Andere bauen die KI, Europa reguliert sie

Europa hat bei neuen Technologien inzwischen ein bemerkenswertes Talent entwickelt: Wir erfinden sie nicht, wir skalieren sie nicht – wir regulieren sie.

Während in den USA Milliarden in künstliche Intelligenz, Rechenzentren und neue Geschäftsmodelle investiert werden und China strategisch versucht, technologische Unabhängigkeit aufzubauen, beschäftigen wir uns in Europa mit einer Frage, die wir offenbar besonders gut können: Welche Verordnung brauchen wir dafür?

Die Antwort heißt diesmal EU AI Act. Natürlich braucht künstliche Intelligenz Regeln. Niemand kann ernsthaft wollen, dass Behörden unkontrolliert biometrische Überwachung einsetzen, dass Menschen durch undurchsichtige Algorithmen diskriminiert werden oder dass künstliche Intelligenz ohne jede Kontrolle über wesentliche Entscheidungen im Leben eines Menschen bestimmt. Wenn KI beispielsweise bei Kreditentscheidungen, im Personalwesen, in sensiblen staatlichen Bereichen oder bei anderen grundrechtsrelevanten Vorgängen eingesetzt wird, muss ein demokratischer Rechtsstaat Grenzen setzen.

Das Problem ist deshalb nicht, dass Europa reguliert. Das Problem ist, wie Europa reguliert.

Aus einem grundsätzlich nachvollziehbaren Anliegen entsteht wieder einmal ein regulatorisches Gesamtkunstwerk aus Risikoklassen, Rollenverteilungen, Dokumentationspflichten, Transparenzanforderungen, Kompetenzvorgaben, Zuständigkeiten und möglichen Sanktionen. Und weil die Regulierung selbst komplex genug ist, braucht es anschließend Leitlinien, FAQs, Codes of Practice und Beratungsangebote, damit Unternehmen überhaupt verstehen können, wie die Verordnung anzuwenden ist.

Man könnte es auch etwas böser formulieren: Europa schafft Bürokratie und schafft anschließend Strukturen, die Unternehmen erklären sollen, wie sie mit dieser Bürokratie umgehen können. Das nennen wir dann Innovationspolitik.

Besonders problematisch ist das für kleine und mittlere Unternehmen. Microsoft, Google oder andere internationale Technologiekonzerne verfügen über große Rechts- und Compliance-Abteilungen. Wenn eine neue europäische Regulierung kommt, wird daraus dort ein Projekt. Es werden Juristen, Datenschutzexperten, Compliance-Manager und externe Kanzleien eingesetzt. Das kostet Geld, aber es ist beherrschbar.

Der Mittelständler hat diese Strukturen nicht. Der Handwerksbetrieb mit 20 Mitarbeitern ebenso wenig wie eine kleine Agentur, eine Hausverwaltung, ein familiengeführtes Unternehmen oder ein junges Start-up. Dort landet die Frage am Ende beim Geschäftsführer selbst: Dürfen wir diese Anwendung eigentlich nutzen? Welche Daten dürfen dort verarbeitet werden? Müssen wir etwas dokumentieren? Brauchen wir Schulungen? Welche Verpflichtungen treffen uns? Sind wir lediglich Nutzer oder rechtlich schon in einer anderen Rolle? Und was müssen wir eigentlich nachweisen, wenn irgendwann jemand fragt, ob wir unsere Pflichten erfüllt haben?

Das Problem ist dabei häufig gar nicht ein konkretes Verbot. Viel problematischer ist die Unsicherheit. Denn irgendwann fällt in einem kleinen Unternehmen der Satz, der für Innovation wahrscheinlich gefährlicher ist als jede einzelne Vorschrift: „Bevor wir etwas falsch machen, lassen wir es lieber.“

Genau an dieser Stelle wird Regulierung zum Innovationshemmnis. Das ist besonders bitter, weil künstliche Intelligenz gerade für kleine und mittlere Unternehmen eine gewaltige Chance sein könnte. Ein kleiner Betrieb kann mit KI plötzlich Aufgaben erledigen, für die früher eigene Fachabteilungen notwendig gewesen wären. Texte lassen sich vorbereiten, Dokumente analysieren, Daten auswerten, Übersetzungen erstellen, Kundenanfragen strukturieren, Prozesse automatisieren oder Recherchearbeiten beschleunigen.

