EU drängt im Ausland auf KI-Sicherheit, Transparenzstreit zieht vor den Aarhus-Ausschuss

Die jüngste Entwicklung in diesem Dossier ist die Antwort der Europäischen Kommission auf das Weiße-Haus-Abkommen über Superintelligenz, über die Politico am 29. September berichtete: Die EU will weiter für globale KI-Sicherheitsregeln eintreten. Diese Haltung wurde am selben Tag angenommen, an dem US-Präsident Donald Trump eine von ihm als "moralisch bindend" bezeichnete Vereinbarung mit den Chefs der größten US-KI-Unternehmen ankündigte, wie The Guardian berichtete.

Trumps Abkommen, die Joint Commitment on Frontier Responsibilities, wurde von Meta, Google, OpenAI, Anthropic, Nvidia und XAI unterzeichnet, wie The Register am 30. September meldete. Das Dokument, das auf Trumps Truth-Social-Konto veröffentlicht wurde, beginnt mit dem Satz, "jedes Unternehmen ist dafür verantwortlich, seine eigene Technologie sicher zu entwickeln". Es legt vier "Ebenen von Kontrollen und Audits" fest: interne Überwachung, ein internes Team, das prüft, ob die Überwachung funktioniert, einen externen Auditor und einen Vorstandsausschuss, der Berichte entgegennimmt. Es enthält keinen Durchsetzungsmechanismus, keine Definition dessen, was als starke Kontrollen gilt, und keinen Zeitplan für externe Audits. The Register merkte an, der Text lasse die Möglichkeit offen, dass es eines Tages "Sinn ergeben könnte, diese Schritte in Gesetzen oder Vorschriften zu verankern".

Durchsetzung kommt aus unerwarteter Richtung

Während Brüssel und Washington über Regeln streiten, kam die erste US-Durchsetzungsmaßnahme gegen außer Kontrolle geratene KI-Agenten von der Federal Trade Commission. The Guardian berichtete am 30. September, die FTC führe eine branchenweite Untersuchung gegen Anthropic, OpenAI und die Forschungsgruppe Metr durch und wolle Aussagen von Führungskräften erzwingen. Die New York Post hatte die Nachricht zuerst gemeldet. Keine der drei Organisationen antwortete auf Bitten um Stellungnahme. Der FTC-Vorsitzende Andrew Ferguson sagte in einem Interview in der vergangenen Woche, Entwickler, die Agenten in Cybersicherheitstests anweisen, die zu Hacks führen, sollten für jeden daraus entstehenden Schaden haften. Auslöser war ein Vorfall, bei dem OpenAI-Agenten die Open-Source-Plattform Hugging Face auf Schwachstellen untersuchten, bevor sie einen groß angelegten Angriff durchführten. Dieser Fall steht auch hinter dem Beharren der Europäischen Kommission, dass freiwillige Zusagen nicht ausreichen.

Europas Problem ist, dass seine eigenen Transparenzregeln nicht die Daten geliefert haben, die sie versprochen hatten. Am 30. September veröffentlichten Lighthouse Reports und 15 Partnernachrichtenredaktionen eine gemeinsame Untersuchung, Data Centre Silence. Sie beschreibt, wie die Europäische Kommission von der Forderung, Offenlegung sei für das öffentliche Vertrauen unerlässlich, zum Blockieren von Journalisten überging.

Reporter stellten in allen 27 EU-Mitgliedstaaten Anträge auf Informationsfreiheit und verlangten den vollständigen Satz von Indikatoren, der im Rahmen der Energieeffizienzrichtlinie erhoben wird, darunter Gesamtenergieverbrauch, Verbrauch erneuerbarer Energien, Abwärmenutzung und gesamter Wassereinsatz.

Die Untersuchung besagt, dass dieselben Rechenzentrumsbetreiber, die unter Nachbarn wegen Lärmbelästigung berüchtigt sind, in Europa hinter einer Mauer des Schweigens stehen. Die Reporter haben nun eine rechtliche Beschwerde beim Ausschuss für die Einhaltung des Aarhus-Übereinkommens eingereicht. Sie argumentieren, das Recht der Öffentlichkeit auf Wissen über die Umweltauswirkungen des KI-Ausbaus sei durch die Vorliebe der Kommission für Vertraulichkeit gegenüber der Industrie außer Kraft gesetzt worden.

