Kontext, Regulierungsansatz und Umfang der Verpflichtungen
07/2026
I. Einleitung
Die von Systemen der künstlichen Intelligenz (KI) ausgehenden Risiken haben die Staaten dazu veranlasst, regulatorische Massnahmen zu ergreifen. Die EU hat ihre Verordnung über künstliche Intelligenz (im Folgenden: KI-Gesetz) verabschiedet, die als erster umfassender Rahmen zur Regulierung von KI gepriesen wurde. Das KI-Gesetz ist bereits in Kraft getreten, und obwohl die Auswirkungen vieler seiner Bestimmungen noch besser verstanden werden müssen, war das KI-Gesetz bereits Gegenstand nützlicher Kommentare und Analysen. Ähnlich wie die EU hat auch der Europarat (im Folgenden: CoE) kürzlich das Rahmenübereinkommen über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit (im Folgenden: CoE-KI-Übereinkommen) verabschiedet. Zum Zeitpunkt der Abfassung dieses Artikels ist der Vertrag noch nicht in Kraft getreten. Er wurde von elf Mitgliedstaaten des Europarats sowie von der EU, den Vereinigten Staaten von Amerika, Kanada, Japan, Uruguay und Israel unterzeichnet. Bislang hat noch kein Staat ihn ratifiziert.
Die CoE-KI-Konvention definiert ein KI-System als «maschinenbasiertes System, das für explizite oder implizite Ziele aus den ihm zugeführten Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generieren kann, die physische oder virtuelle Umgebungen beeinflussen können». Diese Definition stimmt mit der in Artikel 3 Absatz 1 des KI-Gesetzes verankerten Definition überein. Sie gilt als relativ weit gefasst und soll mit künftigen technologischen Entwicklungen Schritt halten. Vor dem Hintergrund dieser Definition liefert dieser Artikel eine erste Analyse der KI-Konvention des Europarats. Dabei werden vier Schritte verfolgt. Der erste betont die Notwendigkeit, die KI-Konvention des Europarats im Kontext ihrer Verabschiedung als internationaler Vertrag zu verstehen, der innerhalb des Europarats ausgehandelt wurde (Abschnitt II). Dieser Kontext hat den persönlichen Geltungsbereich des Vertrags beeinflusst, indem er die Regulierung der Nutzung von KI-Systemen sowohl durch öffentliche Behörden als auch durch private Akteure umfasst. Eine detKIllierte Prüfung der verfügbaren Verhandlungsdokumente zeigt, dass das konkrete Schutzniveau der KI-Konvention des Europarats reduziert wurde, nicht zuletzt durch die endgültige Entscheidung der Verfasser, private Akteure nur indirekt zu regulieren. Abschnitt III erläutert diesen persönlichen Geltungsbereich der Konvention, unter anderem durch die Beschreibung der Verhandlungsgespräche zur Regulierung von Behörden und privaten Akteuren. Diese Regulierung folgt einem risikobasierten Ansatz, der die von den Staaten im Rahmen des Vertrags eingegangenen Verpflichtungen prägt. Abschnitt IV erläutert den risikobasierten Ansatz und stellt ihn dem Ansatz des EU-KI-Gesetzes gegenüber. Es wird argumentiert, dass das Fehlen expliziter Risikokategorien im Vertrag dessen höheres Abstraktionsniveau widerspiegelt, was jedoch keine schwächeren Verpflichtungen nach sich zieht. Abschnitt V erläutert die in der Konvention formulierten Grundsätze, die die von den Staaten eingegangenen Verpflichtungen prägen sollen. Es wird argumentiert, dass diese Grundsätze, nämlich Menschenwürde und individuelle Autonomie, Transparenz und Aufsicht, Rechenschaftspflicht, Nichtdiskriminierung, Datenschutz, Zuverlässigkeit und Risikomanagement, als Auslegungsinstrumente für die Gestaltung der Entwicklung von Menschenrechtsstandards dienen können.
Eine Anmerkung zur Methodik ist angebracht. Als internationaler Vertrag unterliegt das KI-Übereinkommen des Europarats der Vertragsauslegung gemäss den in den Artikeln 31 und 32 des Wiener Übereinkommens über das Recht der Verträge (Wiener Übereinkommen) formulierten Auslegungsregeln. Gemäss Artikel 31 Absatz 1 des Wiener Übereinkommens ist der Vertrag «nach der gewöhnlichen Bedeutung auszulegen, die den Vertragsbegriffen in ihrem Zusammenhang und im Lichte des Vertragsgegenstands und des Vertragszwecks zukommt». Artikel 1 Absatz 1 der KI-Konvention des Europarats definiert den Gegenstand und Zweck des Vertrags als die Gewährleistung, «dass die Aktivitäten im Lebenszyklus von Systemen der künstlichen Intelligenz in vollem Umfang mit den Menschenrechten, der Demokratie und der Rechtsstaatlichkeit im Einklang stehen». Die Menschenrechtsnormen bilden daher einen integralen Bestandteil der Auslegung des Vertrags, was die Bezugnahme auf Menschenrechte in der folgenden Analyse rechtfertigt. Es wird kein Versuch unternommen, eine umfassende Analyse darüber zu liefern, wie die Bestimmungen des Vertrags im Lichte der Menschenrechtsnormen ausgelegt werden könnten. Tatsächlich müssen sich die Menschenrechtsnormen in diesem Bereich erst noch mit einer gewissen Präzision entwickeln. Die in der KI-Konvention des Europarats zum Ausdruck gebrachten Grundsätze können zur Weiterentwicklung der Menschenrechtsnormen beitragen. In diesem Sinne ist eine wechselseitige Wechselwirkung zwischen dem Vertrag und den Menschenrechtsnormen zu erwarten.
Gemäss Artikel 31 Absatz 3 Buchstabe c des Wiener Übereinkommens können bei der Auslegung des Vertrags auch «alle einschlägigen Regeln des Völkerrechts, die in den Beziehungen zwischen den Vertragsparteien anwendbar sind», berücksichtigt werden. Das EU-Recht und insbesondere das EU-KI-Gesetz können als Quelle einschlägiger Regeln angesehen werden. Daher wird ein integrierter Auslegungsansatz verfolgt, bei dem nicht nur die Menschenrechtsnormen relevant sind, sondern das Recht des Europarats und das EU-Recht allgemeiner im Lichte des jeweils anderen verstanden werden müssen. Tatsächlich gibt es eine Vielzahl von Quellen, die auf europäischer Ebene gelten, und diese müssen auf integrierte Weise ausgelegt werden. Auch wenn in diesem Artikel kein Versuch eines umfassenden Vergleichs unternommen wird, bietet das EU-KI-Gesetz doch wichtige Anhaltspunkte für ein besseres Verständnis des KI-Übereinkommens des Europarats. Abschnitt IV bietet einen detKIllierteren Vergleich mit dem EU-KI-Gesetz hinsichtlich der Bedingungen für die Einstufung von Systemen als risikoreich gemäss dem Gesetz. Der Grund dafür ist, dass gerade diese Einstufung auf einer allgemeineren konzeptionellen Ebene als zentraler Kontrastpunkt in Bezug darauf angesehen werden kann, wie KI-Systeme auf europäischer Ebene (d. h. durch den Europarat und durch die EU) reguliert wurden. Dies rechtfertigt eine eingehendere vergleichende Analyse, wie sie in Abschnitt IV angeboten wird.
Wie bei anderen Verträgen des Europarats ist der zusammen mit dem Vertrag veröffentlichte Erläuternde Bericht eine wichtige Quelle für ein besseres Verständnis der möglichen Auslegung dieser Verpflichtungen. Die vom Ad-hoc-Ausschuss des Europarats für KI erstellte Machbarkeitsstudie, in der die Verabschiedung eines neuen Europarat-Vertrags als Option vorgeschlagen wurde, dient als Massstab für die Ermittlung der beabsichtigten Ziele und die Bewertung, inwieweit diese angesichts der im endgültigen Text festgelegten Verpflichtungen erreicht wurden. Die Machbarkeitsstudie kann als Teil des historischen Hintergrunds des Übereinkommens betrachtet werden. Sie kann auch als Teil der Umstände des Vertragsabschlusses angesehen werden, die gemäss Artikel 32 des Wiener Übereinkommens über das Recht der Verträge als ergänzendes Mittel zur Vertragsauslegung herangezogen werden können. Die während der Verhandlungen veröffentlichten Vertragsentwürfe sind ebenfalls in die Analyse einbezogen. Diese Entwürfe sind Teil der Vorarbeiten zum Vertrag, die ebenfalls ein ergänzendes Mittel zur Vertragsauslegung darstellen. Diese Mittel, die auf Schlüsseldokumenten wie der Machbarkeitsstudie, den Entwürfen und dem Erläuternden Bericht basieren, dienen der Auslegung und dem besseren Verständnis der im KI-Übereinkommen des Europarats formulierten Grundsätze, nämlich Menschenwürde und individuelle Autonomie, Transparenz und Aufsicht, Rechenschaftspflicht, Nichtdiskriminierung, Datenschutz, Zuverlässigkeit und Risikomanagement.
II. Der Kontext und der Entstehungsprozess
Ähnlich wie das KI-Gesetz wurde die KI-Rahmenkonvention des Europarats einerseits von den «beispiellosen Möglichkeiten» inspiriert, die KI bieten könnte, unter anderem durch die Verbesserung der Effizienz von Verwaltungsverfahren, und andererseits von den Risiken, die solche Systeme für die Menschenrechte darstellen könnten. Im Gegensatz zum KI-Gesetz ist die KI-Rahmenkonvention des Europarats jedoch kein Produktsicherheitsregime. Die KI-Konvention des Europarats muss vor dem Hintergrund des umfassenderen Mandats der Organisation verstanden werden, in deren Rahmen sie verabschiedet wurde. Das Mandat des Europarats konzentriert sich insbesondere auf den Schutz der Menschenrechte, der Demokratie und der Rechtsstaatlichkeit. Dies spiegelt sich auch deutlich in Artikel 1 Absatz 1 wider, der festlegt, dass der Vertrag darauf abzielt, «sicherzustellen, dass Aktivitäten im Lebenszyklus von KI-Systemen in vollem Umfang mit den Menschenrechten, der Demokratie und der Rechtsstaatlichkeit im Einklang stehen».
Das Mandat des Europarats prägte die Entstehung des Vertrags und ermöglichte die Einbeziehung verschiedener Akteure. Insbesondere lassen sich die Ursprünge des Vertrags bis in den MKI 2019 zurückverfolgen, als das Ministerkomitee des Europarats im Rahmen des « » die Notwendigkeit erkannte, «auf der Grundlage von Konsultationen mit verschiedenen Interessengruppen die Machbarkeit und mögliche Elemente eines Rechtsrahmens für die Entwicklung, Gestaltung und Anwendung künstlicher Intelligenz zu prüfen, der auf den Standards des Europarats zu Menschenrechten, Demokratie und Rechtsstaatlichkeit basiert». Im September 2019 setzte das Ministerkomitee offiziell den Ad-hoc-Ausschuss für künstliche Intelligenz (CAHKI) ein, ein Gremium, das mit der Durchführung einer Machbarkeitsstudie beauftragt wurde, um die Möglichkeit der Verabschiedung eines solchen Rechtsrahmens zu prüfen. Gemäss dem erteilten Mandat sollte diese Prüfung auf breit angelegten Konsultationen mit verschiedenen Interessengruppen basieren, wodurch die Einbeziehung vielfältiger Perspektiven und Anliegen im Zusammenhang mit KI sichergestellt werden könnte. Im Dezember 2020 veröffentlichte das CAHKI seine Machbarkeitsstudie, in der, wie ursprünglich vorgesehen, vielfältige Perspektiven dargestellt und die Grundlagen für einen neuen Vertrag des Europarats geschaffen wurden. Eine in der Studie vorgeschlagene Option war die Verabschiedung eines Rahmenübereinkommens anstelle eines Übereinkommens. Letzteres erlegt konkretere Verpflichtungen auf und gewährt natürlichen oder juristischen Personen Rechte. Ein Rahmenübereinkommen hingegen ist weniger präskriptiv und detKIlliert; es sieht «allgemeine Kernprinzipien und Werte» vor und lässt «den Staaten einen beträchtlichen Ermessensspielraum hinsichtlich der Umsetzung dieser allgemeinen Prinzipien und Werte». Letzteres hatte drei Vorteile: Erstens könnten detKIllierte rechtliche Verpflichtungen für KI-Systeme verfrüht sein; zweitens wären die Staaten eher bereit, sich binden zu lassen; drittens könnte eine starre Regulierung Innovationen behindern. Die Auswirkungen der Entscheidung für ein Rahmenübereinkommen werden in der folgenden Analyse deutlicher werden.
