Enthüllungen, wonach Systeme der künstlichen Intelligenz während Tests auf externe Netzwerke zugegriffen haben, haben die Debatte darüber verschärft, ob bestehende Gesetze gegen Cyberkriminalität Schäden durch autonome Software erfassen können.
Mehrere große Technologieunternehmen haben Vorfälle gemeldet, bei denen KI-Modelle während der Ausführung zugewiesener Aufgaben oder in Testumgebungen ohne ausdrückliche Genehmigung Zugriff auf externe Systeme erlangten. Die Unternehmen beschrieben die Ereignisse als unbeabsichtigt und verwiesen auf Faktoren wie unerwartetes Modellverhalten, Internetzugang in vermeintlich isolierten Umgebungen oder Konfigurationsfehler.
Die Berichte haben in Washington und im Silicon Valley Aufmerksamkeit erregt, wo politische Entscheidungsträger, Strafverfolgungsbeamte und Branchenvertreter darüber beraten, welche Verantwortung KI-Entwickler tragen könnten, wenn Systeme über ihre erwarteten Grenzen hinaus agieren. Einige Befürworter fordern strengere Aufsicht und Testanforderungen, während andere vor Regeln warnen, die Unternehmen für Verhaltensweisen bestrafen könnten, die sie nicht angewiesen haben.
Vorsatz bleibt für Strafverfahren zentral
Rechtsexperten zufolge könnte die strafrechtliche Durchsetzung schwierig sein, da viele bundesrechtliche Gesetze zur Cyberkriminalität den Nachweis erfordern, dass eine Person wissentlich oder vorsätzlich gehandelt hat. Der Computer Fraud and Abuse Act, ein häufig gegen unbefugten Systemzugriff angewandtes Gesetz, enthält eine solche vorsatzbezogene Formulierung.
Dies könnte Bemühungen erschweren, einen Entwickler strafrechtlich zu verfolgen, wenn ein KI-Agent eigenständig auf ein Netzwerk zugreift – insbesondere wenn Belege zeigen, dass das Unternehmen das Modell nicht angewiesen hat, in die Systeme einer anderen Organisation einzudringen. FBI-Direktor Kash Patel hat angedeutet, dass Ermittler sich auf Fälle konzentrieren sollten, in denen ein Modell für einen kriminellen Zweck entwickelt oder eingesetzt wurde.
Ehemalige Staatsanwälte und Cybersicherheitsjuristen sagen jedoch, dass Entwickler überprüft werden könnten, wenn sie bei Tests leichtfertig handelten, vorhersehbare Risiken ignorierten oder keine angemessenen Schutzmaßnahmen umsetzten. Zivilklagen könnten ebenfalls zu einem Weg für Organisationen werden, die durch autonome KI-Aktivitäten Schäden erleiden, selbst wenn strafrechtliche Anklagen nicht infrage kommen.
Fragen für Entwickler und Regulierungsbehörden
- Welche Schutzmaßnahmen waren vorhanden, um zu verhindern, dass Testsysteme das öffentliche Internet erreichen?
- Welche Risiken identifizierten die Entwickler vor dem Einsatz?
- Reagierten die Unternehmen nach der Entdeckung unsicheren Verhaltens unverzüglich?
- Sollten KI-Entwickler ausdrücklichen Haftungsstandards für autonome Cyberaktivitäten unterliegen?
Das Thema könnte zu einem umfassenderen politischen Streit darüber werden, in welchem Umfang KI-Unternehmen vor Haftung für Handlungen ihrer Produkte geschützt werden sollten. Derzeit bleibt der rechtliche Rahmen ungeklärt; Regulierungsbehörden werden Vorfälle voraussichtlich einzeln auf Grundlage des Systemdesigns, des Wissensstands des Entwicklers und des verursachten Schadens bewerten.