwachung um fünf Sekunden verzögern und dann analysieren können.

Daten für Social Scoring

Eine weitere KI-Anwendung, die das Gesetz verbietet, ist das Social Scoring. Damit sind Anwendungen gemeint, die Menschen umfassend überwachen und ihnen dann eine Bewertung zuteilen, wegen derer sie daraufhin in anderen Lebensbereichen möglicherweise Nachteile erfahren.

Die zivilgesellschaftliche Gruppe rund um Access Now und AlgorithmWatch hatte gefordert, dass dieses Verbot auch auf Systeme ausgedehnt werden sollte, die in Europa heute schon verbreitet sind. Manche Anwendungen schließen etwa aus dem Wohnort auf die ethnische Zugehörigkeit einer Person. Hier fordert die Gruppe ein klares Verbot. Die KI-Verordnung bezieht abgeleitete Daten schon mit ein. Laut der Leitlinien gilt auch die Wohnadresse als persönliche Eigenschaft – das könnte die befürchtete Ausnutzung tatsächlich einschränken.

Was bedeuten die Leitlinien für die Schufa?

Eine Anwendung von KI, die die KI-Verordnung erlaubt, sind Kreditwürdigkeitsprüfungen. Das sind Systeme, wie sie in Deutschland die Wirtschaftsauskunftei Schufa betreibt. Sie weist Menschen einen Bonitätsscore zu. Banken können diesen Score dann einbeziehen, wenn sie entscheiden, ob sie Menschen einen Kredit gewähren. Der Europäische Gerichtshof schränkte vor zwei Jahren den Umfang ein, in dem sich Banken dabei auf den Score stützen dürfen.

Auch die Leitlinien gehen auf solche Prüfungen ein: Solange sie den Gesetzen für Verbraucher:innenschutz folgen und für Kreditbewertungen relevant sind, sind sie vom Social-Scoring-Verbot ausgenommen.

Das Dokument der Kommission nennt die Schufa an anderer Stelle aber explizit – und zwar als Beispiel für ein System, das potenziell verboten sein könnte. Die Kommission schreibt, dass die Bewertung der Kreditwürdigkeit persönliche Charakteristiken einbeziehen könnte. Deshalb könnte das Social-Scoring-Verbot hier gelten, falls dafür KI-Systeme genutzt werden und Menschen durch ihren Bonitätsscore schlechter behandelt werden könnten.

„Wir beobachten die Entwicklungen rund um die Regulierung der KI sehr genau“, sagte ein Sprecher der Schufa zu netzpolitik.org. Die Richtlinien würden sich am Urteil des Europäischen Gerichtshofs orientieren. Laut der Schufa bestätigen sie die bestehende Rechtslage.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.