Nach Abschluss des Mandats der CAHKI setzte das Ministerkomitee den Ausschuss für künstliche Intelligenz (CKI) ein mit der Aufgabe, «einen internationalen Verhandlungsprozess einzuleiten und Arbeiten zur Fertigstellung eines geeigneten Rechtsrahmens für die Entwicklung, Gestaltung, Nutzung und Stilllegung künstlicher Intelligenz durchzuführen, basierend auf den Standards des Europarats zu Menschenrechten, Demokratie und Rechtsstaatlichkeit». Es ist wichtig, den Arbeitsprozess des CKI zu verstehen. Diese Arbeit wurde in Plenarsitzungen und Sitzungen der Redaktionsgruppen durchgeführt. Was die Plenarsitzungen betrifft, so fanden zehn solcher Sitzungen statt. Die öffentlich zugänglichen Dokumente aus diesen Sitzungen geben keinen Einblick in die Positionen der verschiedenen beteiligten Staaten. Die Sitzungen der Redaktionsgruppen waren der Geheimhaltung unterworfen. Abgesehen von den vier Entwürfen, die das CKI im Laufe des Prozesses zur Veröffentlichung freigab, «sind die Vorarbeiten [zur KI-Konvention des Europarats], einschliesslich der Positionen der verschiedenen Staaten, nicht öffentlich zugänglich».
Selbst in Bezug auf die während des Prozesses veröffentlichten Entwürfe wurden Vorbehalte hinsichtlich des Wertes dieser Entwürfe geäussert. Es gab zudem starke Kritik seitens der CKI an jeglichen Verstössen gegen die Vertraulichkeit des Prozesses.
Was die während des Entwurfsprozesses zur Verfügung gestellten Entwürfe betrifft, so wurde der Zero Draft am 30. Juni 2022 veröffentlicht. Im Februar 2023 wurde ein überarbeiteter Zero Draft veröffentlicht. Im Juli 2023 wurde ein konsolidierter Arbeitsentwurf der Konvention veröffentlicht. Im Dezember 2023 wurde ein Entwurf vor der Schlusslesung veröffentlicht. Der endgültige Entwurf wurde im März 2024 von der CKI angenommen und später vom Ministerkomitee gebilligt.
Der Zero Draft und der überarbeitete Zero Draft (im Folgenden, soweit relevant, gemeinsam als «Zero Drafts» bezeichnet) waren inhaltlich weitgehend identisch. Wesentliche Änderungen wurden im konsolidierten Arbeitsentwurf eingeführt, der im Juli 2023 veröffentlicht wurde. Diese Änderungen heben die wichtigsten Streitpunkte hervor, auf die in der nachstehenden Analyse im Zusammenhang mit bestimmten Bestimmungen eingegangen wird. Es ist anzumerken, dass zwar am Entwurfsprozess – wie im Mandat des Europarats vorgesehen – eine Vielzahl von Akteuren beteiligt war, darunter auch Akteure der Zivilgesellschaft, die Beiträge zu den Entwürfen leisteten, der Prozess jedoch letztlich von den Staaten geleitet und geprägt wurde. Auch die EU war beteiligt. Entscheidend ist, dass auch Staaten, die nicht Mitglieder des Europarats sind, wie beispielsweise die USA, einbezogen wurden. Ein solch globaler Ansatz wurde ursprünglich von CAHKI empfohlen. Es wurde jedoch festgestellt, dass die Beteiligung von Staaten wie den USA die Schutzvorkehrungen verwässerte und zum Ausschluss der Zivilgesellschaft führte.
Der genaue Einfluss einzelner Staaten – einschliesslich Nicht-Mitgliedstaaten des Europarats – auf den Entwurfsprozess ist schwer zu dokumentieren. Die Positionen der Staaten zur Bedeutung bestimmter Vertragsbestimmungen wurden nicht veröffentlicht, was die Auslegung erschwert. Es ist jedoch wichtig zu betonen, dass diese Merkmale des Entwurfsprozesses – einschliesslich seines vertraulichen Charakters – nicht einzigartig für die KI-Konvention des Europarats sind. Vielmehr spiegeln sie allgemeinere Praktiken im Rahmen der Vertragsgestaltung des Europarats wider. Als solches sollte die KI-Konvention in diesem institutionellen Kontext verstanden werden.
Für dieses Verständnis ist es relevant zu beachten, dass bereits in den 1960er Jahren ein Vorschlag, die «Travaux préparatoires» der Europarat-Konventionen – und damit auch die Verhandlungspositionen der Staaten – zu veröffentlichen, abgelehnt wurde. Gleichzeitig wurde jedoch auch vereinbart, dass «es angebracht wäre, einen Bericht zu veröffentlichen, der, ohne die Haltungen der verschiedenen Experten der Regierungsdelegationen während der Verhandlungen preiszugeben, so beschaffen wäre, dass er die Anwendung der Bestimmungen erleichtert». So wurde beschlossen, dass der Expertenausschuss (im Zusammenhang mit der KI-Konvention des Europarats war dies der CKI), der den Konventionsentwurf ausarbeitete, auch einen erläuternden Bericht vorlegen sollte.
An dieser Stelle stellt sich die Frage nach der Rolle des Erläuternden Berichts bei der Auslegung des Vertrags. Der Bericht stellt keine massgebliche Auslegung des Textes dar. Dies kommt im zweiten Satz des Erläuternden Berichts zur KI-Konvention des Europarates zum Ausdruck: «Der dem Ministerkomitee des Europarates vorgelegte Text des Erläuternden Berichts stellt kein Instrument dar, das eine verbindliche Auslegung des Textes der Rahmenkonvention liefert, auch wenn er das Verständnis ihrer Bestimmungen erleichtern kann.» Da der Vertragstext und der Bericht gleichzeitig ausgehandelt und angenommen werden, kann der Bericht als ergänzendes Mittel zur Vertragsauslegung im Sinne von Artikel 32 des Wiener Übereinkommens über das Recht der Verträge angesehen werden. Der Bericht kann auch als Teil des Kontextes betrachtet werden, in dem die Bedeutung bestimmter Bestimmungen im Sinne von Artikel 31 Absatz 1 des Wiener Übereinkommens zu ermitteln ist. In der folgenden Analyse wird der Erläuternde Bericht zusammen mit den verfügbaren Entwürfen und der Machbarkeitsstudie – die gemeinsam Aufschluss über «die Vorarbeiten zum Vertrag und die Umstände seines Abschlusses» geben – als wichtige Quelle für die Auslegung der Vertragsbestimmungen dienen. Ein entscheidender erster Schritt in diesem Prozess ist die Klärung des persönlichen Geltungsbereichs des Vertrags.
III. Geltungsbereich: öffentliche Behörden und private Akteure
1. Verhandlungen über den Geltungsbereich
Wie die öffentlich zugänglichen Entwürfe zeigen, war der persönliche Geltungsbereich des Übereinkommens Gegenstand erheblicher Änderungen. Insbesondere enthielten die Nullentwürfe die Begriffe «KI-Anbieter», «KI-Nutzer» und «KI-Betroffener». Diese wurden im konsolidierten Arbeitsentwurf gestrichen. Die Verweise auf «KI-Anbieter» und «KI-Nutzer» ermöglichten es den Nullentwürfen, private Akteure direkt zu regeln, was sich auch im vorgeschlagenen persönlichen Geltungsbereich des Übereinkommens widerspiegelte. Insbesondere enthielt der vorgeschlagene Anwendungsbereich die Klarstellung, dass das Übereinkommen gilt, «unabhängig davon, ob diese Tätigkeiten [Entwurf, Entwicklung und Anwendung von KI-Systemen] von öffentlichen oder privaten Akteuren ausgeübt werden». Diese direkte Regulierung privater Akteure wurde mit dem konsolidierten Arbeitsentwurf gestrichen. Diese Streichung wurde in der endgültigen Fassung des Textes beibehalten.
Das Konzept des «KI-Subjekts» ermöglichte es den Zero Drafts, mehrere Verweise auf konkrete Rechte der «KI-Subjekte» zu enthalten. Relevante Beispiele hierfür sind: das Recht auf Zugang zu den entsprechenden Aufzeichnungen des KI-Systems; das Recht auf menschliche Überprüfung; und das Recht zu wissen, dass man mit einem KI- t. Solche konkreten Formulierungen von Rechten wurden mit dem Consolidated Working Draft gestrichen. Diese Streichung wurde in der endgültigen Fassung des Textes beibehalten.
2. Verständnis des Geltungsbereichs
Um den Geltungsbereich des Vertrags besser zu verstehen, wird in den folgenden Abschnitten erläutert, wie die Nutzung von KI-Systemen durch öffentliche Behörden (Abschnitt III.2.a), durch private Akteure, deren Verhalten dem Staat zuzurechnen ist (Abschnitt III.2.b), und durch private Akteure, deren Verhalten dem Staat nicht zuzurechnen ist (Abschnitt III.2.c), geregelt ist.
a. Öffentliche Behörden
Das KI-Übereinkommen des Europarats regelt das Verhalten von Staaten, nicht direkt das von privaten Akteuren, was es vom EU-KI-Gesetz unterscheidet, das sowohl private als auch öffentliche Anbieter und Betreiber von KI-Systemen direkt regelt. Wie andere Übereinkommen des Europarats, bei denen es sich um internationale Verträge handelt, mit denen Staaten sich verpflichten, völkerrechtliche Verpflichtungen zu übernehmen, gilt der Vertrag für seine Vertragsstaaten. Dies bedeutet, dass er für öffentliche Behörden gilt. Artikel 3 Absatz 1 Buchstabe a des Vertrags sieht vor, dass «jede Vertragspartei dieses Übereinkommen auf die Tätigkeiten im Lebenszyklus von KI-Systemen anwendet, die von Behörden durchgeführt werden, […]». Dies folgt den Regeln des allgemeinen Völkerrechts. Insbesondere entspricht es Artikel 4 der Artikel der Völkerrechtskommission (ILC) über die Verantwortlichkeit von Staaten für völkerrechtswidrige Handlungen, der vorsieht, dass «das Verhalten eines jeden staatlichen Organs als Handlung dieses Staates im Sinne des Völkerrechts anzusehen ist, unabhängig davon, ob das Organ legislative, exekutive, justizielle oder sonstige Funktionen ausübt, welche Stellung es in der staatlichen Organisation einnimmt und welchen Charakter es als Organ der Zentralregierung oder einer Gebietseinheit des Staates hat.» Die im Erläuternden Bericht zum KI-Übereinkommen des Europarats enthaltenen Klarstellungen folgen demselben Grundsatz: «Die Verfasser sind sich einig, dass der Begriff ‹öffentliche Behörde› jede öffentlich-rechtliche Einrichtung jeglicher Art und auf jeder Ebene (einschliesslich supranationaler, staatlicher, regionaler, provinzieller, kommunaler und unabhängiger öffentlicher Einrichtungen) […] bezeichnet.»
b. Private Akteure, deren Verhalten dem Staat zuzurechnen ist
Artikel 3 Absatz 1 Buchstabe a des Übereinkommens fügt jedoch hinzu, dass die Vertragsparteien das Übereinkommen auch auf Tätigkeiten anwenden, die von «privaten Akteuren, die in ihrem [der öffentlichen Behörden] Auftrag handeln», ausgeübt werden. Der Erläuternde Bericht stellt klar, dass dies bedeutet, dass das Übereinkommen Verpflichtungen auferlegt «in Bezug auf Tätigkeiten, für die öffentliche Behörden ihre Zuständigkeiten an private Akteure delegieren oder diese anweisen zu handeln, wie beispielsweise Tätigkeiten privater Akteure, die im Rahmen eines Vertrags mit einer öffentlichen Behörde oder einer anderen privaten Erbringung öffentlicher Dienstleistungen tätig sind, sowie im Bereich des öffentlichen Beschaffungswesens und der Auftragsvergabe». Dies folgt auch den Regeln des allgemeinen Völkerrechts. Insbesondere entspricht es den Artikeln 5 und 8 der ILC-Artikel über die Verantwortlichkeit von Staaten für völkerrechtswidrige Handlungen.
Artikel 5 der ILC-Artikel über die Verantwortlichkeit von Staaten für völkerrechtswidrige Handlungen sieht vor, dass die Tätigkeiten von Stellen, die Elemente staatlicher Hoheitsgewalt ausüben, als Tätigkeiten des Staates gelten, sofern diese Stellen durch das Recht dieses Staates zur Ausübung von Elementen staatlicher Hoheitsgewalt ermächtigt sind und sie «in dieser Eigenschaft im konkreten Fall» handeln. Zwar verwenden die ILC-Artikel, Artikel 3 Absatz 1 Buchstabe a des KI-Übereinkommens des Europarats und der Erläuternde Bericht unterschiedliche Terminologie und Konzepte – was zu einer gewissen Unklarheit führt –, doch ist der Kernpunkt klar: Wenn öffentliche Behörden Aufgaben an private Akteure delegieren, die dann KI-Systeme einsetzen, bleibt das Übereinkommen anwendbar. In solchen Fällen tragen die öffentlichen Behörden die letztendliche Verantwortung, da der Einsatz von KI-Systemen dem Staat zugerechnet wird.
