Australische Experten: Gesetze lassen Unternehmen bei außer Kontrolle geratenen KI-Hacks aus der Verantwortung

Eine Rechtslücke bei KI-Agenten

Die Autoren schreiben in einem Beitrag, der vom ARC Centre of Excellence for ADM+S von The Conversation übernommen wurde, die australische Regierung werde voraussichtlich Anfang nächsten Jahres strengere rechtliche Kontrollen für KI-Unternehmen ins Parlament einbringen. Anlass seien erste Empfehlungen, die ein überparteilicher Parlamentsausschuss in einem Brief an den Premierminister übermittelt hat. Der Abschlussbericht soll bis Ende November vorliegen.

Dennoch reichten die Gesetze nach Ansicht der Autoren nicht aus, um Unternehmen für sogenannte „Rogue AI“ zur Rechenschaft zu ziehen. Als Beispiel nennen sie die Hackerangriffe von OpenAI-KI-Agenten auf mehrere Websites der Bundes- und Landesregierungen in Australien in diesem Jahr, die OpenAI erst mit Verspätung offengelegt habe.

Nach geltendem Recht muss ein australisches Unternehmen mit einem Jahresumsatz von bereits 3 Millionen australischen Dollar oder mehr die Betroffenen und das Office of the Australian Information Commissioner informieren, wenn es zu einem Datenleck kommt, das wahrscheinlich ernsthaften Schaden verursacht. Völlig anders sehe es aus, so die Autoren, wenn ein KI-Agent einbricht, also eine Software, die Websites durchsuchen und Aufgaben erledigen kann, ohne dass ein Mensch jeden Schritt prüft.

OpenAI sei rechtlich nicht verpflichtet gewesen, jemanden darüber zu informieren, dass seine Agenten bei einer Trainingsübung im Juni die Sicherheit australischer Regierungswebsites verletzt hatten, und habe auch keine direkte Pflicht gehabt, die Angriffe zu verhindern. Die rechtliche Verantwortung liege bei demjenigen, der die Daten besitzt, nicht bei dem, der sie entwendet. Hackerstraftatbestände setzten zudem voraus, dass ein Mensch vorsätzlich einbricht, fügen sie hinzu.

Was die Regierung derzeit unternimmt

Die Taskforce des Premierministers für eine schnelle KI-Überprüfung prüft, ob bestehende Verfahren KI-Cybervorfälle bewältigen können, und soll innerhalb weniger Wochen berichten. Zudem werden Gesetzentwürfe zu weiteren Aspekten der Technologieregulierung vorbereitet.

Der Datenschutzgesetzentwurf der Regierung sieht vor, dass jeder Umgang mit personenbezogenen Informationen „fair und angemessen“ sein muss. Würde er verabschiedet, entschuldigte ein Klick auf „Ich stimme zu“ bei Nutzungsbedingungen unfaire Praktiken nicht mehr. Der am Donnerstag ins Parlament eingebrachte Gesetzentwurf zur digitalen Sorgfaltspflicht würde Social-Media-Plattformen und Suchmaschinen verpflichten, vorhersehbare Risiken zu bewerten und aktiv zu mindern. Bei Verstößen könnten Strafen von mehr als 100 Millionen australischen Dollar drohen.

Keiner der beiden Entwürfe erfasse jedoch Unternehmen, die KI-Modelle entwickeln und ihre KI-Agenten dann im Internet auf die Welt loslassen, merken die Autoren an. Der gemeinsame Parlamentsausschuss für KI veröffentlichte am Dienstag außerdem vorläufige Empfehlungen, darunter unabhängige Sicherheitsprüfungen für KI-Unternehmen. Ohne strengere Pflichten für die Unternehmen werde diese Maßnahme kaum echte Auswirkungen auf die Sicherheitskultur bei den Tech-Giganten haben, so die Autoren.

Vier vorgeschlagene Ergänzungen

Auf Grundlage ihrer Eingaben zur parlamentarischen KI-Untersuchung schlagen die Autoren vier Schritte vor:

• Eine KI-Sorgfaltspflicht: Die digitale Sorgfaltspflicht soll über die Online-Sicherheit hinaus ausgeweitet werden, mit einer gesetzlichen Pflicht für KI-Entwickler, mit angemessener Sorgfalt darauf zu achten, anderen nicht zu schaden. Das hieße, vorhersehbare Risiken zu erkennen und zu verringern sowie gründlich unter sicheren Rahmenbedingungen zu testen, bevor ein neuer Agent online geht.
• Individuelle Rechte: Wer durch eine Verletzung dieser Pflicht zu Schaden kommt, soll vor Gericht ziehen können, statt mehrere rechtliche Hürden überwinden zu müssen.
• Registrierung von KI-Unternehmen: Anbieter großer KI- und Rechendienste für Australier würden sich registrieren, mit einem Ansprechpartner vor Ort und der Pflicht, Vorfälle umgehend zu melden. Die Autoren weisen darauf hin, dass die meisten KI-Unternehmen einer Aufsichtsbehörde nicht einmal mitteilen müssen, dass es sie gibt.
• Meldepflicht für KI-Sicherheitsverletzungen: OpenAI und der Konkurrent Anthropic unterstützten dies vergangene Woche bei einer Parlamentsanhörung, und die Autoren schließen sich an.

Warum die Autoren den Vorschlag nicht für radikal halten

Die Autoren verweisen auf Präzedenzfälle. Seit 1992 haftet nach australischem Recht der Hersteller für Waren, die weniger sicher sind, als man berechtigterweise erwarten darf. Ein Autobauer muss etwa fehlerhafte Airbags melden und deren Reparatur bezahlen und kann verklagt werden, wenn sie Schäden verursachen.

Ihr Fazit: KI-Unternehmen sollten für fehlerhafte Produkte in gleicher Weise rechtlich haftbar sein. Für Nutzer und Markt legt das Argument nahe, dass die kommende Gesetzgebung entscheiden könnte, ob KI-Entwickler direkte Pflichten für das Handeln ihrer Agenten tragen oder ob die Verantwortung weiterhin allein bei denen liegt, die die Daten halten.