Künstliche Intelligenz kann damit Fähigkeiten demokratisieren. Ein Unternehmen mit fünf oder zehn Mitarbeitern kann plötzlich Werkzeuge nutzen, die früher nur Organisationen mit erheblichen finanziellen und personellen Ressourcen zur Verfügung standen. Das könnte ein gewaltiger Produktivitätsschub für den europäischen Mittelstand sein. Und ausgerechnet bei dieser Technologie beginnen wir wieder damit, zunächst über regulatorische Risiken zu sprechen.

Dabei zeigt sich eines der grundsätzlichen Probleme europäischer Regulierung besonders deutlich: Gleiche Regeln bedeuten eben nicht automatisch gleiche Belastungen. Wenn ein internationaler Konzern einige Millionen Euro für Compliance ausgeben muss, mag das ärgerlich sein. Im Verhältnis zum Umsatz ist es möglicherweise kaum relevant. Wenn ein Betrieb mit zehn Mitarbeitern einen spezialisierten Rechtsanwalt oder Berater bezahlen muss, um überhaupt zu verstehen, ob eine neue Software problemlos eingesetzt werden kann, ist die Belastung eine völlig andere.

Regulatorische Fixkosten treffen kleine Unternehmen fast immer härter als große Unternehmen. Damit entsteht ein paradoxer Effekt. Wir schaffen Regeln, die eigentlich Sicherheit und fairen Wettbewerb gewährleisten sollen, erhöhen damit aber gleichzeitig die Eintrittsbarrieren für kleinere Anbieter. Große Konzerne können Compliance professionalisieren und industrialisieren. Kleine Wettbewerber müssen jede zusätzliche regulatorische Anforderung unmittelbar aus ihrem begrenzten Budget bezahlen.

Anschließend stellen wir fest, dass wenige große Unternehmen ganze Märkte dominieren, und reagieren darauf mit der nächsten Regulierung. Erst machen wir Märkte komplizierter. Dann wundern wir uns, dass vor allem große Unternehmen mit dieser Komplexität umgehen können. Danach regulieren wir deren Marktmacht. Es ist ein bemerkenswerter Kreislauf.

Hinzu kommt ein weiterer Punkt, der in der europäischen Debatte häufig zu kurz kommt. Bei neuen Technologien fragen wir fast immer zuerst: Was könnte passieren, wenn wir sie einsetzen? Was passiert bei Fehlentscheidungen? Was passiert bei Diskriminierung? Was passiert mit personenbezogenen Daten? Wie verhindern wir Missbrauch? Welche gesellschaftlichen Risiken entstehen? Das sind selbstverständlich legitime Fragen. Wir stellen aber viel zu selten die Gegenfrage:

Was passiert eigentlich, wenn wir eine Technologie nicht oder zu spät einsetzen?

Was passiert mit unserer Produktivität? Was passiert mit unseren Unternehmen? Was passiert mit Arbeitsplätzen und Wertschöpfung? Was passiert mit der internationalen Wettbewerbsfähigkeit Europas? Und was passiert, wenn die wesentlichen KI-Systeme, Plattformen und Infrastrukturen der Zukunft ausschließlich außerhalb Europas entwickelt werden?

Risiko entsteht nicht nur dadurch, eine Technologie einzusetzen. Risiko entsteht auch dadurch, eine technologische Entwicklung zu verpassen. Gerade dieser zweite Teil der Gleichung scheint uns in Europa regelmäßig deutlich weniger zu interessieren.

Wir sind hervorragend darin, theoretische Gefahren zu identifizieren und anschließend Regeln dafür zu entwickeln. Wir tun uns deutlich schwerer damit, Chancen konsequent zu nutzen und ein Umfeld zu schaffen, in dem Unternehmen schnell experimentieren, wachsen und neue Geschäftsmodelle entwickeln können. Das ist inzwischen ein strukturelles europäisches Problem.

Der AI Act steht deshalb für mich stellvertretend für eine viel größere Debatte. Es geht nicht um die Frage, ob künstliche Intelligenz reguliert werden soll. Natürlich soll sie das dort, wo echte Gefahren bestehen. Es geht um die Frage, welches Grundverständnis wir von technologischem Fortschritt haben.

Beginnen wir bei einer neuen Technologie mit der Frage, was möglich wird? Oder beginnen wir mit der Frage, was alles schiefgehen könnte? Europa entscheidet sich erstaunlich häufig für Variante zwei.

Selbstverständlich betrifft der AI Act nicht jeden Nutzer und jede Anwendung gleichermaßen. Niemand muss befürchten, künftig eine Genehmigung zu benötigen, nur weil er ChatGPT nach einem Rezept fragt oder sich im Urlaub eine Speisekarte übersetzen lässt. Rein private Nutzung ist nicht das eigentliche Problem.