Was Artikel 8 der ILC-Artikel über die Verantwortlichkeit von Staaten für völkerrechtswidrige Handlungen betrifft, so sieht dieser vor, dass Tätigkeiten privater Einrichtungen als Tätigkeiten des Staates gelten, wenn diese privaten Einrichtungen bei der Ausübung dieser Tätigkeiten auf Anweisung des Staates oder unter dessen Leitung oder Kontrolle handeln. Dies steht im Einklang mit dem Wortlaut von Artikel 3 Absatz 1 Buchstabe a des KI-Übereinkommens des Europarats, der sich auf private Einrichtungen bezieht, die im Namen des Staates handeln. Es steht auch im Einklang mit der Formulierung im Erläuternden Bericht, der sich auf Situationen bezieht, in denen öffentliche Behörden private Akteure anweisen, Tätigkeiten durchzuführen. Wenn diese Tätigkeiten den Einsatz von KI-Systemen beinhalten, findet das Übereinkommen Anwendung.
Einfach ausgedrückt bedeutet all dies, dass es eine Gruppe privater Einrichtungen gibt, deren Verhalten dem Staat aufgrund einer Befugnisübertragung oder Kontrolle, die die Ausübung öffentlicher Gewalt impliziert, zuzurechnen ist. Alle Tätigkeiten im Lebenszyklus von KI-Systemen, die diese Einrichtungen ausführen, sind daher Tätigkeiten der Vertragsstaaten, und es gelten alle in der KI-Konvention des Europarats formulierten Verpflichtungen. In diesem Sinne gelten die Tätigkeiten dieser privaten Einrichtungen als Tätigkeiten des Staates. Eine mögliche strittige Frage ist hier die Auslegung der Begriffe «im Namen» der staatlichen Behörden handeln, «Befugnisse der öffentlichen Gewalt» und «Übertragung ihrer [der öffentlichen Behörden] Zuständigkeiten auf private Akteure». Die Kontroverse bezieht sich allgemeiner auf die Bedeutung von öffentlicher Gewalt und öffentlichen Befugnissen.
c. Private Akteure, deren Verhalten nicht dem Staat zuzurechnen ist
Artikel 3 Absatz 1 Buchstabe b des KI-Übereinkommens des Europarats befasst sich mit einer zweiten Gruppe privater Einrichtungen. Dabei handelt es sich um Einrichtungen, die nicht unter Artikel 3 Absatz 1 Buchstabe a des Vertrags fallen, und in diesem Sinne sind dies Einrichtungen, deren Verhalten dem Staat nicht zuzurechnen ist, da sie keine hoheitlichen Befugnisse ausüben. Das Verhalten dieser Einrichtungen ist nicht unmittelbar Gegenstand der Regelung durch den Vertrag. Vielmehr sind es die Vertragsstaaten, die «Risiken und Auswirkungen, die sich aus» den Aktivitäten dieser privaten Einrichtungen im Lebenszyklus von KI-Systemen ergeben, «behandeln müssen». Es sind die Staaten, die die Verpflichtung aus dem Vertrag übernehmen, «die Risiken und Auswirkungen zu behandeln».
Die Staaten haben zwei Möglichkeiten, wie sie dieser Verpflichtung nachkommen können. Erstens können Staaten beschliessen, die Grundsätze und Verpflichtungen des KI-Übereinkommens des Europarats auf die Aktivitäten privater Einrichtungen anzuwenden. Dies bedeutet, dass Staaten private Akteure auf nationaler Ebene regulieren können, indem sie diesen Anforderungen auferlegen, die ähnlich formuliert sind wie die Verpflichtungen im Vertrag. Dies könnte die Verabschiedung von Rechtsvorschriften beispielsweise privatrechtlicher Natur beinhalten, die sich auf Konzepte wie Menschenwürde, individuelle Autonomie, Zuverlässigkeit, Menschenrechte usw. beziehen, wie sie im Vertragstext verwendet werden, um private Akteure zu regulieren.
Zweitens können Staaten beschliessen, «andere geeignete Massnahmen zur Erfüllung der Verpflichtung» zu ergreifen, um Risiken und Auswirkungen anzugehen. Diese zweite Option scheint zu implizieren, dass Staaten bei der Regulierung von Risiken und Auswirkungen auf nationaler Ebene über einen grösseren Ermessensspielraum verfügen.
Letztendlich ist der Unterschied zwischen der ersten und der zweiten Option jedoch schwer klar zu unterscheiden. Der Erläuternde Bericht hält allgemein in Bezug auf Artikel 3 Absatz 1 Buchstabe b des KI-Übereinkommens des Europarats fest, dass dieser «die Verabschiedung oder Aufrechterhaltung geeigneter gesetzgeberischer, administrativer oder sonstiger Massnahmen zur Umsetzung dieser Bestimmung» erfordert. Der Erläuternde Bericht fügt zudem hinzu, dass
[…], die Verpflichtung nicht zwangsläufig zusätzliche Rechtsvorschriften erfordert und die Vertragsparteien andere geeignete Massnahmen, einschliesslich administrativer und freiwilliger Massnahmen, ergreifen können. Während die Verpflichtung also verbindlich ist und alle Vertragsparteien sie einhalten sollten, kann die Art der von den Vertragsparteien ergriffenen Massnahmen variieren.
Insgesamt werden private Akteure (die zur zweiten Gruppe gehören) also indirekt «aufgrund der den Staaten im Rahmen des KI-Übereinkommens des Europarats gewährten Rechte und von ihnen übernommenen Verpflichtungen» reguliert. Der Vertrag kann sich somit indirekt an private Akteure richten, was der Art und Weise sehr ähnlich ist, wie die Europäische Menschenrechtskonvention (im Folgenden EMRK) private Akteure indirekt regulieren kann. Es lässt sich daher argumentieren, dass die KI-Konvention des Europarats den Staaten positive Verpflichtungen zur Regulierung privater Akteure auferlegt. Zu diesen positiven Verpflichtungen gehören präventive Massnahmen, die darauf abzielen, Einzelpersonen im Voraus vor Schaden oder der Gefahr von Schaden zu schützen.
IV. Der risikobasierte Ansatz
Die durch den Vertrag auferlegten Verpflichtungen sind von einem risikobasierten Ansatz geprägt. Gemäss Artikel 1 Absatz 2 der KI-Konvention des Europarats müssen die Massnahmen zur Regulierung von KI-Systemen «abgestuft und differenziert sein, soweit dies angesichts der Schwere und der Wahrscheinlichkeit des Eintretens nachteiliger Auswirkungen auf die Menschenrechte, die Demokratie und die Rechtsstaatlichkeit während des gesamten Lebenszyklus von Systemen der künstlichen Intelligenz erforderlich ist». Der Ausdruck «nachteilige Auswirkungen auf die Menschenrechte» ist bemerkenswert und wirft die Frage nach dem Unterschied zwischen Risiken und «nachteiligen Auswirkungen» auf. Um die Sache noch verwirrender zu machen, bezieht sich die Konvention auch auf das «Potenzial, die Menschenrechte zu beeinträchtigen». Das Potenzial scheint dem Begriff des Risikos näher zu kommen. Letztendlich durchzieht eine analytische Verwirrung den Text der Konvention hinsichtlich der Rolle des Risikos bei der Konzeptualisierung von Schaden und den Massnahmen, die Schaden (oder das Risiko von Schaden) verhindern und beheben sollen. Wie Abschnitt V.2. zeigen wird, bestand diese Verwirrung von Beginn des Entwurfsprozesses an und untergräbt die Klarheit der von den Staaten eingegangenen Verpflichtungen.
Entscheidend ist an dieser Stelle, dass das Regulierungsmodell generell als risikobasiert charakterisiert werden kann. Daher verfolgt die KI-Konvention des Europarats, ähnlich wie das EU-KI-Gesetz, einen risikobasierten Ansatz: Die Massnahmen «müssen auf das Risikoniveau zugeschnitten sein, das ein System der künstlichen Intelligenz in den jeweiligen Bereichen, Tätigkeiten und Kontexten darstellt». Den Vertragsstaaten steht es frei, wie sie konkurrierende Interessen in den einzelnen Bereichen, Tätigkeiten oder Kontexten gegeneinander abwägen. Im Erläuternden Bericht wird jedoch angemerkt, dass der öffentliche Sektor möglicherweise einige Besonderheiten aufweist, die berücksichtigt werden müssen. Beispiele für diese Besonderheiten werden nicht genannt; vielmehr nennt der Erläuternde Bericht Beispiele für Bereiche des öffentlichen Sektors (d. h. Strafverfolgung, Migration, Grenzkontrolle, Asyl und Justiz), in denen von solchen Besonderheiten auszugehen ist. Er hebt zudem hervor, dass es in bestimmten Bereichen «Machtasymmetrien» gibt, bei denen bestimmte Gruppen innerhalb der Gesellschaft in einer schwächeren und schutzbedürftigen Position sind, was berücksichtigt werden muss.
Im Gegensatz zum EU-KI-Gesetz schafft die KI-Konvention des Europarats keine unterschiedlichen Risikostufen (z. B. inakzeptable Risiken, hohe Risiken, minimale Risiken). Sie unterscheidet daher KI-Systeme nicht anhand des Risikos, das sie darstellen könnten. Die Nullentwürfe sahen verschiedene Risikostufen und auf diese Stufen zugeschnittene Massnahmen vor. Im Zero Draft waren drei Stufen vorgesehen: erstens «erhebliche Risikostufen»; zweitens «inakzeptable Risikostufen», die erst dann zu einem vollständigen oder teilweisen Verbot führen sollten, wenn die inakzeptablen Risiken identifiziert worden waren und «keine anderen Massnahmen zu ihrer Minderung verfügbar» waren; drittens inakzeptable Risikostufen, die zu einem direkten Verbot solcher Systeme führen sollten. Diese Stufen wurden bereits sehr früh im Entwurfsprozess gestrichen. Aufgrund der Vertraulichkeit des Verhandlungsprozesses können die genauen Gründe nicht dokumentiert werden.
Da die KI-Konvention des Europarats nicht zwischen Risikostufen unterscheidet, sind die durch den Vertrag auferlegten Verpflichtungen nicht auf das Risikoniveau zugeschnitten, das ein System nach allgemeiner Auffassung darstellen darf. Ebenso wenig ist die Regelung durch den Vertrag auf bestimmte Sektoren (wie Asyl, Einwanderung und Grenzkontrolle) zugeschnitten. Vielmehr legt Kapitel II des Übereinkommens allgemeine Verpflichtungen fest, die für alle KI-Systeme gelten, die unter die Definition in Artikel 2 fallen. Wie bereits erläutert, sind die Adressaten dieser Verpflichtungen die Staaten.
Das Fehlen definierter Risikostufen im KI-Übereinkommen des Europarats ist ein wesentlicher Unterschied zum EU-KI-Gesetz und verdient an dieser Stelle eine eingehendere Betrachtung. Zwar würde eine detKIllierte Untersuchung der differenzierten Regulierung von Risikostufen im KI-Gesetz den Rahmen dieser Analyse sprengen, doch ist es wichtig, die Bedeutung dieser Stufen anzuerkennen – insbesondere angesichts ihrer inhärenten Unklarheiten und des Potenzials, das sie für regulatorische Ausnahmen schaffen. Diese Beobachtung bietet wiederum einen nützlichen Vergleichspunkt zur KI-Konvention des Europarats, die ebenfalls einen risikobasierten Regulierungsansatz verfolgt, dies jedoch ohne explizite Kategorisierung von Risikostufen und ohne entsprechende Anpassung der Verpflichtungen tut. Man könnte zunächst annehmen, dass die Konvention ein geringeres Schutzniveau bietet, da sie eine im EU-KI-Gesetz vorhandene Hochrisikokategorie auslässt. Wie die nachfolgende Analyse jedoch zeigen wird, ist diese Annahme angesichts der Möglichkeiten, die Einstufung als Hochrisiko nach dem EU-KI-Gesetz zu vermeiden, zu vereinfachend.
Innerhalb der Logik des KI-Gesetzes spielen Risikostufen eine zentrale Rolle. Das Gesetz wurde so beschrieben, dass es in erster Linie darauf abzielt, jene KI-Systeme zu regulieren, die als mit hohem oder inakzeptablem Risiko behaftet eingestuft werden. Um die Unklarheiten hinsichtlich der Risikoklassifizierungen und die daraus resultierenden regulatorischen Unsicherheiten aufzuzeigen, kann der Einstufung von KI-Systemen als «risikoreich» besondere Aufmerksamkeit gewidmet werden. Das KI-Gesetz definiert «risikoreich» nicht allgemein. Artikel 6 verweist auf Anhang III des Gesetzes und nennt Bereiche, in denen von vornherein davon ausgegangen werden kann, dass der Einsatz von KI-Systemen mit einem hohen Risiko verbunden ist. Dennoch wird ein in Anhang III aufgeführtes System nicht automatisch als risikoreich eingestuft. Konkret gilt beispielsweise ein System, das bei der Prüfung von Asylgesuchen eingesetzt wird, nicht allein deshalb als risikoreich, weil es in einem sensiblen Bereich wie dem Asylwesen von Behörden genutzt wird, die letztlich entscheidende Entscheidungen treffen, die Menschen betreffen. Gemäss Artikel 6 Absatz 3 des KI-Gesetzes muss eine zusätzliche Schwelle überschritten werden, damit ein solches System als «risikoreich» eingestuft wird.
