KI-Verordnung: Labore z. Hd. den Fortschritt

Die KI-Verordnung (KI-VO) der EU soll geändert werden, bevor sie vollständig gilt. Es spricht für den Gesetzgeber, wenn er Unwuchten eines Gesetzes beseitigt, bevor es Schaden anrichtet. Wenn die Regelungen des sogenannten „KI-Omnibusses“ eine Mehrheit finden, dann wird das Änderungsgesetz Gutes bewirken. So werden die aufwendigen Pflichten, die für hochriskante KI-Systeme vorgesehen sind, nicht schon ab August 2026 gelten, sondern erst ab Ende 2027.

Das verschafft der Wirtschaft Luft, sich auf die Regeln für das Entwickeln und Betreiben dieser erwünschten und teilweise lebenswichtigen, aber auch gefährlichen und hochkomplexen Technik einzustellen. Die Rechtspflicht zur KI-Kompetenz für Betreiber wird konturiert und unterstrichen. Das ist wichtig, denn wer ein gefährliches Werkzeug inkompetent einsetzt, den können die Folgen der Haftung ruinieren. Es ist auch eine gute Lösung für die datenschutzrechtliche Erlaubnis für das Training von KI-Modellen vorgesehen, die das Oberlandesgericht Köln im Jahr 2025 in der Sache vorgezeichnet hatte.

Eine weitere geplante Neuerung enthält dagegen Sprengstoff. Die Idee ist es, Doppelregulierung zu vermeiden. Dazu sollen eine Reihe von Produktsektoren, darunter Medizinprodukte, aus dem Anwendungsbereich der KI-VO herausgenommen werden. Diese KI-Produkte sollen nur noch die Anforderungen ihres spezifischen Produktrechts erfüllen müssen.

Dafür spricht, dass Produkte in denen KI Steuerungsfunktionen übernimmt ohnehin so streng reguliert sind, dass die zusätzlichen Pflichten der KI-VO eine Bürde ohne Mehrwert sind. So ist es schon in der geltenden Fassung der KI-VO für Autos und Flugzeuge geregelt. Andere Produkte müssen neben dem dafür geltenden Produktrecht zusätzlich das KI-spezifische Recht der KI-VO einhalten. So ist es bei Kinderspielzeugen, die über Sprachbots in Teddybären Kinder beeinflussen können. Und bei Produkten, die zur medizinischen Diagnostik hergestellt und betrieben werden und mit sensiblen Gesundheitsdaten passgenau trainiert werden müssen. Das soll geändert werden. Für alle in der KI-VO aufgeführten spezifisch geregelten Produktgruppen, also auch Medizinprodukte soll die KI-VO künftig in weiten Teilen nicht mehr gelten.

Die geplante Neuregelung erzeugt allerdings ein Problem, das man lösen muss, wenn die Entwicklung von KI-Produkten in der EU nicht massiven Schaden nehmen soll. Der Pferdefuß lässt sich an der Entwicklung von KI zur medizinischen Diagnostik illustrieren. Unter der Federführung der Neuropathologie der Uniklinik Heidelberg wird von einem internationalen Konsortium das Projekt „EUcanAI“ durchgeführt. Es wird im Rahmen des EU-Forschungsprogramms Horizon finanziell gefördert und soll durch Datenverarbeitung die Versorgung bei Hirntumoren verbessern.

Konkret geht es darum, für die Begleitung der gesamten Behandlung leistungsstarke, aber spezialisierte und damit kontrollierbare KI-Modelle zu entwickeln. Die modulare KI für den „hochriskanten“, aber medizinisch wichtigen und rechtlich zu unterstützenden Zweck soll später, sofern der Patient zustimmt, im Arzt-Patienten-Gespräch zuhören können. Sie wird selbst richtungweisende Fragen stellen, MRT-Aufnahmen und Gewebeschnitte beurteilen und während der Operation schon zusätzliche Therapiemöglichkeiten feststellen können.

