Europäische Souveränität - Wenn die Gesetzgebung Spielräume öffnet

Ian Brown ist eine der wichtigen europäischen Stimmen in Sachen Interoperabilität, Künstliche Intelligenz und digitaler Wettbewerb. Als der Digital Markets Act (DMA, Gesetz über digitale Märkte) verhandelt wurde, war er nicht unmaßgeblich beteiligt. Auch wir Deutsche haben uns in Wettbewerbs- und Datenschutzfragen immer wieder an ihn gewandt.

Wir Europäer sind gerade dabei, eine Vielzahl von Gesetzen auf den Weg zu bringen. Wo soll Ihrer Meinung nach die Reise hingehen?

Ian Brown: Es ist nicht ganz einfach, sich im Dschungel so vieler Rechtsvorschriften, einschließlich des KI-Gesetzes, zurechtzufinden. Ich wünsche mir natürlich sehr, dass sie in den kommenden Jahren Wirkung zeigen werden. Und der Digital Markets Act eröffnet der Europäischen Kommission auf lange Sicht gesehen schon einige Spielräume, den eingeschlagenen Weg fortzusetzen.

Eine erste Evaluation durch die Kommission ist für 2026 vorgesehen. Dann steht wieder die Frage im Raum, ob man die Verpflichtung zur Interoperabilität der Messaging-Dienste auf die sozialen Netzwerke ausdehnt. Wofür das Europäische Parlament übrigens von Anfang an war. Schaut man sich an, was mit Twitter passiert, ist das ja auch nicht so abwegig. Twitter gehört zwar nicht zu den ganz Großen, legt man allerdings die qualitativen Kriterien des DMA (Digital Markets Act) an, kann man Twitter ohne weiteres als Gatekeeper einstufen. Und das wäre der Hebel, Twitters Marktmacht einzudämmen. Denn die hat ja erst ermöglicht, die Qualität so runterzuschrauben – auch wenn die Nutzer vorerst noch bleiben.

Das KI-Gesetz hat mehr die Sicherheitsaspekte im Blick, nicht so sehr den Wettbewerb. Der DMA wiederum deckt den Wettbewerb und das Cloud Computing ab. Microsoft und Amazon haben sich hier ja bereits gut aufgestellt. Und natürlich Google – auch wenn es noch ein bisschen hinterherhinkt. Sie alle befassen sich mit KI. Entscheidend wird sein, über welche Cloudkapazitäten die großen KI-Akteure künftig verfügen. Und die Kommission wird sich wahrscheinlich früher oder später fragen, ob sie mit dem DMA so aufgestellt ist, dass sie die Wettbewerbsfähigkeit des Cloud-Marktes überhaupt noch sicherstellen kann. Wenn nicht, bekommen wir ein Problem mit der KI.  

Da Sie den Cloud-Markt erwähnen: Ein kleiner Abstecher zu Gaia-X, unserer europäischen Initiative. Müssen wir Europäer unsere Cloud-Politik überdenken und vielleicht Industriepolitik im Bereich Cloud praktizieren?

Ian Brown: Gaia-X wurde nachgesagt, dass es seinen Kurs oft geändert habe. Inzwischen wissen wir, dass einige der großen US-Unternehmen bei Gaia-X fest im Sattel sitzen. Inwieweit sich das mit strategischer Autonomie und digitaler Souveränität vereinbaren lässt, ist die große Frage. Datenschutz ist ja nach wie vor ein brandheißes Thema.

Seit Edward Snowdens Enthüllungen vor zehn Jahren ist es ein offenes Geheimnis, dass die US-Regierung die Systeme der großen Player – mit Sitz in den USA – für großangelegte Überwachungen nutzt. Die europäischen Regierungen müssen selbst entscheiden, ob sie ihre sensiblen Daten Diensten anvertrauen, die von außereuropäischen Unternehmen kontrolliert werden.