Diese Bestimmung sieht vor, dass ein in Anhang III genanntes KI-System nicht als risikoreich gilt, wenn es kein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen darstellt, unter anderem dadurch, dass es den Ausgang der Entscheidungsfindung nicht wesentlich beeinflusst (Hervorhebung hinzugefügt).
Umgekehrt wird ein KI-System, das zuständige Behörden beispielsweise bei der Prüfung von Asylgesuchen unterstützt, nur dann als risikoreiches System eingestuft, wenn es «ein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen» darstellt. An dieser Stelle ist klarzustellen, dass es das System selbst ist, das «ein erhebliches Risiko» darstellen muss, nicht die von der Behörde getroffene endgültige Entscheidung. Die endgültige Entscheidung (z. B. die Ablehnung eines Asylantrags) könnte zwar ein Risiko für die Gesundheit, die Sicherheit oder die Grundrechte darstellen. Doch darauf kommt es nicht an. Entscheidend für die Einstufung des KI-Systems als «risikoreich» ist, dass das System selbst, wenn es zur Unterstützung einer Entscheidung eingesetzt wird, ein solches Risiko birgt.
Dies wirft schwierige Fragen zur Kausalität auf. Genauer gesagt muss es möglich sein, den Kausalzusammenhang zwischen dem KI-System und dem Risiko einer Beeinträchtigung der Gesundheit, der Sicherheit und der Grundrechte von Personen nachzuweisen. Wird der Kausalzusammenhang zwischen dem KI-System und dem Risiko nachgewiesen, kann das System als «risikoreiches» System eingestuft werden. Die Frage nach dem massgeblichen Kausalitätsmassstab wird im KI-Gesetz überhaupt nicht behandelt. Auch die Frage, wie der Grad der Signifikanz des Risikos zu messen ist, bleibt offen. Bemerkenswert ist, dass Artikel 6 Absatz 3 des KI-Gesetzes nicht einfach auf ein Risiko Bezug nimmt, sondern nur auf ein «erhebliches Schadensrisiko».
Die Verwendung des Risikobegriffs ist hier besonders hervorzuheben. Es muss kein Kausalzusammenhang zwischen der Nutzung des KI-Systems und einem Schaden nachgewiesen werden, sondern ein Kausalzusammenhang zwischen der Nutzung des KI-Systems und dem Risiko eines Schadens. Dies erleichtert die Kausalitätsprüfung, da das Risiko eines Schadens nur hypothetisch ist. Daraus folgt, dass die Einstufung eines Systems als «risikoreiches» System einfacher sein könnte, da ein Kausalzusammenhang zum Risiko leichter nachzuweisen ist. Wie oben erwähnt, muss das Risiko jedoch « » sein. Die Schweregrenze, die im Begriff «signifikantes Risiko» impliziert ist, könnte die oben erwähnte relative Leichtigkeit, ein Risiko nachzuweisen, anstatt einen Schaden nachzuweisen, wieder aufheben.
Selbst wenn nur das Risiko eines Schadens (im Gegensatz zum tatsächlichen Schaden) nachgewiesen werden muss, benötigen wir ein gewisses Verständnis des Schadens. Es stellt sich daher folgende Frage: Schaden an was? Artikel 6 Absatz 3 des KI-Gesetzes präzisiert: «Schaden an der Gesundheit, der Sicherheit oder den Grundrechten natürlicher Personen». Es ist vielleicht schwer vorstellbar, dass Gesundheit und Sicherheit geschädigt werden, ohne dass gleichzeitig die Grundrechte beeinträchtigt werden. Dies macht die gleichzeitige Aufzählung dieser drei Begriffe (d. h. Gesundheit, Sicherheit oder Grundrechte) schwer nachvollziehbar.
Sie wird jedoch verständlich, wenn klargestellt wird, dass eine Beeinträchtigung von Sicherheit und Gesundheit, selbst wenn sie wichtige, durch die Menschenrechtsgesetzgebung geschützte Interessen (z. B. Leben, Privat- und Familienleben) verletzt, nicht zwangsläufig eine Verletzung von Grundrechten darstellt. Der Grund dafür ist, dass selbst wenn beispielsweise das Recht auf Privatsphäre verletzt wird, diese Verletzung verhältnismässig sein kann und somit keinen Verstoss gegen die Menschenrechtsgesetzgebung darstellt. Dies impliziert die Einbeziehung einer Verhältnismässigkeitsprüfung bei der Beurteilung, ob das KI-System ein Schadensrisiko darstellt. Eine solche Verhältnismässigkeitsprüfung erfordert eine hochkomplexe und kontextabhängige Argumentation. Letztendlich ist die Einbeziehung der Grundrechte in die Schwelle für die Einstufung von Systemen als risikoreich daher nicht sehr hilfreich.
Die Einbeziehung eines erheblichen Risikos für Grundrechte zusätzlich zu einem erheblichen Risiko für Gesundheit und Sicherheit in Artikel 6 Absatz 3 des KI-Gesetzes kann so ausgelegt werden, dass die Arten möglicher Schäden breiter gefasst sind, da Grundrechte nicht nur Gesundheit und Sicherheit umfassen. Mit anderen Worten: Mögliche Schäden können Schäden an der Privatsphäre, am Familienleben, an religiösen Überzeugungen, an Verfahrensrechten usw. umfassen. Diese Ausweitung kann positiv bewertet werden. Wie oben bereits angemerkt, ist diese Erweiterung jedoch möglicherweise nicht sehr aussagekräftig, da Schäden an Interessen wie der Privatsphäre, dem Familienleben usw. verhältnismässig sein können und somit keine Menschenrechtsverletzung darstellen.
Artikel 6 Absatz 3 des KI-Gesetzes legt fest, dass ein KI-System «kein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen darstellt, unter anderem dadurch, dass es den Ausgang von Entscheidungsprozessen nicht wesentlich beeinflusst». Die Rolle des hier kursiv wiedergegebenen Zusatzes bedarf einer genaueren Prüfung. Er könnte so ausgelegt werden, dass die Annahme eingeführt wird, dass ein KI-System, wenn es das Ergebnis – wie beispielsweise eine Entscheidung – nicht wesentlich beeinflusst, als nicht mit einem erheblichen Risiko behaftet anzusehen ist und daher nicht unter die Einstufung als «risikoreiches» System fällt.
Wann beeinflusst ein KI-System eine Entscheidung (d. h. das Ergebnis der Entscheidungsfindung) «wesentlich»? Artikel 6 Absatz 3 des KI-Gesetzes führt Annahmen ein, wenn dies nicht der Fall ist. Unter den folgenden vier Bedingungen wird davon ausgegangen, dass ein KI-System das Ergebnis nicht wesentlich beeinflusst und daher kein Hochrisikosystem ist. Dies ist der Fall, wenn das System «dazu bestimmt ist, eine eng gefasste prozedurale Aufgabe auszuführen», «das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern», «Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen und nicht dazu bestimmt ist, die zuvor abgeschlossene menschliche Beurteilung ohne angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen» sowie «eine vorbereitende Aufgabe für eine Beurteilung auszuführen, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist». Diese vier Bedingungen werden als Alternativen angegeben.
Die Formulierung der vier Bedingungen lässt Raum für Interpretationen. Ob ein System eine eng gefasste prozedurale Aufgabe erfüllt, kann eine strittige Frage sein. Die Bedeutung von «eng gefasste prozedurale Aufgabe» ist mehrdeutig. Das Gleiche gilt für die tatsächliche Bedeutung der Begriffe «Verbesserung des Ergebnisses», «keine Beeinflussung» und «nur eine vorbereitende Aufgabe». Diese Auslegungsmehrdeutigkeit kann in Zukunft durch Leitlinien der Kommission geklärt werden. Der Punkt hierbei ist, dass die Schlussfolgerung, dass beispielsweise ein System zur Erkennung von Gesichtsausdrücken eine eng gefasste prozedurale Aufgabe ausführt, möglicherweise nicht so eindeutig ist und vom Kontext abhängen könnte.
Zusammenfassend lässt sich sagen, dass das KI-Gesetz mehrdeutige Ausnahmen bei der Einstufung von Systemen als risikoreich einführt, was letztlich seinen Regulierungsansatz mit der Kategorisierung von Risikostufen und der Anpassung der Verpflichtungen an diese Stufen zu untergraben scheint. Die Verfasser der KI-Konvention des Europarats haben dies vermieden und damit die oben genannten Schwierigkeiten (Kausalität, Verhältnismässigkeitsprüfung, Kontextualisierung usw.) bei der anfänglichen Einstufung von Systemen in Risikostufen umgangen. Dies kann auch mit ihrem Charakter als internationaler Vertrag zusammenhängen, dessen Bestimmungen abstrakter und allgemeiner gehalten sind.
Obwohl sie nicht mit der Einstufung von Risikostufen zusammenhängen, ergeben sich die zuvor erwähnten Schwierigkeiten – hinsichtlich der Rolle der Menschenrechte, der Kausalzusammenhänge zwischen Schäden (oder dem Risiko von Schäden) an wichtigen Interessen und dem Einsatz von KI-Systemen, der Verhältnismässigkeit und der Kontextualisierung – auch bei der Auslegung der durch die KI-Konvention des Europarats auferlegten Verpflichtungen, wie im nächsten Abschnitt untersucht wird.
V. Die den Staaten auferlegten Verpflichtungen
Dieser Abschnitt erläutert die relevanten Verpflichtungen in drei Schritten. Zunächst wird der Ausgangspunkt des Vertrags behandelt: die ausdrückliche Absicht, keine neuen Menschenrechtsverpflichtungen zu schaffen. Zweitens: Während der Schutz der Menschenrechte ursprünglich als eine Lücke identifiziert wurde, die die KI-Konvention des Europarats schliessen sollte, wirft die fehlende Konkretisierung der wohl bestehenden Menschenrechtsverpflichtungen Zweifel daran auf, ob diese Lücke tatsächlich geschlossen wurde. Schliesslich verankert der Vertrag, obwohl er solche Verpflichtungen nicht konkretisiert, eine Reihe von Grundsätzen, die speziell für den Betrieb von KI-Systemen relevant sind. Diese Grundsätze – Menschenwürde und individuelle Autonomie, Transparenz und Aufsicht, Rechenschaftspflicht, Nichtdiskriminierung, Datenschutz, Zuverlässigkeit und Risikomanagement – sind bewusst sehr allgemein gehalten, können aber dennoch als Auslegungshilfe für die künftige Entwicklung konkreterer Menschenrechtsstandards und -verpflichtungen dienen.
1. Ausgangspunkt und zu schliessende Lücken
Um die den Staaten durch das KI-Übereinkommen des Europarats auferlegten Verpflichtungen besser zu verstehen, ist es wichtig, dessen Ausgangspunkt hervorzuheben. Der Vertrag zielt nicht darauf ab, neue menschenrechtliche Verpflichtungen zu begründen. Dies wird in seinem Erläuternden Bericht sehr deutlich gemacht:
Keine Bestimmung dieses Rahmenübereinkommens zielt darauf ab, neue Menschenrechte oder Menschenrechtsverpflichtungen zu schaffen oder den Umfang und Inhalt der bestehenden anwendbaren Schutzmassnahmen zu untergraben, sondern vielmehr darauf, durch die Festlegung verschiedener rechtsverbindlicher Verpflichtungen in den Kapiteln II bis VI die wirksame Umsetzung der anwendbaren Menschenrechtsverpflichtungen jeder Vertragspartei im Kontext der neuen Herausforderungen durch künstliche Intelligenz zu erleichtern.
Der Wortlaut von Artikel 4 des KI-Übereinkommens des Europarats spiegelt diesen Ausgangspunkt wider. Diese Bestimmung verpflichtet jeden Vertragsstaat, «Massnahmen zu erlassen und aufrechtzuerhalten, um sicherzustellen, dass die Aktivitäten im Lebenszyklus von KI-Systemen mit den Verpflichtungen zum Schutz der Menschenrechte im Einklang stehen, wie sie im anwendbaren Völkerrecht und im innerstaatlichen Recht verankert sind». Dieser Text ist nicht sehr konkret. Er trägt nicht wesentlich dazu bei, die Unsicherheit hinsichtlich der Frage zu beseitigen, inwiefern die Menschenrechtsnormen KI-Systeme einschränken und regulieren.
Um die Rolle der KI-Konvention des Europarats und ihren möglichen Mehrwert besser zu verstehen, ist es sinnvoll, auf die vor der Verabschiedung der Konvention erstellte Machbarkeitsstudie zurückzugreifen. Die Studie hebt vier „Rechtslücken“ hervor: (1) Spezifizierung/Konkretisierung von Verpflichtungen; (2) Identifizierung von konkreten Grundsätzen, die speziell für KI-Systeme relevant sind ( ); (3) Reaktion auf systemische Schäden; und (4) Reaktion auf den grenzüberschreitenden/transnationalen Charakter des Schadens. Die folgenden beiden Unterabschnitte konzentrieren sich auf die erste und zweite Lücke, da die meisten der im Vertrag verabschiedeten Bestimmungen diese betreffen.