Im Rahmen des Vorhabens müssen in großem Umfang hochsensible Daten ausgewertet werden. Damit diese zu Forschungszwecken datenschutzrechtlich zulässigerweise für die Entwicklung eines KI-Modells weiterverarbeitet werden dürfen, muss diese Forschung in KI-Reallaboren erfolgen. Diese Schutzräume sieht die KI-VO aber nur vor, wenn deren Anwendungsbereich eröffnet ist. Hier soll nach dem klugen Willen der KI-VO die Verarbeitung von Gesundheitsdaten unter staatlicher Aufsicht möglich sein und Datenschutz mit Innovation in Einklang gebracht werden.

In der Novelle der KI-VO muss nun dringend ein Problem umschifft werden. Wenn Medizinprodukte nämlich aus dem Anwendungsbereich der KI-VO entlassen werden, dann verlieren sie auch den Schutz des Gesetzes.  Die Kölner Forschungsstelle für Medienrecht der TH Köln begleitet die geförderte KI-Entwicklung zur Krebsbekämpfung KI- und datenschutzrechtlich.

Verliert die medizinische Forschung den Schutz des Reallabors, wird die Luft für die Lebensrettung durch Datenverarbeitung rechtlich sehr dünn. Das vorhandene rechtliche Instrumentarium einschließlich des Rechts zur Gesundheitsdatennutzung und Forschung außerhalb der KI-Reallabore, kann vermutlich nicht angemessen helfen, da es den Besonderheiten des KI-Trainings nicht spezifisch Rechnung trägt.

Der Gesetzgeber der KI-VO könnte das Problem lösen, indem er in deren Anwendungsbereich festlegt, dass bestimmte Normen der KI-VO trotz der weitgehenden Bereichsausnahmen etwa für Autos und Flugzeuge weiterhin gelten. Würden künftig auch Medizinprodukte vom Gesetz ausgeklammert, könnte man an dieser Stelle gesetzlich festlegen, dass das Kapitel zu den Maßnahmen der Innovationsförderung der KI-VO, das die Regelungen zu den Reallaboren enthält, für diese Produkte weiterhin gilt. Im Ergebnis würde es den Anbietern der benannten Produkte, also insbesondere von Medizinprodukten offenstehen, ihre Produkte in den KI-Reallaboren unter Wahrung der Anforderungen des Datenschutzes rechtssicher und rechtskonform zu entwickeln.

Das Potential von Reallaboren hat man in Baden-Württemberg schon früh erkannt. Seit dem Jahr 2015 werden dort über 40 Reallabore durch unterschiedliche Ressorts gefördert. Datenschutzrechtlich konnte die Aufsichtsbehörde diese Projekte durch Beratung begleiten. Ein Bedarf für solche Konzepte zeigte sich auch in anderen Ländern. In Nordrhein-Westfalen finden sich Reallabore inzwischen über das ganze Land verteilt. Weitergehende Möglichkeiten, unter kontrollierten Bedingungen und in enger Abstimmung zwischen Projektleitung und Aufsichtsbehörde bestimmte Datenverarbeitungen über die datenschutzrechtlichen Bestimmungen hinaus im Rahmen „echter“ KI-Reallabore zu ermöglichen, gab es vor der KI-VO aber nicht.

Dass die Einrichtung von KI-Reallaboren als Maßnahme der Innovationsförderung bereichsspezifisch zurückgefahren werden soll, noch bevor sie Fahrt aufgenommen hat, ist höchst bedauerlich. Das Potential, möglichst viel Rechtssicherheit schon in der Konzeptionsphase von Projekten abzubilden, wird verschenkt. Gerade hat auch der Bundesrat in seinen Änderungsvorschlägen für den Digital-Omnibus Gegenteiliges empfohlen: eine deutlich breitere Verankerung von KI-Reallaboren über die KI-VO hinaus auch in den Vorgaben der DSGVO.

