Von Noémi Ziegler
Am 13. Februar 2024 wurde die KI-Verordnung von den zuständigen parlamentarischen EU-Ausschüssen angenommen. Mitte März hat das EU-Parlament den Verordnungstext im Plenum verabschiedet, nun folgt die formelle Schlussabstimmung im Rat. In Kraft tritt die KI-Verordnung zwanzig Tage nach Publikation im Amtsblatt der EU. Wirksam wird sie zwei Jahre nach Inkrafttreten, viele Bestimmungen werden aber bereits früher gelten. Damit wurde ein europäischer Kompromiss geschaffen, zeitlich haarscharf vor den parlamentarischen Neuwahlen.
Internationaler Rechtsrahmen für KI-Nutzung
Die Schweiz ist weniger weit. Auf internationaler Ebene zeigt sie aktives Engagement: Im Europarat hat sie derzeit das Präsidium des Ausschusses für Künstliche Intelligenz (CAI) inne. Der Europarat ist kein Organ der Europäischen Union, sondern eine internationale Organisation, die sich dem Schutz und der Gewährleistung der Demokratie, der Menschenrechte und der rechtsstaatlichen Prinzipien verschrieben hat. Das CAI ist seit 2022 daran, Regelungen zur Gewährleistung der erwähnten Grundpfeiler beim Einsatz von KI auszuarbeiten. Am 14. März 2024 haben sich die beteiligten Akteure auf einen Konventionsentwurf geeinigt, dieser ist im Zeitpunkt des Verfassungsdatums dieses Artikels noch nicht amtlich veröffentlicht. Die Vorarbeiten dazu werden von Vertretern der Zivilgesellschaft heftig kritisiert. Zu Beginn der Verhandlungen noch in die Arbeiten zum Konventionsentwurf involviert, wurde die Zivilgesellschaft zunehmend vom Entscheidungsfindungsprozess ausgeschlossen. In einem offenen Brief monierten die zivilgesellschaftlichen Interessensgruppen, dass demgegenüber die Beobachterstaaten bei der Ausarbeitung des Textes aktiv involviert waren. Als Beobachterstaat gilt ein Staat, der nicht Mitglied des Europarats und damit ohne Stimmrecht ist, jedoch ein Mitspracherecht bei den Verhandlungen innehat (z.B. USA, Kanada, Israel).
Mit der Konvention sollte durch Statuierung der vorstehend erwähnten grundrechtlichen Prinzipien beim Einsatz von KI das erste internationale Regelwerk geschaffen werden. Genau diese Grundwerte sieht die Zivilgesellschaft nun jedoch in Gefahr. Die Beobachterstaaten lassen die Konvention durch die Parlamente nur ratifizieren, wenn ihre Interessen darin adressiert sind. Deshalb sind wesentliche Aspekte zu Gunsten der aussereuropäischen Verhandlungspartner geregelt worden. Namentlich sind "Öffnungsklauseln" betreffend den Geltungsbereich der Konvention dahingehend formuliert, dass es faktisch den einzelnen Konventionsstaaten überlassen bleibt, inwiefern der Privatsektor von der Konvention erfasst wird. Techkonzerne kommen also unter Umständen in den Genuss einer Freistellung.
Ebenso kritisieren die Unterzeichnenden die Freistellung für den öffentlichen Sektor im Bereich der nationalen Sicherheit und Verteidigung. Damit könnten nämlich unter dem Deckmantel der nationalen Sicherheit und Verteidigung beispelsweise biometrische Massenüberwachungssysteme aus dem Anwendungsbereich fallen. Bezahlt die Konvention die interkontinentale Ausgestaltung mit dem Preis einer Aufweichung grundlegender Pflichten für die zentralen Akteure im privaten und öffentlichen Sektor, und dies primär zu Gunsten aussereuropäischer Staaten? Bei der Konvention geht es jedenfalls um die Gewährung grundrechtlicher Ansprüche; insofern sollten diese auch auf einem solchen Verständnis aufgebaut sein. Die Geister der Beteiligten scheiden sich offenbar daran, wer die Verhältnismässigkeitsprüfung vollziehen soll.
Auch deutlich wird der Unterschied zur KI-Verordnung: diese wird als Produktregulierung bezeichnet und richtet sich an alle Adressaten in der KI-Wertschöpfungskette. Die Anwendung bestimmt sich konsequenterweise durch das Marktortprinzip. Das heisst stark vereinfacht gesagt: hat eine marktrelevante Tätigkeit einen Zusammenhang mit KI (Entwicklung, Anwendung, Inverkehrbringen) und einen Bezug zum europäischen Markt, gelangt die KI-Verordnung (ggfs. extraterritorial) zur Anwendung.
Nebst dem Engagement im Europarat wirkt die Schweiz in zahlreichen Vorhaben mit, so in verschiedenen Normierungsorganisationen, beispielsweise im KI-Zentrum der Uno, wo es um die Festsetzung weltweit anwendbarer technischer Standards geht.