Jeder sieht, wie schwer es für europäische Wettbewerber ist, auf diesen Märkten Fuß zu fassen. Die Gründe dafür kennen wir, und deshalb versuchen wir, dem Problem jetzt mit dem Digital Markets Act beizukommen. Ob industriepolitische Maßnahmen greifen, wird sich zeigen. Das können wir heute noch nicht abschätzen. Und dann ist da noch die Sache mit den Halbleitern – die Amerikaner und die Europäer investieren kräftig. Das ist ein Wirtschaftszweig mit gewaltigen Effizienzsteigerungen. Aber es kann eben auch sehr teuer werden – ohne dass die Qualität stimmt. Was der Bau solcher Fabriken Europa am Ende kosten wird, bleibt abzuwarten.

Kann eine funktionierende Interoperabilität bestimmte Aspekte des Datenschutzes ersetzen?

Ian Brown: Nein. Und man kann gar nicht oft genug sagen: Mit Interoperabilität ersetzt man nicht die Internetregulierung – auch nicht in Einzelsegmenten wie der Wahrung der Privatsphäre. Interoperabilität hat so zu funktionieren, dass sich der Nutzer wohlfühlt. Und dazu gehört nun mal, dass er seine Privatsphäre gewahrt weiß. Den Nutzern bereitet ja nicht umsonst Sorgen, dass sie die Kontrolle über ihre Daten – durch Verknüpfungen der Messenger-Software oder der Software für die sozialen Netzwerke – an Unternehmen verlieren, deren Datenschutzrichtlinien sie nie zugestimmt haben.

Das erleben wir übrigens gerade mit Metas neuem Twitter-Klon – mit Threads. Ich kenne eine Menge Leute, die bei Mastodon (neues dezentrales soziales Netzwerk) sind, weil sie eine Alternative zu Twitter gesucht haben. Denen ist nicht wohl dabei, dass sich der Mastodon-Server demnächst mit Metas Thread-Server verbindet. Das soll wohl technisch in ein paar Wochen möglich sein, sagt Meta. Ich versuche ihre Bedenken immer mit dem Argument zu zerstreuen, dass sie zumindest in Europa durch die Datenschutz-Grundverordnung geschützt wären.

Selbst wenn Meta über interoperable technische Kanäle auf ihre Posts zugreifen könnte, dürfte es diese Daten nicht verarbeiten. Man könnte also kein Profil erstellen, um zum Beispiel personalisierte Werbung auszuspielen. Deshalb scheut Meta auch die Thread-Einführung in Europa. Weil sie sich nicht sicher sind, ob sie die Standards der Datenschutz-Grundverordnung (DSGVO) erfüllen können. Einige behaupten nun, daran sehe man, dass die DSGVO zu weit ginge. Ich finde ja, dass es genau andersrum ist: Dank der DSGVO muss sich Meta gründlich mit dem Datenschutz ihres Angebots befassen, bevor sie es in Europa einführen.

Vor ein paar Wochen haben wir mit Cory Doctorow gesprochen. Die Umsetzung der Interoperabilität auf Grundlage des DMA in Europa sieht er ziemlich kritisch. Er fände es besser, die sozialen Medien vor den Messaging-Diensten in den Blick zu nehmen. Hat er recht?

Ian Brown:  Ich weiß, was er meint. Wobei man sagen muss, die meisten Tweets in den sozialen Medien sind öffentlich. Man kann sein Twitter-Konto zwar auf privat stellen, aber wer macht das schon. Die meisten beglücken mit ihren Tweets die ganze Welt. Sie wollen gehört werden. Ihre Privatsphäre schert sie in diesem Fall offenbar sehr viel weniger als bei ihren WhatsApp-Nachrichten.
Ich kann schon verstehen, warum Cory – und er ist ja nicht allein – meint, die Interoperabilität sei zwischen den sozialen Netzwerkdiensten leichter durchzusetzen. Deshalb hat sich ja das EU-Parlament dafür eingesetzt. Es ist kein Ruhmesblatt, dass es schlussendlich den EU-Rat nicht überzeugen konnte. Aber das Parlament wird sicher nicht lockerlassen.