2. Schutz der Menschenrechte
In Bezug auf die erste Rechtslücke stellt die Machbarkeitsstudie fest, dass «die in bestehenden Rechtsinstrumenten formulierten Rechte und Pflichten tendenziell weit oder allgemein gefasst sind, was an sich nicht problematisch ist, im Zusammenhang mit KI jedoch in einigen Fällen zu Auslegungsschwierigkeiten führen kann». Daher wird eine Konkretisierung der den Rechten entsprechenden Pflichten vorgeschlagen. Die Machbarkeitsstudie schlägt vor, dass dies erreicht werden kann, indem «konkreter festgelegt wird, was unter ein weiter gefasstes Menschenrecht fällt und wie es von denjenigen geltend gemacht werden könnte, die KI-Systemen ausgesetzt sind».
Hier wird argumentiert, dass die KI-Konvention des Europarats eine solche Konkretisierung nicht wirklich erreicht. Artikel 4 des Vertrags verweist lediglich auf die Verpflichtung der Staaten, die Menschenrechte zu schützen. Der Erläuternde Bericht zur Konvention trägt wenig zur Klärung bei – und verschleiert in mancher Hinsicht sogar noch mehr – die Natur von Artikel 4. So heisst es in Absatz 38 des Erläuternden Berichts:
[], den Vertragsparteien steht es frei, die Art und Weise der Umsetzung ihrer völkerrechtlichen Verpflichtungen zu wählen, sofern das Ergebnis mit diesen Verpflichtungen im Einklang steht. Es handelt sich hierbei um eine Ergebnisverpflichtung und nicht um eine Mittelverpflichtung. In dieser Hinsicht ist das Subsidiaritätsprinzip von wesentlicher Bedeutung, da es den Vertragsparteien die Hauptverantwortung auferlegt, die Achtung der Menschenrechte zu gewährleisten und bei Menschenrechtsverletzungen Abhilfe zu schaffen.
Dieser Absatz definiert die durch den Vertrag auferlegten Verpflichtungen als Ergebnisverpflichtungen. Wenn jedoch die Verhinderung von Schaden oder der Gefahr von Schaden das angestrebte Ergebnis ist, können die Verpflichtungen keine Ergebnisverpflichtungen sein. Schaden und die Gefahr von Schaden treten im Zusammenhang mit verschiedenen Aktivitäten ständig auf, und dieser Schaden und diese Gefahr sind für sich genommen niemals die alleinige Grundlage für die Feststellung einer Verletzung von Verpflichtungen nach dem Menschenrechtsrecht. Die Feststellung einer Verletzung erfolgt vielmehr unter Berücksichtigung von Erwägungen der Angemessenheit, der Kausalität und der Kenntnis des Staates über das Risiko. Angemessenheit bedeutet beispielsweise, dass selbst wenn der Schaden oder die Gefahr eines Schadens vorhersehbar war (d. h. der Staat davon wusste oder hätte wissen müssen) und selbst wenn der Staat Massnahmen hätte ergreifen können, die das Risiko ursächlich hätten verhindern oder mindern können, der Staat dennoch nicht gegen seine Verpflichtungen aus den Menschenrechtsnormen verstossen haben könnte. Der Grund dafür ist, dass es unter Umständen nicht angemessen wäre, Massnahmen zu ergreifen, da solche Massnahmen beispielsweise mit anderen legitimen und wichtigen Interessen in Konflikt stehen könnten.
Wenn die Regulierung von Aktivitäten das angestrebte Ergebnis ist, dann kann die Verpflichtung zur Regulierung als solche tatsächlich als Ergebnisverpflichtung konzeptualisiert werden. Dennoch haben die Staaten weiterhin einen Ermessensspielraum hinsichtlich der konkreten Ausgestaltung der Regulierung, was den Verweis auf ein Ergebnis (d. h. das Ergebnis der Regulierung als solche) wenig hilfreich macht. Insgesamt versäumt es Artikel 4 des KI-Übereinkommens des Europarats also nicht nur, eine Konkretisierung vorzunehmen, sondern die durch den Erläuternden Bericht hinzugefügten Klarstellungen sind zudem verwirrend. Wie in Abschnitt II oben erwähnt, soll der Bericht Einblicke in den Entwurfsprozess geben, ohne die Verhandlungspositionen der verschiedenen Staaten preiszugeben. Angesichts der verwirrenden Formulierung des oben zitierten Absatzes aus dem Erläuternden Bericht lässt sich ableiten, dass die Verfasser unsicher waren oder sich nicht einigen konnten, wie anspruchsvoll und eingreifend die Verpflichtungen sein sollten.
Die allgemeine Unklarheit hinsichtlich der Rolle der Menschenrechtsnormen wird auch aus den verschiedenen Entwürfen des Vertrags deutlich. Hier verdient Artikel 6 Absatz 2 des Nullentwurfs eine vollständige Zitierung. Darin hiess es, dass die Vertragsstaaten
sicherzustellen, dass der Einsatz und die Anwendung von Systemen der künstlichen Intelligenz im öffentlichen Sektor auf einer angemessenen Rechtsgrundlage beruhen und dass im Hinblick auf den Kontext des Einsatzes eine sorgfältige Vorabprüfung der Notwendigkeit und Verhältnismässigkeit der Nutzung solcher Systeme durchgeführt wird. (Hervorhebung hinzugefügt).
Diese Bestimmung spiegelt die Annahme wider, dass der Einsatz von KI-Systemen im öffentlichen Sektor von Natur aus Eingriffe in die Menschenrechte mit sich bringt, was die Auferlegung der Anforderungen an eine Rechtsgrundlage sowie an eine Notwendigkeits- und Verhältnismässigkeitsprüfung an sich erklärt. Es ist das Wesen der Menschenrechtsnormen, zu verlangen, dass jeder Eingriff eine Rechtsgrundlage hat und dass er notwendig und verhältnismässig ist, damit der Eingriff keine Verletzung darstellt. Zusammenfassend lässt sich sagen, dass die Ausgangsannahme im Zero Draft darin bestand, dass der Einsatz von KI-Systemen durch öffentliche Behörden den Standards der Rechtmässigkeit, Notwendigkeit und Verhältnismässigkeit entsprechen muss, da der Einsatz an sich einen Eingriff in die Menschenrechte darstellt.
Diese Ausgangsannahme wurde im überarbeiteten Nullentwurf abgeschwächt, um schliesslich im konsolidierten Arbeitsentwurf und im endgültigen Text des Vertrags vollständig gestrichen zu werden. Um diese Abschwächung besser zu verstehen, lohnt es sich, Artikel 5 des überarbeiteten Nullentwurfs zu zitieren:
Jede Vertragspartei stellt innerhalb ihres jeweiligen Hoheitsgebiets sicher, dass:
a. die Anwendung eines Systems der künstlichen Intelligenz, das die Entscheidungsfindung einer Behörde bei der Ausübung ihrer Aufgaben oder einer in ihrem Auftrag handelnden privaten Einrichtung massgeblich beeinflusst, in vollem Umfang mit ihren Verpflichtungen zur Achtung der Menschenrechte und Grundfreiheiten vereinbar ist, wie sie durch ihr innerstaatliches Recht oder durch einschlägiges anwendbares Völkerrecht garantiert sind;
b. jede Beeinträchtigung der Menschenrechte und Grundfreiheiten durch eine Behörde oder eine in deren Auftrag handelnde private Einrichtung, die sich aus einer solchen Anwendung eines Systems der künstlichen Intelligenz ergibt, mit den Grundwerten demokratischer Gesellschaften vereinbar ist, im Einklang mit dem Gesetz steht und in einer demokratischen Gesellschaft zur Verfolgung eines legitimen öffentlichen Interesses erforderlich ist. (Hervorhebung hinzugefügt).
Durch die Hinzufügung des Formulums «die Entscheidungsfindung massgeblich beeinflusst» in Artikel 5 des überarbeiteten Nullentwurfs werden zwei Schwellenwerte eingeführt: ein Kausalitätsschwellenwert und ein Schweregradschwellenwert. Beide erinnern an die Schwierigkeiten und Unklarheiten im Zusammenhang mit der Einstufung als «hohes Risiko» im EU-KI-Gesetz, auf die oben bereits näher eingegangen wurde.
Die Hinzufügung dieser Schwellenwerte bedeutet, dass nicht mehr davon ausgegangen wird, dass jede Nutzung von KI-Systemen durch Behörden von Natur aus wichtige, durch die Menschenrechtsgesetzgebung geschützte Interessen beeinträchtigt und somit per se einen Eingriff darstellt, der einer Rechtsgrundlage bedürfe und den Standards der Notwendigkeit und Verhältnismässigkeit entsprechen müsse. Vielmehr gibt es eine Kausalitätsschwelle – die Entscheidung muss durch das System beeinflusst sein. Eine solche Kausalitätsschwelle spiegelt sich auch in der Formulierung «die sich aus einer solchen Anwendung ergibt» wider. Anders ausgedrückt: Der Kausalzusammenhang zwischen der Nutzung eines KI-Systems und einem Eingriff in die Menschenrechte (d. h. einer Beeinträchtigung wichtiger Interessen) kann nicht vorausgesetzt werden. Was die Schwere-Schwelle betrifft, so spiegelt sich diese in dem Begriff «wesentlich» wider. Mit anderen Worten: Es gibt einen Kausalitätsstandard, der eine bestimmte Schwelle überschreiten muss.
Die oben zitierten Bestimmungen wurden mit dem am 7. Juli 2023 veröffentlichten konsolidierten Arbeitsentwurf vollständig gestrichen; diese Streichung stand, wie oben angedeutet, im Zusammenhang mit der Änderung und der Einschränkung des persönlichen Geltungsbereichs des Vertrags (d. h. es bestand kein Bedarf an spezifischen Bestimmungen über Behörden, da der Geltungsbereich der Konvention auf die Regulierung des Verhaltens von Staaten beschränkt war). Die neue Bestimmung zum Geltungsbereich des Übereinkommens bezieht sich auf KI-Systeme, die das Potenzial haben, Menschenrechte zu beeinträchtigen. Der verabschiedete Text des Übereinkommens verwendet denselben Ausdruck. Insbesondere sieht Artikel 3 Absatz 1 des KI-Übereinkommens des Europarats vor, dass «[d]er Geltungsbereich dieses Übereinkommens die Aktivitäten innerhalb des Lebenszyklus von Systemen der künstlichen Intelligenz umfasst, die das Potenzial haben, Menschenrechte, Demokratie und Rechtsstaatlichkeit zu beeinträchtigen […]». Die ursprüngliche Annahme, dass von Behörden genutzte KI-Systeme zwangsläufig einen Eingriff in die Menschenrechte darstellen (und somit zwangsläufig wichtige Interessen beeinträchtigen), wurde daher durch den Gedanken der potenziellen Beeinträchtigung ersetzt. In Artikel 3 Absatz 1 des Übereinkommens wird weder auf einen Kausalitäts- noch auf einen Schweregrad-Schwellenwert Bezug genommen.
Der Rückgriff auf die Schwellenwerte für Kausalität und Schweregrad verdeutlicht eine allgemeine Verwirrung und Unsicherheit hinsichtlich der Rolle der Menschenrechtsnormen. Der im Dezember 2023 veröffentlichte Entwurf des Rahmenübereinkommens, dessen Text die verschiedenen Optionen enthält, aus denen die Verfasser wählen konnten, ist sehr aufschlussreich, um diese Unsicherheit aufzuzeigen. Dieser Entwurf enthielt Verweise auf «Menschenrechtsverletzungen», «nachteilige Auswirkungen auf die Menschenrechte», «rechtswidrige Beeinträchtigung oder Schädigung der Rechte von natürlichen und juristischen Personen», «das Potenzial, in Menschenrechte einzugreifen», «erhebliche Auswirkungen auf Menschenrechte» und «Auswirkungen auf Menschenrechte». All diese Verweise verdeutlichen die Schwierigkeiten bei der Formulierung erstens der Rolle der Menschenrechte, zweitens der Kausalzusammenhänge zwischen von Behörden eingesetzten KI-Systemen und der Beeinträchtigung wichtiger, durch die Menschenrechtsnormen geschützter Interessen sowie drittens der Kausalzusammenhänge zwischen von privaten Akteuren eingesetzten KI-Systemen und der Rolle des Staates beim Schutz dieser wichtigen Interessen.