Aber auch Privatnutzer werden mittelbar erleben, was Regulierung bedeutet. Anbieter müssen Produkte an europäische Vorgaben anpassen. Funktionen werden möglicherweise anders umgesetzt, später eingeführt oder mit zusätzlichen Hinweisen und Einschränkungen versehen. Und Europa kennt dieses Phänomen inzwischen aus verschiedenen digitalen Bereichen: Eine neue Funktion erscheint irgendwo auf der Welt – und europäische Nutzer erfahren, dass sie hier zunächst nicht oder nur eingeschränkt verfügbar ist.

Die Begründung lautet dann regelmäßig: regulatorische Anforderungen.

Besonders bemerkenswert ist zudem, dass Europa bereits wieder begonnen hat, Teile seiner eigenen KI-Regulierung zu vereinfachen, Fristen anzupassen und Belastungen zu reduzieren. Das ist selbstverständlich sinnvoll. Es hat aber auch eine gewisse unfreiwillige Komik. Wir schaffen zunächst hochkomplexe Regeln. Anschließend stellen wir fest, dass die Regeln möglicherweise zu komplex sind. Danach schaffen wir neue Regelungen, um die bisherigen Regelungen einfacher zu machen. Vielleicht wäre es irgendwann einen Versuch wert, direkt mit der einfacheren Variante zu beginnen.

Ich bin ausdrücklich nicht gegen Regulierung. Ein demokratischer Rechtsstaat darf bei einer so mächtigen Technologie nicht einfach wegsehen. Wo Menschen bewertet, überwacht, manipuliert oder in ihren Rechten beeinträchtigt werden können, braucht es klare Grenzen. Aber Regulierung braucht Augenmaß.

Vor allem muss sie unterscheiden zwischen echten gesellschaftlichen Gefahren und theoretischen Risiken, die durch zusätzliche Bürokratie nur vermeintlich beherrscht werden.

Ein hochkomplexes KI-System, das über Kreditwürdigkeit, Beschäftigungsmöglichkeiten oder staatliche Leistungen entscheidet, ist etwas vollkommen anderes als ein Mitarbeiter eines mittelständischen Unternehmens, der mit einem KI-Assistenten einen Text zusammenfasst, eine Präsentation vorbereitet oder Informationen strukturiert. Diese Unterschiede dürfen nicht nur irgendwo in einem langen Verordnungstext juristisch vorhanden sein. Sie müssen sich auch im Alltag eines Unternehmens bemerkbar machen.

Denn Europa hat derzeit wahrlich kein Defizit an Regeln. Wir haben eher ein Defizit an Wachstum. Ein Defizit an Produktivität. Ein Defizit an Risikokapital. Ein Defizit an international erfolgreichen Technologieunternehmen. Und zunehmend ein Defizit an Geschwindigkeit.

Vielleicht sollten wir deshalb bei der nächsten großen technologischen Entwicklung einmal eine andere Reihenfolge ausprobieren.

• Nicht zuerst fragen: Welche Behörde ist zuständig?

• Nicht zuerst fragen: Welche Dokumentation brauchen wir?

• Nicht zuerst fragen: Welche neue Verordnung müssen wir schreiben?

Sondern zunächst:

• Wie sorgen wir dafür, dass europäische Unternehmen mit dieser Technologie erfolgreich werden?

• Wie bringen wir sie schnell in den Mittelstand?

• Wie entstehen europäische Anbieter?

• Wie schaffen wir Investitionen?

• Wie erleichtern wir Experimente?

• Wie ermöglichen wir Wachstum?

Und anschließend können wir sehr gezielt dort regulieren, wo tatsächlich ein relevantes Risiko besteht. Das wäre ein bemerkenswerter Perspektivwechsel. Denn während Europa diskutiert, klassifiziert und dokumentiert, entwickelt der Rest der Welt weiter. Wenn wir nicht aufpassen, könnte das Ergebnis unserer europäischen KI-Politik irgendwann ziemlich ernüchternd aussehen:

Die Modelle kommen aus Amerika. Die Chips kommen aus Asien. Die Plattformen gehören internationalen Konzernen. Die Wertschöpfung findet anderswo statt. Aber dafür können wir lückenlos dokumentieren, dass wir bei der Regulierung von Anfang an Weltspitze waren. Das kann nicht unser Anspruch sein.