Wie sich die KI-Regulierung weltweit unterscheidet, und warum das Sie betrifft

Drei große Ansätze zur Regulierung künstlicher Intelligenz haben sich herausgebildet, und die meisten anderen Länder borgen bei einem von ihnen. Die Unterschiede sind gewichtig und bestimmen, was Unternehmen bauen und einsetzen können.

Das europäische Modell: umfassend und risikobasiert:

Die Europäische Union hat breit gesetzgeberisch gehandelt und sortiert KI-Systeme nach Risiko. Manche Verwendungen sind schlicht verboten. Eine festgelegte Gruppe von Hochrisikoanwendungen, darunter Beschäftigung, Bildungszugang, Kredit, wesentliche Dienste, Strafverfolgung und kritische Infrastruktur, trägt erhebliche Pflichten: Risikomanagement, Datenverwaltung, Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung vor dem Einsatz.

Systeme, die mit Menschen interagieren, müssen offenlegen, dass sie KI sind, und synthetische Inhalte müssen gekennzeichnet werden. Universell einsetzbare Modelle tragen eigene Dokumentations- und Urheberrechtspflichten, mit zusätzlichen Anforderungen für die größten.

Zwei Merkmale geben dem Regelwerk globale Reichweite: Es gilt für jeden, der Systeme auf dem EU-Markt anbietet, unabhängig vom Sitz, und die Bußgelder bemessen sich am weltweiten Umsatz.

Das amerikanische Modell: sektoral und vollzugsgetrieben:

Die Vereinigten Staaten haben kein umfassendes Bundesgesetz zur KI, und die Haltung des Bundes wechselt zwischen den Regierungen. Bestehendes Recht gilt ungeachtet dessen: Das Antidiskriminierungsrecht im Arbeitsleben erfasst voreingenommene Einstellungsalgorithmen, das Verbraucherschutzrecht erfasst irreführende KI-Behauptungen, die Finanzaufsicht verlangt erklärbare Kreditentscheidungen, und Gesundheitsbehörden lassen KI-Medizinprodukte zu.

Die aktivere Ebene ist das Recht der Bundesstaaten. Mehrere Staaten regeln automatisierte Entscheidungen in Beschäftigung und folgenreichen Diensten und verlangen Folgenabschätzungen und Hinweise. Umfassende Datenschutzgesetze der Bundesstaaten regeln automatisiertes Profiling. Kaliforniens Regeln wirken faktisch als nationale Standards, weil Unternehmen selten staatsspezifische Produkte bauen.

Das chinesische Modell: Zulassung und Inhaltskontrolle:

China reguliert aktiv, mit anderen Prioritäten. Regeln erfassen Empfehlungsalgorithmen, synthetische Medien und generative KI-Dienste und verlangen Registrierung bei Behörden, Kennzeichnung KI-erzeugter Inhalte, Sicherheitsprüfung vor der Veröffentlichung und Einklang mit Inhaltsvorgaben.

Die Einhaltung geht dem Markteintritt voraus, statt ihm zu folgen.

Alle anderen:

Das Vereinigte Königreich hat es vorgezogen, dass Sektoraufsichten bestehende Regeln anwenden, statt ein einziges Gesetz zu erlassen. Kanada, Brasilien, Südkorea, Japan und andere haben Rahmenwerke in verschiedenen Stadien, die in der Regel die Risikostufung übernehmen und den Anwendungsbereich anpassen. Singapur setzt auf praktische Steuerungswerkzeuge statt auf bindende Regeln. Die meisten afrikanischen, lateinamerikanischen und asiatischen Rechtsordnungen regeln KI vor allem über das Datenschutzrecht.

Was fast überall gilt:

Unter den Unterschieden kehren mehrere Pflichten weltweit wieder. Personenbezogene Daten, die im Training oder in der Inferenz verwendet werden, unterliegen weiterhin dem Datenschutzrecht. Folgenreiche automatisierte Entscheidungen über Menschen verlangen typischerweise Hinweis, Erklärung und einen Weg zur menschlichen Überprüfung. Das Antidiskriminierungsrecht gilt für Ergebnisse, wie immer sie zustande kommen. Sektorregeln in Finanzwesen, Gesundheit und sicherheitskritischen Systemen gelten für die darin eingesetzte KI. Das Verbraucherrecht verbietet es, Fähigkeiten zu übertreiben.

Eine Organisation, die diese Punkte gut handhabt, ist für die meisten Regime im Großen und Ganzen gerüstet.

Was das praktisch heißt:

Für ein international tätiges Unternehmen ist die bindende Beschränkung meist das strengste anwendbare Regime, für die meisten also der europäische Rahmen zusammen mit den anspruchsvollsten Regeln amerikanischer Bundesstaaten.

Die praktischen Folgerungen lauten: wissen, wo im Betrieb KI eingesetzt wird, nach Auswirkung auf Menschen einstufen, die Systeme dokumentieren, auf die es ankommt, wirksame menschliche Aufsicht sicherstellen, wo Entscheidungen Rechte berühren, und auf ungleiche Ergebnisse prüfen.

Der letzte Punkt ist es, wo sich die rechtliche Angreifbarkeit ballt und wo Probleme ohne bewusste Messung unsichtbar bleiben.

Die Richtung:

Die Regulierung nähert sich dem Grundsatz an, dass Pflichten mit der Auswirkung auf Menschen wachsen sollen, und der Vollzug geht von angekündigten Rahmenwerken zu tatsächlichen Fällen über. Beherrschbar wird das für Organisationen mit einem Bestandsverzeichnis und mit Nachweisen, nicht für jene mit den längsten Grundsatzpapieren.