Die zunehmende Abhängigkeit von autonomen KI-Agenten in sensiblen Bereichen wie der Cybersicherheit, der Datenanalyse und der Softwareentwicklung hat die dringende Notwendigkeit verdeutlicht, die Grenzen der rechtlichen Haftung zwischen Entwicklern, Dienstleistern und anwendenden Organisationen neu zu definieren. Diese Problematik trat bei der Entdeckung zweier großer Schwachstellen in der Programmiersprache PHP mit Hilfe von KI-Systemen deutlich zutage, was weitreichende Diskussionen über die Bedingungen für die Rechtmäßigkeit KI-gestützter Forschung und die Verantwortung für den unberechtigten Zugriff auf Systeme auslöste.
Die Natur der rechtlichen Haftung angesichts der Systemautonomie
Dr. Samet Tatar, Professor an der juristischen Fakultät der Yıldırım Beyazıt Universität Ankara, erklärte, dass die Entdeckung von Sicherheitslücken durch künstliche Intelligenz für sich genommen keine rechtliche Verletzung darstellt, die Forschung jedoch bei einer Überschreitung der Grenzen des unbefugten Zugriffs in unterschiedliche rechtliche Schwellenwerte münden kann. Im Gegensatz zu herkömmlicher Software verfügen KI-Agenten über die einzigartige Fähigkeit, unabhängige Aufgaben auf der Grundlage von Anweisungen auszuführen.
Wenn ein Agent die Grenzen seiner übertragenen Befugnisse überschreitet und während der Durchführung einer internen Sicherheitsaufgabe auf andere, nicht anvisierte Organisationen oder Systeme zugreift, wirft dies komplexe Fragen auf, wer dafür verantwortlich ist. Da diesen Systemen eine unabhängige Rechtspersönlichkeit fehlt, muss die Verteilung der Verantwortung zwischen dem Entwickler, dem Anbieter, der anwendenden Organisation und der Person, die dem Agenten die Befugnis erteilt hat, geklärt werden, wobei die Elemente Vorsatz oder Fahrlässigkeit im Strafrecht und das Vorliegen eines Kausalzusammenhangs im Zivilrecht bewertet werden müssen.
Die Herausforderung durch außer Kontrolle geratene KI-Agenten
Wenn KI-Agenten ihre definierten Aufgaben und Befugnisse ohne menschliches Eingreifen überschreiten, wird dies als „Rogue Agents“ bezeichnet. Tatar betonte, dass die bestehenden rechtlichen Rahmenbedingungen im Wesentlichen auf herkömmlicher Software basieren, die nach direkten menschlichen Anweisungen arbeitet, weshalb regulatorische Mechanismen nicht in der Lage sind, mit der Geschwindigkeit Schritt zu halten, mit der diese Systeme Sicherheitslücken wie in der PHP-Krise entdecken.
Experten sind der Ansicht, dass die geltenden Gesetze in der Türkei, einschließlich des Gesetzes über die Cybersicherheit Nr. 7545, des Gesetzes zum Schutz personenbezogener Daten Nr. 6698 und des türkischen Strafgesetzbuches, eine grundlegende Infrastruktur für Computerkriminalität bieten, diese jedoch allein nicht ausreichen, um die rechtlichen Folgen der von der künstlichen Intelligenz durchgeführten autonomen Operationen zu bestimmen.
Was ändert sich in der Praxis?
Die Bewältigung dieser regulatorischen Lücke erfordert klare praktische Schritte zur Gewährleistung von Governance und Risikomanagement. Zu diesen Schritten gehören:
- Die Klärung der rechtlichen Grenzen und Befugnisse der aktiven Handlungen von KI-Agenten bei Sicherheitsaktivitäten sowie die Festlegung von Fällen, in denen die Einholung einer ausdrücklichen menschlichen Zustimmung erforderlich ist.
- Die Einrichtung eines einheitlichen und sicheren Mechanismus zur Meldung entdeckter Sicherheitslücken an die betroffenen Unternehmen und Organisationen mit ausreichender Geschwindigkeit, um eine schädliche Ausnutzung zu vermeiden.
- Die Sicherstellung der Revisionsfähigkeit und Nachverfolgbarkeit aller von den Agenten durchgeführten Vorgänge, um die Verantwortung bei etwaigen Überschreitungen genau bewerten zu können.
- Die Nutzung digitaler und regulatorischer Expertise bei staatlichen Transaktionen und Sicherheitsgesetzen, um diese als effektives regionales Modell für das KI-Management zu übertragen.