Ist unsere zwischenmenschliche verschlüsselte Kommunikation sicher?

Ian Brown: Der Artikel 7 des DMA ist sehr sorgfältig formuliert. Es gibt eine Menge Schutzmaßnahmen, um das Sicherheits- und Integritätsniveau in Messaging-Systemen zu bewahren und um sicherzustellen, dass die End-to-End-Verschlüsselung beibehalten wird. Technisch – und ich weiß, wovon ich rede –, ist es durchaus möglich, interoperable End-to End verschlüsselte Nachrichten zu versenden.

Derzeit werden in Brüssel die Rechtsvorschriften zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern diskutiert. Das Recht auf Privatsphäre ist eben kein absolutes Recht. Und doch haben die Strafverfolgungsbehörden große Probleme, Online-Straftäter zu verfolgen und betroffene Kinder zu schützen. Wie sind die verschlüsselte Kommunikation und der Schutz der Kinder zu vereinbaren?

Ian Brown: Leider gibt es keine einfachen Lösungen. Man kann Software nicht ein bisschen weniger verschlüsseln, damit nur die Polizei – und sonst keiner – in der Lage ist, auf alles zuzugreifen. Und Apple oder Meta (mit WhatsApp) können auch nicht ohne weiteres Telefone nach illegalen Inhalten – wie sexuellem Kindesmissbrauch – durchsuchen. Sie würden immer Hintertüren für alle möglichen staatlichen Überwachungsmaßnahmen öffnen. Nicht in Demokratien, aber in autoritären Staaten.

Aber es gibt schon noch einiges, was Unternehmen wie Meta und Apple machen könnten. Wobei man sagen muss, im Hintergrund tun sie schon vieles – und zwar freiwillig. Noch besser wäre, man würde solche Maßnahmen gesetzlich festschreiben. Trotz der End-to-End-Verschlüsselung bleiben ja immer einige Metadaten für die Anbieter verfügbar. Die könnten sie überprüfen. Und man kann auch Nutzer identifizieren, die auffallend oft Kinder kontaktieren. Kindern, die online unterwegs sind, sollte man es so einfach wie möglich machen, Belästigung und Missbrauch zu melden. Wenn sie von Unbekannten angeschrieben werden, ist das illegal. Und ist die Polizei informiert, kann sie tätig werden.

Es steht außer Zweifel, dass es um abscheuliche Verbrechen geht. Und dass die Polizei und die Kinderrechtsaktivisten mit Nachdruck praktikable Regelungen fordern, ist mehr als verständlich. Aber ich verstehe auch die Datenschützer. Es ist technisch nicht möglich, Bilder von sexuellem Kindesmissbrauch zu scannen oder zu entschlüsseln und alle anderen Inhalte außen vorzulassen.

Also bleibt im Grunde genommen alles beim Alten. Trotz aller gesetzlicher Handhabe.

Ian Brown: Das Problem mit garantierten Rechten ist, dass es selbst in Demokratien nicht möglich ist, sie immer und zu hundert Prozent zu garantieren. Unlängst gab es in Spanien glaubwürdige Anschuldigungen, die Regierung habe Oppositionspolitiker abgehört. Das ist illegal. Aber es ist passiert. In Griechenland wurden – so wird behauptet – rechtmäßige Abhörmöglichkeiten in den Mobilfunknetzen dafür missbraucht, hochrangige Politiker auszuspionieren. Noch ist nicht ganz klar, wer dahintersteckt. Aber es wird gemunkelt, die griechische Regierung habe ihre Kontrollbefugnisse etwas sehr überdehnt. Selbst in liberalen Demokratien ist das Recht nicht in Stein gemeißelt. Weitaus problematischer ist, dass wir von Technologien sprechen, die weltweit verfügbar sind und in aller Herren Länder zum Einsatz kommen. In Ländern, die keine liberalen Demokratien sind. Und das ist für politische Aktivisten, für Oppositionelle unter autoritären Regimen kreuzgefährlich.