Innovation entsteht vor Ort – an Forschungseinrichtungen im öffentlichen Sektor oder an unternehmerischen Knotenpunkten auf Landesebene. Das könnten schon existierende regionale Digital Hubs sein. Entscheidend wird auch sein, wer aufgrund welcher Kriterien über den Zugang entscheidet. Die allgemeinen Vorgaben der Europäischen Kommission sind hier noch ausgestaltungsbedürftig.

Jedenfalls haben die Bundesländer nun ihren Hut in den Ring geworfen und jüngst mit einem Beschluss des Bundesrates den Bund aufgefordert, durch eine Änderung des Entwurfs des Gesetzes zur Durchführung der KI-VO eine Möglichkeit der Länder, eigene KI-Labore einzurichten, sicherzustellen. Zweifel, dass dies auf Grundlage des bisherigen Rechts möglich ist, sind berechtigt. Und die Folgen nicht allein für die Länder wären erheblich: Regionale Schwerpunktsetzungen wären kaum mehr möglich, kurze Wege zwischen regionaler Wirtschaft und Wissenschaft zu Labor und Behörden würden verhindert, belebende Konkurrenz zwischen den Laboren könnte nicht entstehen und es entstünde eine neue Abhängigkeit vom Bund.

Die Länder können sich mit ihrem Willen zur eigenen Innovationsförderung auch auf die KI-VO berufen, die KI-Labore auf regionaler oder sogar lokaler Ebene ausdrücklich ermöglicht. Kommt der Bund dem nach und machen die Länder von ihren Möglichkeiten dann auch tatsächlich und schnell Gebrauch, könnte dies die in harter internationaler Konkurrenz stehende deutsche KI-Entwicklung beflügeln – ohne indes Verlässlichkeit und hohe Standards als Qualitätsmerkmal aufzugeben – und entscheidend voranbringen.

Bund und Ländern muss an einer guten Lösung gelegen sein, die Deutschland national, in Europa und international zu einem Standort macht, der einen verlässlichen und sicheren Rahmen für Innovation gibt. Ein KI-Reallabor des Bundes wird nicht genügen, um Unternehmen und Wissenschaftseinrichtungen den Raum zu bieten, um Deutschland nach vorne zu bringen. Aktuell gibt es auch Stimmen, die davon ausgehen, ein KI-Reallabor nach der KI-VO, eingerichtet bei der Bundesnetzagentur als künftiger Marktaufsichtsbehörde sei ausreichend.

Daran muss man Zweifel haben, denn wenn der Motor der KI-Entwicklung hierzulande erst angesprungen ist, dann ist eine Behörde in Bonn mit umfassender Ausrichtung heillos überfordert, wenn es landauf landab um die Begleitung der KI-Entwicklung in Forschungseinrichtungen und Unternehmen geht. Das Anliegen ist zu wichtig, als dass es an behördlicher Überlastung und Kompetenzgerangel über die behördliche Aufsichtshoheit in Reallaboren scheitert. Aus der Perspektive der Verfassung, die sich im Bundesstaat durch ein arbeitsteiliges Miteinander von Bund und Ländern auszeichnet, ist die Einrichtung von KI-Reallaboren in Bund und den Ländern höchst begrüßenswert.

Die Autoren: Professor Dr. Bernd Grzeszick (Universität Heidelberg, VerfGH NRW), Rechtsanwalt Andreas Jaspers (Gesellschaft für Datenschutz und Datensicherheit, GDD, e.V.); Professor Dr. Tobias Keber (Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg), Professor Dr. Günter Krings, MdB, Dr. Dominik Roderburg (Richter am OLG Köln, „Referatsleiter Staatsmodernisierung Staatskanzlei NRW“, Professor Dr. Dr. Felix Sahm (Neuropathologie Universitätsklinik Heidelberg), Professor Dr. Rolf Schwartmann (Kölner Forschungsstelle für Medienrecht, TH Köln), Axel Voss MdEP, Kai Zenner, „Büroleiter von Axel Voss“.