FAKE-ID: Ethik & Recht

Wie bei der Regulierung von KI im Allgemeinen wurde auch bei der Regulierung EU-KI-VO) von Deepfakes im Spezifischen im Anfangsstadium der Entwicklungen nicht von einer rechtlichen, sondern von einer ethischen Perspektive ausgegangen. Es wäre jedoch falsch, rechtliche und ethische Regelungen voneinander zu trennen, da sich beide Regulierungsperspektiven gegenseitig ergänzen und miteinander verschwimmen, wie auch die UNESCO-Empfehlung zur KI-Ethik (SHS/BIO/REC AIETHICS/2021) zeigt, die im November 2021 von allen 193 UNESCO-Mitgliedstaaten angenommen wurde. Trotz des Titels des Dokuments sind die darin enthaltenen Grundsätze nicht nur ethischer, sondern auch rechtlicher Natur, wenn auch ohne verbindliche Rechtskraft.

Die Verhandlung und Ausarbeitung der KI-Verordnung deckte sich größtenteils mit der Lauf- und Kernzeit des FAKE-ID-Forschungsprojekts. Der erste Entwurf der KI-Verordnung stammte von der Europäischen Kommission und wurde am 21. April 2021 und die finale Fassung schließlich am 12. Juli 2024 veröffentlicht.  Daher war es ein wichtiges Ziel dieses Projekts, die Verhandlungen der KI-Verordnung im Hinblick auf die rechtlichen, ethischen und gesellschaftlichen Anforderungen an die Deepfake-Erkennung und -Produktion im Kontext der zivilen Sicherheit genau zu verfolgen.  Bei der Ausarbeitung ihres Vorschlags für die KI-Verordnung stützte sich die Europäische Kommission auf die im April 2019 von einer hochrangigen Expert*innengruppe veröffentlichten KI-Ethikleitlinien.

Seitdem die KI-Verordnung am 1. August 2024 endgültig Inkraft trat, gelten die KI-Ethikleitlinien unmittelbar für alle EU-Mitgliedstaaten. Allerdings mit unterschiedlichen Fristen für das Inkrafttreten der einzelnen Teile der KI-Verordnung.

Sowohl der Entwurf als auch die finale Version KI-Verordnung enthalten Regelungen zu Deepfakes. Nach Art. 3 Nr. 60 der endgültigen Fassung der KI-Verordnung ist ein Deepfake definiert als ein durch KI erzeugter oder manipulierter „Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde“. Im Hinblick auf Deepfakes ist Artikel 50 Absatz 4 EU-KI-VO einer der wichtigsten Bestimmung. Danach müssen alle online verbreiteten Deepfakes von den Betreiber*innen als solche gekennzeichnet werden, es sei denn, sie werden von Strafverfolgungsbehörden zu rechtmäßigen Zwecken verwendet, sofern die Ausübung von Freiheiten und Rechte Dritter geschützt sind. Eine weitere zentrale Bestimmung in Bezug auf Deepfakes ist Art. 50 Abs. 2 EU-KI-VO, der für synthetische Medien gilt. Diese Inhaltskategorie überschneidet sich teilweise mit der Kategorie der Deepfakes. Der Hauptunterschied besteht jedoch darin, dass Deepfakes darauf abzielen, ihr Zielpublikum zu manipulieren oder zu verwirren, indem sie den Eindruck erwecken, dass der Inhalt echt sei. Diese Bestimmung verpflichtet die Anbieter*innen synthetischer Medien, technische Lösungen zu entwickeln und umzusetzen, die es ermöglichen, synthetische Medien so zu kennzeichnen, dass erkennbar ist, dass der Inhalt mit Hilfe von KI-Technologie erzeugt oder verändert wurde. Sollten zu viele Ausnahmen für Strafverfolgungsbehörden bestehen, wird die Anwendung dieser Bestimmung auf der Grundlage von Faktoren wie Kosten und technischer Machbarkeit in Bezug auf ihre konkrete Anwendung angepasst.

Unabhängig davon, ob man eine rechtliche oder ethische Perspektive einnimmt, haben sich gemeinsame, allgemeine Grundsätze für die KI-Regulierung herauskristallisiert, die auch für Deepfakes gelten, insbesondere Transparenz, Erklärbarkeit und Rückverfolgbarkeit während der gesamten Entwicklung und Anwendung. Artikel 113 EU-KI-VO sieht zwar unterschiedlichen Fristen für das Inkrafttreten der verschiedenen Teile der KI-Verordnung vor, die Kernbestimmungen für die Erkennung und Erzeugung von Deepfakes treten jedoch am 2. August 2026 in Kraft.

Diese Grundsätze bleiben abstrakt und bedürfen im Einzelfall weiterer Klärung, insbesondere im Hinblick auf bestehende Risiken. So stellt die Regulierung von Deepfakes nicht die gleichen Herausforderungen dar wie die Regulierung von KI-gestützten Gesichtserkennungs-Tools, obwohl sich die beiden biometrische Technologien in einigen Fällen überschneiden.

Die KI-Verordnung basiert auf dem Wissen, dass Deepfakes auch im Zusammenhang mit legitimen Anwendungsfällen Risiken bergen. Dazu gehören Betrug, nicht einvernehmliche Pornografie, Desinformation und falsche Beweise. Die KI-Verordnung verfolgt einen risikobasierten Ansatz und teilt KI-Systeme in vier Gruppen ein: verboten, risikoreich, risikoarm oder risikofrei. Deepfakes fallen in eine Kategorie mit mittlerem Risiko sui generis und unterliegen der Transparenzpflicht. Parallel zu dieser Risikoklassifizierungslogik wurden im Laufe der Verhandlungen neue Bestimmungen in die KI-Verordnung aufgenommen, um den komplexen Herausforderungen der Regulierung generativer KI zu begegnen. So stellt die KI-Verordnung mehrere Anforderungen an sogenannte Allzweck-KI-Modelle

Polizeibehörden, die Deepfakes zu Strafverfolgungszwecken einsetzen oder erstellen, fallen jedoch in der Regel nicht in die Kategorie der hochriskanten KI. Dies ist wiederum nicht der Fall, wenn diese Technologien verwendet werden, um die Qualität von Beweismitteln zu analysieren, die in Strafverfahren vor Gericht vorgelegt werden, oder um Profile von natürlichen Personen im Rahmen der Aufdeckung, Untersuchung oder Verfolgung von Straftaten zu erstellen (Anhang III, Nr. 6 und 7 EU-KI-VO).