Erstaunlicherweise kooperiert Facebook in diesem Fall mit den Behörden. Sie liefern alles, was für die Ermittler von Bedeutung ist. Aber nun zu etwas anderem: Schlagzeilen machte dieser Tage, dass Meta vor dem Europäischen Gerichtshof mit einer Klage gegen das Bundeskartellamt gescheitert ist: Kartellbehörden dürfen auch künftig in Wettbewerbsfällen die Einhaltung des Datenschutzes prüfen. Ein Lehrstück für Europa?

Ian Brown: Das deutsche Bundeskartellamt ist eine der führenden Wettbewerbsbehörden in Europa. Und mit diesem Urteil, sind die Grenzen des Kartellrechts deutlich erweitert worden. In einem sehr positiven Sinn. Schließlich geht es um Missbrauch einer marktbeherrschenden Stellung und Verstöße gegen die Datenschutzgrundverordnung.

Ich bin froh, dass der Gerichtshof so entschieden hat. In anderen Rechtsräumen, die nicht an die Rechtsprechung des Gerichtshofs gebunden sind, wurden vergleichbare Argumente vorgebracht. Im Vereinigten Königreich gibt es vor dem Competition Appeal Tribunal eine ähnliche Klage gegen Meta. Eine Sammelklage. Die aber nicht sehr schnell vorankommt, weil Sammelklagen für die Briten Neuland sind. Es wird sich zeigen, ob sich britische Gerichte vom Europäischen Gerichtshof inspirieren lassen. An dessen Entscheidungen sind sie ja nicht mehr gebunden.

Die Konvergenz von Kartellrecht, Schutz der Privatsphäre und Verbraucherschutzrecht ist sehr wichtig. Schön wäre, wenn sich auch andere EU-Länder in diese Richtung bewegten. Hoffen wir, dass sie der Digital Service Act und der Digital Markets Act dazu ermutigen.

Sie haben die britische Regierung zum Thema „KI und Lieferketten“ beraten. In letzter Zeit sind sogenannte generative KI-Modelle (auch Foundation-Modelle oder Basismodelle; Deep-Learning-Algorithmen, die mit riesigen Datensätzen vortrainiert werden) in aller Munde. OpenAI und ChatGPT kennt inzwischen jeder. Noch nicht geklärt ist, wer was zu verantworten hat.

Ian Brown: KI ist eine sehr breit gefächerte Technologie. Es gibt zahllose Möglichkeiten, sie einzusetzen. Ich halte es für sinnvoll, sie konsumentennah zu regulieren. Allerdings liegen Basismodelle in einer Lieferkette immer einige Schritte zurück. Und daraus können Probleme erwachsen.

OpenAI hat ChatGPT der Öffentlichkeit als Chatbot (Anwendung, die KI verwendet, um sich mit Menschen in natürlicher Sprache zu unterhalten) frei zur Verfügung gestellt. Sie haben erstmal nichts weiter getan, als der Welt ihre Technologie zu präsentieren. Aber in Zukunft werden die Unternehmen OpenAI bezahlen müssen, um diese Technologie für eigene Zwecke zu nutzen.

Nur eines von unzähligen Beispielen: Bei einer Bank beantragt man üblicherweise Hypothekenkredite. Solche Anträge kann man nun unter Zuhilfenahme von generativen KI-Modellen bewerten.

Den Kontakt zum Kunden hat die Bank, und sie ist – nach dem KI-Gesetz und einigen anderen Instrumenten – auch in Verantwortung. Doch bei aller Freude über die generative KI, ganz so einfach ist es eben nicht: Die Bank müsste mit OpenAI oder Google in irgendeiner Form vorab geklärt haben, inwieweit etwaige Fehler im Basismodell dem Verbraucher schaden könnten. Das sollte der Bank in gewissem Rahmen noch gelingen.