3. Grundsätze, die sich speziell auf die Aktivitäten von KI-Systemen beziehen
Die zweite in der Machbarkeitsstudie identifizierte «Rechtslücke» steht mit der ersten in Zusammenhang, da es auch hier um die Spezifizierung geht. Insbesondere soll die zweite «Rechtslücke» durch die ausdrückliche gesetzliche Verankerung bestimmter Grundsätze geschlossen werden, die speziell für den Betrieb von KI-Systemen relevant sind. Dazu gehören menschliche Kontrolle und Aufsicht, technische Robustheit, Transparenz und Erklärbarkeit. Hinzu kam die Rückverfolgbarkeit durch Aufzeichnungen und die Dokumentation von Protokollen, was die Identifizierung etwKIger Kausalzusammenhänge zwischen Schäden und dem Betrieb der KI-Systeme ermöglichen kann. Dies wiederum kann die Möglichkeit eröffnen, den Betrieb des KI-Systems unter menschenrechtlichen Gesichtspunkten anzufechten und zu beurteilen, ob eine Verletzung der Menschenrechte vorliegt. Ein weiterer Grundsatz, der laut der Machbarkeitsstudie für den Betrieb von KI-Systemen besonders relevant ist, besteht darin, sicherzustellen, dass Entwickler und Betreiber von KI-Systemen über die erforderliche Kompetenz verfügen. Die Machbarkeitsstudie stellt fest, dass eine fehlende spezifische Regelung dieser Grundsätze zu Unsicherheit sowohl bei Entwicklern als auch bei Betreibern führt, was Innovationen behindern könnte.
Die ausdrückliche rechtliche Verankerung bestimmter Grundsätze, die für den Betrieb von KI-Systemen besonders relevant sind, soll durch Kapitel III des Vertrags erreicht werden. Dieses Kapitel zählt Grundsätze auf, die «sich auf Aktivitäten innerhalb des Lebenszyklus von Systemen der künstlichen Intelligenz beziehen». Angesichts ihres Charakters als Grundsätze sind sie «bewusst sehr allgemein formuliert» und sollen «eine sehr breite Anwendung auf eine Vielzahl von Umständen» finden. Wie der Erläuternde Bericht zur KI-Konvention des Europarats nahelegt, gingen die Verfasser des Vertrags davon aus, dass das «detKIllierte Rechtssystem des Menschenrechtsschutzes mit seinen eigenen Regeln» ausreicht, um die Anwendung dieser allgemeinen Grundsätze weiter anzupassen.
Es ist jedoch zweifelhaft, ob das derzeitige Menschenrechtsregime ein hohes Mass an Konkretheit bieten kann; es befindet sich noch in der Entwicklung, um den neuen Herausforderungen und Schäden an wichtigen Interessen, die sich aus dem Einsatz von KI-Systemen ergeben, gerecht zu werden. Jegliche Verpflichtungen im Zusammenhang mit den Menschenrechten müssen noch konkretisiert werden. Eine solche Konkretisierung setzt ein besseres Verständnis der Kausalzusammenhänge zwischen KI-Systemen, die von Behörden eingesetzt werden, und der Beeinträchtigung wichtiger, durch die Menschenrechtsgesetzgebung geschützter Interessen voraus, sowie ein besseres Verständnis der Kausalzusammenhänge zwischen KI-Systemen, die von privaten Akteuren eingesetzt werden, und der Rolle des Staates beim Schutz dieser wichtigen Interessen. Eine solche Konkretisierung impliziert zudem Vorschläge zu den Massnahmen (präventiv oder abhelfend), die den Inhalt der Menschenrechtsverpflichtungen bilden könnten. Bei der Ausarbeitung solcher Vorschläge sind die Grundsätze, die aus dem speziell für KI-Systeme geschaffenen Rechtsrahmen stammen, eine wichtige Orientierungshilfe. In diesem Sinne sind es die Rechtsrahmen, die KI speziell regeln, wie das EU-KI-Gesetz und die KI-Konvention des Europarats, die zur Weiterentwicklung der Menschenrechtsnormen beitragen können. Trotz ihres hohen Abstraktionsgrades können die in Kapitel III der KI-Konvention des Europarats aufgeführten Regulierungsgrundsätze daher hilfreich sein.
Da diese Regulierungsgrundsätze als Orientierungshilfe dienen, müssen sie besser verstanden werden. Dies ist das Ziel der folgenden Abschnitte, die sich nacheinander mit den folgenden Grundsätzen befassen: Menschenwürde und individuelle Autonomie, Transparenz und Aufsicht, Rechenschaftspflicht, Nichtdiskriminierung, Datenschutz, Zuverlässigkeit und schliesslich Risikomanagement. Es wird kein umfassender Überblick gegeben. Vielmehr werden einige der wichtigsten strittigen Fragen in Bezug auf jeden Grundsatz aufgezeigt.
a. Menschenwürde und individuelle Autonomie
Artikel 7 der KI-Konvention des Europarats verankert den Grundsatz der Achtung der Menschenwürde und der individuellen Autonomie. Die Machbarkeitsstudie stellt klar, dass «[z]ur Wahrung der Menschenwürde ist es unerlässlich, dass sich Menschen der Tatsache bewusst sind, dass sie mit einem KI-System interagieren, und dass sie in dieser Hinsicht nicht irregeführt werden». Die Studie fügt hinzu, dass «sie grundsätzlich in der Lage sein sollten, sich gegen eine Interaktion zu entscheiden und keiner Entscheidung unterworfen zu werden, die von einem KI-System beeinflusst oder getroffen wird, wenn dies erhebliche Auswirkungen auf ihr Leben haben kann, insbesondere wenn dadurch Rechte im Zusammenhang mit ihrer Menschenwürde verletzt werden können.» Wie in Abschnitt III.1. oben angedeutet, enthielten die Zero Drafts tatsächlich konkret formulierte Rechte in diesem Sinne.
Der Erläuternde Bericht geht nicht so weit. Er stellt unter anderem klar, dass die Achtung der Menschenwürde bedeutet, dass Individuen nicht auf «reine Datenpunkte» reduziert werden. Dem Erläuternden Bericht zufolge impliziert individuelle Autonomie daher die Fähigkeit, Entscheidungen zu treffen, und dass Individuen «Kontrolle über die Nutzung und die Auswirkungen von Technologien der künstlichen Intelligenz in ihrem Leben» haben. Die Möglichkeit, sich einem Entscheidungsprozess durch eine Behörde zu entziehen, die möglicherweise ein KI-System einsetzt, wird jedoch im Erläuternden Bericht zum Vertrag nicht als Teil der Konzeptualisierung der «individuellen Autonomie» erwähnt. Dennoch können die Menschenwürde und die individuelle Autonomie wichtige Anhaltspunkte für die kontextbezogene Auslegung von Menschenrechtsverpflichtungen liefern. In bestimmten Kontexten könnte der Inhalt dieser Verpflichtungen so verstanden werden, dass er das Recht umfasst, nicht mit einem KI-System zu interagieren oder nicht Entscheidungen zu unterliegen, die von solchen Systemen generiert werden.
b. Transparenz und Aufsicht
Der zweite in der KI-Konvention des Europarats verankerte Grundsatz ist Transparenz und Aufsicht. Insbesondere sieht Artikel 8 des Vertrags vor, dass
Jede Vertragspartei ergreift oder behält Massnahmen bei, um sicherzustellen, dass angemessene, auf die spezifischen Kontexte und Risiken zugeschnittene Transparenz- und Aufsichtsanforderungen in Bezug auf Aktivitäten im Lebenszyklus von Systemen der künstlichen Intelligenz bestehen, einschliesslich der Identifizierung von Inhalten, die von Systemen der künstlichen Intelligenz generiert wurden.
Eine Überprüfung der verschiedenen Entwürfe zu Transparenz und Aufsicht zeigt, dass es keine Änderungen an den vorgeschlagenen Formulierungen gab, was darauf hindeutet, dass die endgültige Formulierung von Artikel 8 des Vertrags unumstritten war. Die einzige nennenswerte Ergänzung ist diejenige im Entwurf vom Dezember 2023, in dem die Identifizierung von durch KI-Systeme generierten Inhalten in den Text aufgenommen wurde. Diese „ “ war eine positive Ergänzung, wie sich auch im eigentlichen Wortlaut von Artikel 8 des Übereinkommens widerspiegelt, da sie sicherstellt, dass die Identifizierung solcher Inhalte Teil der Transparenz- und Aufsichtspflicht ist. Obwohl die Erklärbarkeit im Wortlaut des Vertrags nicht erwähnt wird, deutet der Erläuternde Bericht darauf hin, dass die Erklärbarkeit Teil des Transparenzprinzips ist. Der Bericht stellt klar, dass die Erklärbarkeit
[.] sich auf die Fähigkeit bezieht, vorbehaltlich der technischen Machbarkeit und unter Berücksichtigung des allgemein anerkannten Stands der Technik, hinreichend verständliche Erklärungen darüber zu liefern, warum ein System der künstlichen Intelligenz Informationen bereitstellt, Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen trifft, was in sensiblen Bereichen wie Gesundheitswesen, Finanzen, Einwanderung, Grenzdienste und Strafjustiz besonders entscheidend ist, wo das Verständnis der Argumentation hinter Entscheidungen, die von einem System der künstlichen Intelligenz getroffen oder unterstützt werden, unerlässlich ist. In solchen Fällen könnte Transparenz beispielsweise in Form einer Liste von Faktoren erfolgen, die das System der künstlichen Intelligenz bei der Bereitstellung von Informationen oder der Entscheidungsfindung berücksichtigt.
Wie oben erwähnt, hat der Erläuternde Bericht keine bindende Wirkung; dennoch enthält der vorstehende Absatz aussagekräftige Klarstellungen, die einen Auslegungswert bieten. Wie der Wortlaut von Artikel 8 und der Erläuternde Bericht nahelegen, lassen sich bestimmte «sensible Bereiche» identifizieren, in denen Transparenz- und Aufsichtsmassnahmen massgeschneidert werden müssen. Dies kann strengere Anforderungen bedeuten. Wie im Erläuternden Bericht klargestellt wird, könnte diese Anpassung unter anderem eine Verbesserung der Transparenz hinsichtlich der vom KI-System berücksichtigten Eingaben oder Kriterien beinhalten.
c. Rechenschaftspflicht/Verantwortung, Rechtsbehelfe und Aufsichtsmechanismen
Transparenz kann die Identifizierung von Schäden und der Akteure ermöglichen, die diesen Schaden verursacht haben könnten, was wiederum für die Gewährleistung der Verantwortlichkeit unerlässlich ist. Die KI-Konvention des Europarats befasst sich daher ausdrücklich mit Rechenschaftspflicht und Verantwortung. Insbesondere ist Artikel 9 des Vertrags allgemein wie folgt formuliert:
Jede Vertragspartei ergreift oder behält Massnahmen bei, um die Rechenschaftspflicht und die Verantwortung für nachteilige Auswirkungen auf die Menschenrechte, die Demokratie und die Rechtsstaatlichkeit sicherzustellen, die sich aus Aktivitäten im Lebenszyklus von Systemen der künstlichen Intelligenz ergeben.
Dies könnte die Verabschiedung neuer rechtlicher Rahmenbedingungen auf nationaler Ebene oder die Anpassung bestehender justizieller, administrativer, zivilrechtlicher oder anderer nationaler Haftungsregelungen erfordern. Solche Haftungsregelungen sind untrennbar mit dem in Artikel 14 der KI-Konvention des Europarats verankerten Recht auf wirksame Rechtsbehelfe verbunden. Ähnlich wie Artikel 8 des Vertrags (Transparenz und Aufsicht) verlangt Artikel 14 Massnahmen zur Dokumentation relevanter Informationen über KI-Systeme.
Es gibt jedoch Einschränkungen: Eine solche Dokumentation ist erforderlich, wenn das System «das Potenzial hat, die Menschenrechte erheblich zu beeinträchtigen». Man kann sich fragen, was «erheblich» in diesem Zusammenhang bedeutet, und wer entscheidet, ob der Schaden erheblich ist oder nicht. Es stellt sich daher dasselbe Problem wie das in Abschnitt IV oben im Zusammenhang mit Artikel 6 Absatz 3 des EU-KI-Gesetzes diskutierte, wonach Systeme von der Einstufung als Hochrisikosysteme ausgenommen sind, wenn sie «kein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen darstellen».
Ein Unterschied in der Formulierung besteht in dem Verweis auf das Risiko in der Bestimmung des KI-Gesetzes. Wie in Abschnitt IV festgestellt wurde, schwächt die Einbeziehung des Risikos den erforderlichen Kausalzusammenhang zwischen dem System und dem Schaden. Wie die verfügbaren Entwürfe der KI-Konvention des Europarates zeigen, traten im Entwurfsprozess Herausforderungen auf, wie die Kausalzusammenhänge zwischen KI-Systemen und Schäden (oder potenziellen Schäden) an wichtigen, durch die Menschenrechtsgesetzgebung geschützten Interessen formuliert werden sollten. Diese Herausforderungen wirken sich unweigerlich auf die Möglichkeiten für Rechtsbehelfe und die Feststellung der Haftung aus.
