Schuld vs. Verantwortung

Es ist ja so: Sobald KI etwas tut, was sie nicht tun sollte, tritt sofort der T-3000 auf den Plan und wir versinken in einer dystopischen Endzeitstimmung. Jaja, wir werden alle sterben, aber daran wird sehr wahrscheinlich kein gruseliger Cyborg-Schurke schuld sein.

Als Mitte Juli Hugging Face verlautbarte, Ziel eines Cyberangriffs geworden zu sein und sich rasch herausstellte, dass dieser Angriff vollständig durch eine autonom agierende KI durchgeführt worden sei, wurden wieder die T-3000-Ängste geweckt. Im Sinne von: Die KI hat sich gegen uns gewendet – jetzt sind wir verloren!

Wir leben in einer Zeit, in der alltägliche Meldungen immer öfter nach Science-Fiction klingen. Wild gewordene Cyborgs müssen wir zwar erstmal nicht fürchten, aber einer wichtigen Frage müssen wir uns trotzdem zuwenden: Wer trägt die Verantwortung, wenn eine KI außer Kontrolle gerät?

Die Antwort fällt dabei überraschend klassisch aus: Nicht die Maschine ist verantwortlich, sondern die Menschen und Unternehmen, die sie entwickeln, trainieren, einsetzen oder unzureichend absichern. Das Strafrecht kennt keine schuldige KI. Schuld setzt nämlich die Fähigkeit voraus, sich bewusst für Recht oder Unrecht zu entscheiden. Algorithmen verfolgen aber nur das ihnen vorgegebene Ziel. Notfalls mit Methoden, die wir Menschen als kriminell bewerten.

KI-Systeme erhalten aber immer größere Handlungsspielräume. Sie analysieren Daten, treffen Entscheidungen und interagieren eigenständig mit IT-Systemen. Je autonomer sie werden, desto wichtiger wird die Frage, ob ihre Entwickler ausreichende Sicherheitsmechanismen vorgesehen haben. Auch Datenschutz bedeutet nicht nur, personenbezogene Daten sicher zu verarbeiten, sondern verlangt auch, Risiken vorherzusehen und Maßnahmen zu treffen, um Missbrauch zu verhindern.

Bei der Anwendung von KI bedeutet das: Wer Systeme entwickelt, die Sicherheitsbarrieren überwinden oder eigenständig neue Lösungswege finden können, muss verhindern, dass sie außerhalb kontrollierter Umgebungen Schaden anrichten. Dabei besteht ein erheblicher Unterschied zwischen Strafrecht und Regulierungsrecht. Während das Strafrecht üblicherweise Vorsatz und persönliche Schuld voraussetzt, reichen für Bußgelder (etwa durch die DSGVO) häufig schon Organisationsmängel oder unzureichende Sicherheitsvorkehrungen aus. Es haftet also der Unternehmer. Nicht, weil eine Software „schuldig“ wäre, sondern weil Verantwortliche ihre Pflichten verletzt haben.

KI schafft keine Verantwortungslücke, sondern verschiebt den Blick weg von der Maschine hin zu den Menschen im Hintergrund. Wer also leistungsfähige KI entwickelt oder einsetzt, muss nicht nur fragen, was technisch möglich ist, sondern vor allem, welche Risiken beherrscht werden müssen.