Es gibt aber noch ein weiteres Problem: Die Bank – oder von mir aus ein anderes Unternehmen mit Kundenkontakt – ist in der Regel sehr viel kleiner als die großen Player, die mit den Basismodellen gerade erfolgreich sind. Die Machtverhältnisse sind sehr ungleich. Und das macht es für die Kleinen nicht unbedingt leichter, Probleme bereits im Vorfeld zu beheben.

Dieses Phänomen sehen wir auch beim Cloud Computing. Wenn Unternehmen, die Cloud-Dienste nutzen, Vertragsdetails ändern wollen – oft geht es übrigens um Datenschutz –, blocken die Cloud-Anbieter. Nach dem Motto „Mit einem so kleinen Unternehmen handeln wir keine individuellen Verträge aus. Entweder Sie akzeptieren den Standardvertrag oder Sie verzichten auf unsere Dienste.“ Mich würde nicht wundern, wenn die KI-Unternehmen das künftig genauso handhaben und die Regierungen das nicht mal zur Kenntnis nehmen.

Es kann aber auch ein Irrweg sein, sich ausschließlich auf das Geschäft mit den Endkunden zu konzentrieren. Basismodelle haben auch ihre Tücken. Ein Basismodell wird irgendwann von Tausenden, Zehntausenden oder Millionen Unternehmen genutzt. Doch nehmen wir mal an, es ist Frauen oder ethnischen Minderheiten gegenüber voreingenommen, und diesen Menschen wird deshalb der Zugang zu Krediten oder Arbeitsplätzen erschwert. KI-gestützte Entscheidungen hätten massiven Einfluss auf das Leben vieler Menschen, und hunderttausende Unternehmen müssten die Folgen solch technologischer Vorurteile ausbaden.

Es bringt überhaupt nichts, wenn nun jedes einzelne Unternehmen versucht, dem Problem beizukommen. Das müssen die Betreiber der Basismodelle tun. Sie sind am besten in der Lage, Fehler im System aufzuspüren und zu beheben. Die Endnutzer haben nur einen Vertrag unterschrieben, um in den Genuss von Dienstleistungen zu kommen.

Daher halte ich die vom Europäischen Parlament in letzter Minute vorgeschlagenen Änderungen des KI-Gesetzes, für sinnvoll. Es ist der Versuch, Anbietern von generativer KI einige Pflichten aufzuerlegen. Es ist aber mit einiger Gewissheit davon auszugehen, dass sie in den abschließenden Verhandlungen mit dem EU-Rat wieder abgeräumt werden. Ich halte es für überhaupt nicht klug, das Problem einfach vom Tisch zu wischen. Nach dem Prinzip "Ach je, schon wieder diese KI. Die zu händeln, ist uns viel zu kompliziert.“

Glauben Sie, dass man sie künftig als Gatekeeper einstuft?

Ian Brown: Mich würde das nicht überraschen. Schon wegen der Verknüpfungen zum Cloud-Computing. Der Markt ist ja bereits gekippt. Und Unternehmen, die sich mit KI befassen, sind ja oft die großen Player. Wahrscheinlich wird die Europäische Kommission früher oder später ein Verfahren starten, in dessen Folge spezielle KI-Verfahren als zentrale Plattformdienste und damit als Gatekeeper eingestuft werden. Natürlich immer im Rahmen des Digital Markets Act. Man kann auch schon vorab einiges auf den Weg bringen. Der Digital Markets Act und die Datenschutzgrundverordnung adressieren ja ausdrücklich die Cloud-Dienste. Hier könnte man ansetzen.

Dann hoffen wir mal, dass man in Brüssel den Blog der Zeitschrift "Die Politische Meinung" verfolgt. Ian, wir danken Ihnen für das Gespräch.

Das Interview führte Dr. Pencho Kuzev.