Eine zusätzliche Einschränkung ergibt sich aus Artikel 14 Absatz 2 Buchstabe b der KI-Konvention des Europarats: Die Staaten müssen Massnahmen ergreifen, um sicherzustellen, dass die Informationen über das KI-System «ausreichen, damit die betroffenen Personen die Entscheidung(en), die unter Verwendung des Systems getroffen oder wesentlich davon beeinflusst wurde(n), und, soweit relevant und angemessen, die Verwendung des Systems selbst anfechten können». Die folgenden Fragen bleiben offen: Wer entscheidet, wann die Informationen ausreichend sind? Und wer entscheidet, ob die Entscheidung wesentlich durch den Einsatz des Systems beeinflusst wurde? Schliesslich wird keine klare und eindeutige Verpflichtung auferlegt, über den Einsatz des Systems selbst zu informieren. Der Kommentar zu Artikel 14 im Erläuternden Bericht scheint all diese Einschränkungen wie folgt zu rechtfertigen:
Es ist auch wichtig, daran zu erinnern, dass Ausnahmen, Einschränkungen oder Abweichungen von solchen Transparenzpflichten im Interesse der öffentlichen Ordnung, der Sicherheit und anderer wichtiger öffentlicher Interessen gemäss den geltenden internationalen Menschenrechtsinstrumenten sowie, soweit erforderlich, zur Erreichung dieser Ziele möglich sind.
Artikel 15 des Vertrags stärkt das Recht auf wirksame Rechtsbehelfe durch die Hinzufügung verfahrensrechtlicher Garantien. Insbesondere sieht diese Bestimmung vor, dass «wenn ein System der künstlichen Intelligenz die Ausübung der Menschenrechte erheblich beeinträchtigt, wirksame verfahrensrechtliche Garantien, Schutzvorkehrungen und Rechte im Einklang mit dem anwendbaren internationalen und innerstaatlichen Recht» gewährleistet werden müssen. Ähnlich wie oben erwähnt wird eine Schwelle der Erheblichkeit (d. h. «erheblich beeinträchtigen, erheblich beeinflussen») festgelegt.
Dies führt zur Unterscheidung zwischen zwei Stufen von Menschenrechtsverletzungen: (1) normale und (2) schwerwiegende. Die Menschenrechtsnormen sehen solche Stufen in der Regel nicht vor, und das Recht auf einen wirksamen Rechtsbehelf gilt unabhängig von der Schwere der Verletzung. Insbesondere müssen, sobald die definitorische Schwelle eines Rechts erreicht ist (d. h. festgestellt wird, dass die durch das Recht geschützten Interessen beeinträchtigt, verletzt oder beeinträchtigt werden), Rechtsbehelfe mit verfahrensrechtlichen Garantien gewährleistet sein. Tatsächlich könnte die Schwere der Verletzung im Hinblick auf ihren Ausmass strengere verfahrensrechtliche Garantien erfordern. Dies ist relevant, da beispielsweise das Recht auf Privatsphäre sehr weit ausgelegt wird. Es ist auch relevant, da die verfahrensrechtlichen Verpflichtungen zur Rechtsbehelfsgewährung, die beispielsweise Artikel 8 EMRK (Privatsphäre) entsprechen, im Vergleich zu denen, die Artikel 3 EMRK (Folter, unmenschliche und erniedrigende Behandlung) entsprechen, angesichts der unterschiedlichen Schweregrade weniger streng sein können. Der entscheidende Punkt bleibt jedoch, dass Rechtsbehelfe und Verfahrensgarantien sowohl bei geringfügigen als auch bei erheblichen Eingriffen in die Ausübung der Menschenrechte erforderlich sind. Es könnte lediglich Unterschiede in der Stärke der Verfahrensgarantien geben.
Artikel 15 Absatz 2 des KI-Übereinkommens des Europarats weist eine weitere Schwäche auf. Der Wortlaut lautet: «Jede Vertragspartei bemüht sich sicherzustellen, dass Personen, die mit Systemen der künstlichen Intelligenz interagieren, entsprechend dem Kontext darüber informiert werden, dass sie mit solchen Systemen und nicht mit einem Menschen interagieren.» Die Anforderung, «dafür zu sorgen», ist schwächer als «sicherzustellen». Die Strenge der Anforderungen an die Benachrichtigung wird durch die Einschränkung «dem Kontext entsprechend» weiter untergraben. Dies eröffnet die Möglichkeit für das Argument, dass eine Benachrichtigung in manchen Kontexten nicht angemessen sei. Ohne Benachrichtigung kann die betroffene Person nicht wissen, dass ein KI-System eingesetzt wurde, was die Möglichkeit untergraben kann, das System einer Überprüfung zu unterziehen, einschliesslich über rechtliche Wege zur Feststellung der Verantwortung.
Schliesslich muss jede Diskussion über die Verantwortlichkeit berücksichtigen, inwieweit in jedem Vertragsstaat auf nationaler Ebene wirksame Aufsichtsmechanismen zur Verfügung stehen. Allgemeiner gesagt können solche Mechanismen nationale Datenschutzbehörden, Gleichstellungsstellen, Menschenrechtsinstitutionen mit einem allgemeinen Mandat oder speziell für die Überwachung der Anwendung von KI-Systemen benannte Stellen umfassen. Die nationalen Rechtssysteme unterscheiden sich hinsichtlich der Rolle dieser Mechanismen, einschliesslich ihrer Stellung und ihrer möglichen Beteiligung an Gerichtsverfahren zur Feststellung der Verantwortlichkeit. Und tatsächlich stellt die KI-Konvention des Europarats keine Verbindung her zwischen einerseits Artikel 26 Absatz 1, der die Vertragsstaaten verpflichtet, «einen oder mehrere wirksame Mechanismen zur Überwachung der Einhaltung der Verpflichtungen aus dieser Konvention einzurichten oder zu benennen», und andererseits den Artikeln 14 (Rechtsbehelfe) und 15 (Verfahrensgarantien). Obwohl eine klare Verpflichtung zur Einrichtung solcher Mechanismen besteht, liegt es im Ermessen der Staaten, deren Rolle festzulegen.
Ihre Rolle wurde im Verlauf der Ausarbeitung des Vertrags geschwächt. Der Nullentwurf enthielt folgende vorgeschlagene Bestimmung: «Die Vertragsparteien richten nationale Aufsichtsbehörden ein oder benennen solche, die insbesondere mit der Überwachung und Kontrolle der Einhaltung […] beauftragt sind.» Wie Artikel 18 Absatz 2 des Nullentwurfs nahelegte, würde die Überwachung ein Verfahren implizieren, das zum Verbot von Systemen führen könnte. Die Möglichkeit, Systeme im Rahmen der Überwachungsverfahren der nationalen Behörden zu verbieten, wurde mit dem überarbeiteten Nullentwurf gestrichen. Weitere Änderungen wurden mit dem konsolidierten Arbeitsentwurf eingeführt, in dem der Verweis auf «Behörden» gestrichen wurde. Es wurde die allgemeinere Formulierung «Aufsichtsmechanismen» übernommen. Der am 18. Dezember 2023 veröffentlichte Entwurf des Rahmenübereinkommens strich den Verweis auf die Aufsicht. Auf diese Weise nahm Artikel 26 Absatz 1 des Vertrags seine endgültige Form an.
Obwohl die Vertragsparteien hinsichtlich der Art der Mechanismen und der Zusammenarbeit zwischen ihnen (sofern es mehrere nationale Mechanismen gibt) über einen Ermessensspielraum verfügen, stellt Artikel 26 Absatz 2 des Übereinkommens zwei wichtige Anforderungen: erstens die Unabhängigkeit und Unparteilichkeit der Mechanismen und zweitens die Übertragung von Befugnissen, Fachwissen und Ressourcen zur wirksamen Erfüllung ihrer Aufsichtsaufgaben. Der Erläuternde Bericht stellt klar, dass die erste Anforderung «ein ausreichendes Mass an Distanz zu den relevanten Akteuren sowohl innerhalb der Exekutive als auch der Legislative» impliziert. Eine Distanz zu privaten Akteuren wird nicht erwähnt, was angesichts ihres möglichen Einflusses und ihrer Rolle bei der Festlegung von Normen und technischen Spezifikationen problematisch sein könnte.
d. Nichtdiskriminierung
Artikel 10 Absatz 1 des KI-Übereinkommens des Europarats schreibt die Verpflichtung vor, Massnahmen zur Gewährleistung der Nichtdiskriminierung «gemäss den geltenden internationalen und innerstaatlichen Rechtsvorschriften» zu ergreifen. Artikel 10 ist in Verbindung mit Artikel 17 des Übereinkommens zu lesen, der vorsieht, dass «die Umsetzung der Bestimmungen dieses Übereinkommens durch die Vertragsparteien ohne Diskriminierung aus irgendeinem Grund im Einklang mit ihren internationalen Menschenrechtsverpflichtungen gewährleistet wird». Diese Nichtdiskriminierungsbestimmungen fügen keine weiteren Einzelheiten hinzu. Wie der Erläuternde Bericht klarstellt, war es die Absicht der Verfasser, «ausdrücklich auf das bestehende Menschenrechtsrecht Bezug zu nehmen». Es war nicht beabsichtigt, neue Menschenrechtsverpflichtungen zu schaffen. Ob bestehende Verpflichtungen Diskriminierung durch KI-Systeme ausreichend abdecken, ist Gegenstand einer anhaltenden Debatte. Zwar wurden Einschränkungen festgestellt, doch wurden auch Möglichkeiten für die Weiterentwicklung des Antidiskriminierungsrechts als gegeben anerkannt. Es gibt eine wachsende Zahl von Forschungsarbeiten in diesem Bereich. Artikel 10 des KI-Übereinkommens des Europarats bietet, obwohl er nicht detKIlliert ist, eine Grundlage, die die Weiterentwicklung von Antidiskriminierungsnormen in diesem Bereich unterstützen könnte.
Ein interessantes Merkmal der KI-Konvention des Europarats ist ihre implizite Auseinandersetzung mit dem, was als strukturelle Diskriminierung konzeptualisiert werden kann, wie sich in Artikel 10 Absatz 2 widerspiegelt. Ursprünglich bezogen sich die Zero Drafts auf «Rechte im Zusammenhang mit diskriminierten Gruppen und Menschen in prekären Situationen». Der konsolidierte Arbeitsentwurf enthielt keine Verweise auf «Menschen in prekären Situationen». Stattdessen fügte er einen neuen Absatz hinzu, der [die Vertragsparteien] aufforderte, «spezielle Massnahmen oder Strategien zu ergreifen, die darauf abzielen, Ungleichheiten zu beseitigen und fKIre, gerechte und gleichberechtigte Ergebnisse zu erzielen», im Einklang mit innerstaatlichen und internationalen Verpflichtungen. Die endgültige Fassung von Artikel 10 Absatz 2 sieht vor, dass «jede Vertragspartei sich verpflichtet, Massnahmen zu ergreifen oder aufrechtzuerhalten, die darauf abzielen, Ungleichheiten zu überwinden oder fKIre, gerechte und gleichberechtigte Ergebnisse zu erzielen, im Einklang mit ihren geltenden innerstaatlichen und internationalen Menschenrechts en». Der Erläuternde Bericht stellt klar, dass die Vertragsstaaten mit dem Vertrag darauf abzielen, «strukturelle und historische Ungleichheiten zu überwinden». Die Staaten behalten jedoch Flexibilität bei der Art und Weise, wie diese Ungleichheiten überwunden werden sollen.
e. Datenschutz
Ähnlich wie Artikel 10 (Nichtdiskriminierung) bleibt auch Artikel 11 des Vertrags, der sich mit dem Schutz der Privatsphäre und personenbezogener Daten befasst, auf einer relativ abstrakten Ebene formuliert. Diese Bestimmung erlegt zwei Arten von Verpflichtungen auf. Die erste ist materiell-rechtlicher Natur – die Einführung oder Aufrechterhaltung von Massnahmen, um sicherzustellen, dass die Privatsphäre und personenbezogene Daten geschützt werden, «einschliesslich durch anwendbares innerstaatliches und internationales Recht, Standards und Rahmenwerke». Die zweite ist verfahrensrechtlicher Natur – die Einführung oder Aufrechterhaltung von Massnahmen zur Gewährleistung wirksamer Garantien «im Einklang mit den geltenden innerstaatlichen und internationalen rechtlichen Verpflichtungen». Die öffentlich zugänglichen Entwürfe deuten darauf hin, dass die Aufnahme dieser materiell- und verfahrensrechtlichen Verpflichtungen weitgehend akzeptiert wurde und während der Verhandlungen unumstritten blieb.
Während der Erläuternde Bericht klarstellt, dass die Staaten hinsichtlich der materiell-rechtlichen und verfahrensrechtlichen Massnahmen über einen Ermessensspielraum verfügen, zeigt er, dass die zentrale Rolle der Datenschutzgesetze während der Ausarbeitung hervorgehoben wurde. Es wird ausdrücklich auf das Übereinkommen des Europarats zum Schutz personenbezogener Daten (Übereinkommen 108+) und die EU-Datenschutz-Grundverordnung (DSGVO) Bezug genommen.