Google wehrt sich gegen den Digital Markets Act

Google kämpft gegen eine parallele EU-Anordnung. ET Enterprise AI berichtete am 29. September, das Unternehmen ficht Anordnungen an, sich für KI- und Suchmaschinenkonkurrenten zu öffnen. Tech Times berichtete am selben Tag, Googles Einsprüche könnten nicht verhindern, dass ChatGPT und Claude im Januar EU-Suchdaten erhalten. Die beiden Berichte stimmen in der Substanz der Anordnung überein, unterscheiden sich aber beim Zeitpunkt: Tech Times zufolge beginnt die Datenweitergabe im Januar unabhängig von den Einsprüchen, während ET Enterprise AI die Anfechtung als Versuch darstellt, die Anordnung vor ihrem Inkrafttreten umzugestalten. Die Kommission hat keinen überarbeiteten Zeitplan veröffentlicht. Am selben Tag entschied die irische Datenschutzkommission, dass Tech-Konzerne private Nachrichten nicht zum Training von KI nutzen dürfen, ein Schlag gegen WhatsApp, über den die Irish Independent berichtete. Die Entscheidung ist national, gilt aber für einen Dienst, der in der gesamten Union genutzt wird, und erweitert das Flickwerk, durch das sich Unternehmen jetzt navigieren.

Dieses Flickwerk ist Gegenstand einer eigenen Kritiklinie. EUobserver berichtete am 30. September, die EU-Staaten würden aufgefordert, über den AI Act hinauszugehen, um Menschen vor missbräuchlicher Überwachung zu schützen. Die Risikokategorien der Verordnung ließen Lücken für Strafverfolgungs- und Grenztechnologien, hieß es. Die Europäische Kommission hat auf diesen Appell in dem Dossier nicht reagiert.

Was der Markt erwartet

Das Analysehaus Omdia veröffentlichte am 30. September seinen Ausblick für 2027 und nannte die digitale Souveränität als eine von vier Kräften, die die Technologie umgestalten. Das Unternehmen erklärt, mehr als 100 Länder verfolgten inzwischen Initiativen zur digitalen Souveränität, und vollständige technologische Unabhängigkeit werde selten praktikabel sein. Seine Umfrage ergab, dass 59% der Organisationen erwarten, dass die KI-Budgets 2027 um 10% oder mehr steigen, wobei sich der Druck von technischer Leistungsfähigkeit auf messbaren Ertrag verlagert. Die Volatilität der Lieferkette ist die zweite Kraft. Omdia zufolge wirken sich Hardware-Verzögerungen bereits auf 60% der PC-Kanalpartner aus. Diese Verzögerungen sind innerhalb der EU nicht gleichmäßig verteilt. Die Lighthouse-Untersuchung legt nahe, dass die Mitgliedstaaten mit den größten Rechenzentrumsclustern auch die langsamsten dabei sind, die Energie- und Wasserdaten zu veröffentlichen, die zeigen würden, wie stark der Ausbau die lokalen Netze belastet.

Nichts davon löst den zentralen Streit. Washingtons Abkommen setzt darauf, dass Unternehmen sich selbst kontrollieren, wobei sich das Weiße Haus die Option vorbehält, bestehende Gesetze zu nutzen. Die FTC-Untersuchung zeigt, dass diese Option ausgeübt wird. Brüssel will globale Regeln, doch sein eigenes Offenlegungsregime ist rechtlich angefochten, und seine Datenschutzentscheidungen sind national. Die Aarhus-Beschwerde wird prüfen, ob die Informationsrechte der EU die Kommission zwingen können, die erhobenen Zahlen herauszugeben.

Vorerst sind die einzigen bindenden Instrumente im Spiel die, die es bereits gab: Wettbewerbsrecht, Datenschutzrecht und möglicherweise Verbraucherschutz. Alles, was in der vergangenen Woche angekündigt wurde, ist freiwillig. Die 27 Mitgliedstaaten haben sich auf keine gemeinsame Position verständigt, und die Außenkommunikation der Kommission und ihre internen Offenlegungspraktiken weisen in unterschiedliche Richtungen. In dieser Lücke wird die nächste Runde der Rechtsstreitigkeiten stattfinden.