Der Bundesrat wartet ab
Der Bundesrat wartet trotz mehrerer Aufforderungen in parlamentarischen Vorstössen mit der KI-Regulierung zu und verweist jeweils auf seinen erteilten Auftrag an das Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK) und das Eidgenössische Department für auswärtige Angelegenheiten (EDA), bis Ende 2024 Lösungsansätze zur KI-Regulierung in der Schweiz vorzulegen. Darauf basierend will er 2025 dann einen konkreten Regulierungsvorschlag vorlegen. Nach wie vor ist unklar, in welche konkrete Richtung die hiesige Regulierung gehen wird. Ein Gesetzgebungsverfahren ist gemäss neusten Auskünften des federführenden Bundesamtes für Kommunikation (BAKOM) jedenfalls nicht initiiert, im Rahmen einer informellen Auslegeordnung holt man derzeit aber die Voten verschiedener Interessensgruppen ab – und wartet die europäischen Entwicklungen ab. In der Strategie Digitalaussenpolitik 2021-2024 der Abteilung Europa (EDA) ist festgehalten, dass sich die Schweiz für eine massvolle Regulierung engagieren will, welche KI fördert und gleichzeitig konkreten Risiken entgegenwirkt.
Bundesrat und Gesetzgeber scheinen gemächlich voranzuschreiten oder einen Schritt zurückzugehen, um einen ganzheitlichen Blick zu erhalten. Derzeit scheint es, dass die Herausforderung auf nationaler Ebene wirtschaftsfreundlich und sektorspezifisch gelöst werden sollen. So sind das UVEK und das Bundesamt für Justiz mit der Ausarbeitung einer Vernehmlassungsvorlage zur Regulierung grosser Kommunikationsplattformen (Intermediäre) beauftragt. Diese sollte eigentlich bis Ende März 2024 vorliegen, nun darf nicht vor Herbst damit gerechnet werden; das ergab gemäss einer westschweizerischen Tageszeitung im vergangenen Februar offenbar eine Nachfrage beim UVEK. Im Rahmen der Revision des Urhebergesetzes wird zudem evaluiert, ob durch KI-Anwendungen verwendete journalistische Inhalte geschützt werden sollen beziehungsweise zu vergüten sind (sog. Leistungsschutz). Die Vernehmlassung ist abgeschlossen, der Ergebnisbericht liegt allerdings noch nicht vor.
Diese Frage ist von allgemeiner Bedeutung, wenn es um die Frage geht, welche Inhalte KI-Anwender beim Einsatz/Training einer KI verwenden dürfen sollen. Wenn eine KI-Anwendung Inhalte von anderen Werken übernimmt, dann sind diese Teile des Outputs möglicherweise urheberrechtlich geschützt. Diese Frage und was genau überhaupt urheberrechtlich zu regulieren ist, ist noch offen. Nicht zu vergessen bleibt einmal mehr auch der Datenschutz: Der Eidgenössische Datenschutzbeauftragte (EDÖB) stellte jedoch klar, dass das Datenschutzgesetz auf den Einsatz von KI vollends anwendbar ist. KI bewegt sich also nicht im "rechtsfreien" Raum.
Chance für die Schweizer KI-Landschaft
Die Grundfrage nach dem Regelungsgegenstand und demnach nach der sinnvollen und effektivsten Regulierung von KI bleibt jedoch. Eine Schritt zurück mag auch eine Chance sein. Was soll genau durch gesetzliche KI-Regulierung reguliert werden: Grundrechtsansprüche, die Technologie, die Anwendung von KI? Und wie? Ein jüngst eingereichtes Postulat verlangt 1), durch "agile" Gesetzgebung die punktuellen Rechtsgrundlagen für mögliche Pilotprojekte zu schaffen (wie jüngst im Automobil- oder Energiebereich) und 2) die Schaffung von Umgebungen und Fördermassnahmen im Bereich KI-Tests und Audits (Stichworte: "trustworthy AI" bzw. "trusted AI"). Es braucht also zum einen das richtige regulatorische Umfeld, um KI voranzutreiben sowie Anreize und Angebote für Unternehmen, KI zu entwickeln, zu testen und anzuwenden. Der Kanton Zürich schafft solche Rahmenbedingungen mit sogenannten Sandboxes. Für Unternehmen wird es überdies um Governance gehen: sie benötigen Prozesse und Massnahmen, um die Datenrichtigkeit, Qualitätssicherung, Informations- und Transparenzpflichten sicherzustellen. Zum andern muss man sich bewusst sein, dass KI grundrechtliche Herausforderungen schafft; ein grosses Thema ist diesbezüglich die Diskriminierungsfrage ("bias").
Abschliessend nicht zu vergessen ist, dass Schweizer Unternehmen gleichwohl die KI-Verordnung der EU einzuhalten haben, wenn sie auf dem europäischen Wettbewerb agieren. Dasselbe gilt je nach Markttätigkeit auch für andere EU-Regelwerke, so der Data Act, der Digital Services Act sowie der Digital Market Act. Von Vorteil für viele Unternehmen dürfte dabei das Learning im Zusammenhang mit der Umsetzung des Datenschutzgesetzes sein: aktive frühzeitige Planung lohnt sich!
Die Autorin
Noémi Ziegler ist Expertin im Datenschutzrecht bei der Anwaltskanzlei MME und berät zu sämtlichen Fragen des Informations-, Daten- und Technologierechts sowie den jeweiligen Schnittstellenfragen zu anderen Rechtsgebieten. Dazu zählt auch die Beratung im Zusammenhang mit Modellen künstlicher Intelligenz (KI). Schwerpunkte bilden Data-sharing- und Datennutzungs-Modelle, Datenverträge, konzern- und grenzüberschreitende Datentransfers sowie die Unterstützung bei IT-Projekten und Outsourcings. Sie vertritt ihre Klienten vor Behörden und unterstützt sie bei Audits und Compliance-Prozessen.