In der bisherigen Literatur wurden KI-Systeme unter dem Gesichtspunkt des Datenschutzes untersucht. Das Datenschutzrecht hat bestimmte Standards und Anforderungen festgelegt. Eine solche Perspektive ist sehr relevant, da die Entwicklung oder der Einsatz von KI-Systemen die Verarbeitung personenbezogener Daten mit sich bringt. Die Datenschutzregelung ist mit ihren detKIllierten Vorschriften zur rechtmässigen Datenverarbeitung und den Rechten der betroffenen Personen von grosser Bedeutung. Die DSGVO legt einen umfassenden Rahmen von Grundsätzen zum Datenschutz fest, einschliesslich der Grundsätze der Transparenz, der Zweckbindung und der Datenminimierung, die bei der Verarbeitung personenbezogener Daten anzuwenden sind. Artikel 22 Absatz 1 der DSGVO verbietet es, Entscheidungen über Einzelpersonen vollautomatisiert zu treffen. Eine Neuerung, die das Übereinkommen 108+ mit sich bringt, ist die Einräumung eines Rechts für Einzelpersonen, «nicht einer Entscheidung unterworfen zu werden, die sie erheblich betrifft und die ausschliesslich auf einer automatisierten Datenverarbeitung beruht, ohne dass ihre Ansichten berücksichtigt werden».
Trotz der Bedeutung der Datenschutzgesetze wurde auch anerkannt, dass KI-Systeme Probleme aufwerfen, die über den Datenschutz hinausgehen. Darüber hinaus hat das Datenschutzrecht seine eigenen Grenzen. Die Einzelheiten dieser Grenzen finden in der Wissenschaft zunehmend Beachtung. Auch wenn das Datenschutzrecht gewisse Grenzen hat, stellt seine Ausrichtung auf die Rechte der Personen, deren Daten verarbeitet werden, zusammen mit den sich weiterentwickelnden rechtlichen Entwicklungen sicher, dass es weiterhin eine Schlüsselrolle spielen wird. Wie formuliert, soll Artikel 11 des KI-Übereinkommens des Europarats diese Entwicklungen durch den Verweis auf sowohl nationale als auch internationale Rechtsstandards erfassen.
f. Zuverlässigkeit
Artikel 12 der KI-Konvention des Europarats verpflichtet die Staaten, «geeignete» Massnahmen zur Förderung der Zuverlässigkeit zu ergreifen. Diese Massnahmen sollen eine «angemessene Qualität und Sicherheit» der KI-Systeme gewährleisten. Der Erläuternde Bericht legt nahe, dass diese Massnahmen die Einführung von Standards, technischen Spezifikationen, Sicherungstechniken und Konformitätssystemen umfassen. Der Erläuternde Bericht fügt hinzu, dass Artikel 12 des Vertrags «auf der Annahme beruht, dass die Vertragsparteien am besten in der Lage sind, relevante regulatorische Entscheidungen zu treffen». Dies entspricht dem weiten Ermessensspielraum, der den Vertragsstaaten im Rahmen des Vertrags eingeräumt wird.
Zur Gewährleistung der Zuverlässigkeit wird ein starker Fokus auf Normen und technische Spezifikationen gelegt. Der Vorteil von Normen besteht darin, dass sie konkret sind und auf diese Weise für mehr Klarheit und Sicherheit sorgen. Gleichzeitig wurde die Standardisierung als Regulierungsmethode auch kritisiert, da sie eine Übertragung von Regelungsbefugnissen an nicht repräsentative oder private Stellen impliziert, was undemokratisch ist und an Legitimität mangelt. Die Verfasser der KI-Konvention des Europarats haben dieses Problem berücksichtigt. Absatz 88 des Erläuternden Berichts verdeutlicht diese Sensibilität:
In einigen Fällen reicht es möglicherweise nicht aus, Standards und Regeln für die Aktivitäten im Lebenszyklus von KI-Systemen festzulegen. Massnahmen zur Förderung der Zuverlässigkeit können daher je nach Kontext auch darin bestehen, den relevanten Interessengruppen klare und verlässliche Informationen darüber zur Verfügung zu stellen, ob Akteure im Bereich der künstlichen Intelligenz diese Anforderungen in der Praxis eingehalten haben. Dies bedeutet, gegebenenfalls eine durchgängige Rechenschaftspflicht durch Prozesstransparenz und Dokumentationsprotokolle sicherzustellen. Es besteht ein klarer Zusammenhang zwischen diesem Grundsatz und dem Grundsatz der Transparenz und Aufsicht in Artikel 8 sowie dem Grundsatz der Rechenschaftspflicht und Verantwortung in Artikel 9 (Hervorhebung hinzugefügt).
Zwar kann die Übereinstimmung mit festgelegten Standards eine Vermutung der Einhaltung der Vorschriften begründen, doch erfordert die in Artikel 12 des KI-Übereinkommens des Europarats festgelegte Verpflichtung zur Gewährleistung angemessener Qualität und Sicherheit mehr als nur die Festlegung von Standards. Sie erfordert Möglichkeiten, die Vermutung der Einhaltung in Frage zu stellen und zu widerrufen. Damit diese Möglichkeiten bestehen, sollte Transparenz und Zugang zu Informationen gewährleistet sein. Wie in Abschnitt V.3.c. oben erwähnt, kann Transparenz die Identifizierung von Schäden und die Identifizierung von Akteuren ermöglichen, die diesen Schaden verursacht haben könnten, was wiederum für die Gewährleistung der Verantwortlichkeit unverzichtbar ist. Es besteht daher ein Zusammenhang zwischen den Verpflichtungen zur Zuverlässigkeit und den Rechtsbehelfen.
g. Risikomanagement
Artikel 16 des KI-Übereinkommens des Europarats sieht vor, dass die Vertragsstaaten Massnahmen zur «Ermittlung, Bewertung, Prävention und Minderung von Risiken durch KI-Systeme unter Berücksichtigung der tatsächlichen und potenziellen Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit» ergreifen. Solche Massnahmen müssen «abgestuft und differenziert» sein. Den Staaten wird daher Flexibilität eingeräumt bei der Entscheidung, welche Massnahmen sie umsetzen, sowohl allgemein als auch in Bezug auf die spezifischen Bereiche, in denen KI-Systeme eingesetzt werden. Fussnote 179 Wie oben erläutert, werden im Gegensatz zum EU-KI-Gesetz in der KI-Konvention des Europarats keine bestimmten Bereiche genannt, in denen der Einsatz von KI-Systemen als risikoreich gilt.
Artikel 16 Absatz 2 des Vertrags konkretisiert die erforderlichen Massnahmen, indem er festlegt, was diese im Lichte der Grundsätze der Abstufung und Differenzierung berücksichtigen sollten. Konkret sollten die Massnahmen «die Schwere und Wahrscheinlichkeit potenzieller Auswirkungen» sowie «die Perspektive der relevanten Interessengruppen» berücksichtigen. Die Bestimmung führt zudem eine zeitliche Dimension ein und besagt, dass diese Massnahmen «wiederholt während der gesamten Aktivitäten im Lebenszyklus des KI-Systems» anzuwenden sind. Darüber hinaus präzisiert Artikel 16 Absatz 2 die Art der erforderlichen Massnahmen: «Überwachung auf Risiken und nachteilige Auswirkungen auf Menschenrechte, Demokratie und Rechtsstaatlichkeit», «Dokumentation von Risiken, tatsächlichen und potenziellen Auswirkungen sowie des Risikomanagementansatzes» und «gegebenenfalls Prüfung von KI-Systemen, bevor sie erstmals in Betrieb genommen werden und wenn sie wesentlich verändert werden».
Bemerkenswert ist, dass die konzeptionelle Klarheit von Artikel 16 durch seine inkonsistente Terminologie untergraben wird. Er bezieht sich unterschiedlich auf «Risiken für die Menschenrechte», «nachteilige Auswirkungen auf die Menschenrechte», allgemeine «Risiken» und «tatsächliche und potenzielle Auswirkungen» – wobei nicht alle Begriffe explizit mit den Menschenrechten verknüpft sind. Diese Inkonsistenz macht den Artikel konzeptionell unklar. Das Problem wird noch verschärft, da Artikel 16(3) den Ausdruck «unvereinbar mit der Achtung der Menschenrechte» einführt, ohne dessen Zusammenhang mit den im vorangehenden Absatz desselben Artikels verwendeten Begriffen zu klären.
Artikel 16 Absatz 3 räumt den Vertragsstaaten Ermessensspielraum ein, wie sie auf die möglicherweise identifizierten Risiken reagieren. Es wird keine Verpflichtung zum Verbot auferlegt; vielmehr übernehmen die Vertragsstaaten die verfahrensrechtliche Verpflichtung, «die Notwendigkeit eines Moratoriums oder Verbots zu prüfen».
VI. Schlussfolgerung
Insgesamt spiegeln die Bestimmungen des KI-Übereinkommens des Europarats ein hohes Mass an Flexibilität und Abstraktion wider, was den Vertragsstaaten einen Ermessensspielraum lässt. Dies steht im Einklang mit der Konzeption des Vertrags als Rahmenübereinkommen, das Einzelpersonen keine konkreten Rechte verleiht. Dies ist ein Merkmal, das es beispielsweise vom Übereinkommen Nr. 108+ des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten unterscheidet. Die Wahl eines Rahmenübereinkommens sollte unter anderem die Beteiligung eines breiten Spektrums von Staaten und eine grössere Bereitschaft der Staaten, sich daran zu binden, gewährleisten.
Der hohe Abstraktionsgrad lässt sich auch auf die Entscheidung zurückführen, keine konkreten Risikostufen aufzunehmen und die Vorschriften nicht auf diese Stufen abzustimmen. In dieser Hinsicht unterscheidet sich das Übereinkommen vom EU-KI-Gesetz. Angesichts der Unklarheiten in der Formulierung der Risikostufen und der Ausnahmemöglichkeiten im KI-Gesetz bedeutet der allgemeinere Ansatz des Übereinkommens jedoch nicht zwangsläufig eine weniger strenge Regulierung.
Die regulatorischen Auswirkungen der Konvention sollten im Lichte ihrer Wechselwirkung mit den Menschenrechtsnormen bewertet werden, insbesondere angesichts des spezifischen Mandats des Europarats – dem institutionellen Kontext, in dem der Vertrag vorgeschlagen und verabschiedet wurde. Die Konvention zielt darauf ab, die wirksame Umsetzung von Menschenrechtsverpflichtungen zu erleichtern, die sich im Zusammenhang mit dem Einsatz von KI-Systemen noch in der Entwicklung befinden. Obwohl der Zusammenhang zwischen den Menschenrechten und den durch solche Systeme verursachten Schäden im Vertragstext nicht klar konzeptualisiert ist, bieten die in Kapitel III dargelegten Grundsätze eine Auslegungshilfe für die Weiterentwicklung von Menschenrechtsnormen in diesem Bereich. So können beispielsweise die Grundsätze der Menschenwürde und der individuellen Autonomie eine zentrale Rolle bei der Gestaltung der kontextbezogenen Auslegung von Menschenrechtsverpflichtungen spielen. Artikel 10 der Konvention kann, obwohl er nicht detKIlliert ist, als Grundlage für die Weiterentwicklung von Antidiskriminierungsnormen im Zusammenhang mit KI dienen. In ähnlicher Weise spiegelt Artikel 11 die laufenden Entwicklungen im Bereich des Datenschutzes wider und kann als Grundlage für die Formulierung von Rechtsansprüchen im Zusammenhang mit dem Einsatz von KI-Systemen dienen. Insgesamt lässt die Prüfung der verfügbaren Verhandlungsdokumente zwar eine Verringerung des Schutzniveaus sowie des Umfangs und der Konkretheit der im Vertrag formulierten Verpflichtungen erkennen, doch können die darin formulierten Grundsätze – Menschenwürde und individuelle Autonomie, Transparenz und Aufsicht, Rechenschaftspflicht, Nichtdiskriminierung, Datenschutz, Zuverlässigkeit und Risikomanagement – dennoch als Auslegungshilfe für die künftige Entwicklung von Menschenrechtsstandards im Bereich der KI dienen.
Zur einfacheren Lesbarkeit wurden die Literatur- und Quellverweise entfernt.
Übersetzung Boris Wanzeck, Swiss Infosec AG
Stoyanova V. Council of Europe Framework Convention on Artificial Intelligence: Context, Regulatory Approach and Scope of Obligations. European Journal of Risk Regulation. 2026;17(2):536-565.
https://doi.org/10.1017/err.2025.10070
KI-Governance, Security und Privacy
Unsere KI-, Governance-, Datenschutz- und Security-Spezialisten begleiten Sie bei der Erstellung der übergeordneten firmeninternen KI-Vorgaben, bei der Abwicklung von KI-Projekten, bei der Klärung von Einzelfragen und der Durchführung unabhängiger Audits. Ebenfalls unterstützen sie Organisationen in ihrer Rolle als Nutzer/Betreiber, Anbieter oder Entwickler von KI-Systemen sowohl nach Schweizer Recht als auch gemäss dem EU-AI Act.
Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch