EU-Vorschlag zu Cloud und KI stößt auf Kritik
Laut einer Analyse von Open Future wird der von der Europäischen Kommission vorgeschlagene Cloud and AI Development Act, kurz CADA, die derzeitige Marktstruktur eher bewahren, als die Abhängigkeit der EU von Anbietern außerhalb der EU deutlich zu verringern. Der Bericht fordert Änderungen an den Plänen für die Beschaffung von Cloud-Diensten durch den öffentlichen Sektor und für die digitale Souveränität.
- Open Future zufolge könnte CADA in seiner derzeitigen Form den Status quo bewahren.
- Der Vorschlag umfasst vier EU-Sicherheitsstufen für die Cloud-Souveränität und eine Risikobewertung.
- Dem Bericht zufolge könnte Sicherheitsstufe 1 rund 70 Prozent der Aktivitäten des öffentlichen Sektors abdecken.
- CADA erstreckt die Souveränitätsbewertung nicht eindeutig auf Hardware.
- Open Future schlägt eine unabhängige EU-Aufsicht, eine Multicloud-Strategie und eine „Open Source zuerst“-Regel vor.
Vorschlag soll europäische digitale Souveränität über öffentliche Beschaffung stärken
Die Europäische Union hat sich zum politischen Ziel gesetzt, durch öffentliche Beschaffung die Abhängigkeit von einer Handvoll Cloud-Anbieter außerhalb der EU zu verringern und den Markt für eine größere Zahl von Anbietern zu öffnen. Die Europäische Kommission stellt ihren vorgeschlagenen Cloud and AI Development Act, kurz CADA, als Möglichkeit dar, die übermäßige Abhängigkeit von bestimmten Anbietern zu reduzieren.
In einem am 3. November veröffentlichten Bericht untersuchten die Open-Future-Forscherinnen Zuzanna Warso und Kristina Irion, außerordentliche Professorinnen am Institute for Information Law der University of Amsterdam, Titel IV des Vorschlags. Dieser Abschnitt behandelt die Autonomie, den Souveränitätsrahmen für Cloud-Dienste, die vier EU-Sicherheitsstufen, die Risikobewertung und die Cloud-Beschaffung durch den öffentlichen Sektor.
Die Autorinnen erklären, dass CADA in seiner derzeitigen Form eher den Status quo bewahren als den Ausbau einer offenen und interoperablen europäischen digitalen Infrastruktur unterstützen dürfte.
Sicherheitsstufen lassen mehrere Einschränkungen bestehen
Dem Bericht zufolge behandelt der Vorschlag die Abhängigkeit von Cloud-Anbietern aus Drittstaaten als Souveränitätsproblem, will es jedoch vor allem durch eine Regulierung von Risiken für die Informationssicherheit angehen. Wegen der rechtlichen Schwelle des Beitrags zur „Wahrung der öffentlichen Ordnung“ könnten rund 70 Prozent der Aktivitäten des öffentlichen Sektors, die unter die EU-Sicherheitsstufe 1 fallen, von einer Bewertung nach den in Artikel 29(2) festgelegten Risikokriterien ausgenommen werden.
Open Future zufolge könnte der Rahmen statt einer Mindestanforderung eine Obergrenze für die Souveränitätserwartungen schaffen. Auf Sicherheitsstufe 2 könnten „souveräne Cloud“-Lösungen unter Beteiligung US-amerikanischer Hyperscaler weiterhin zulässig sein.
Sicherheitsstufe 3 schließt die Kontrolle durch Drittstaaten grundsätzlich aus. Eine Ausnahme für sogenannte assoziierte Drittstaaten lässt jedoch die Möglichkeit offen, dass die Kommission einen solchen Staat nach Verabschiedung der Gesetzgebung anerkennt.
Daten, Hardware und Aufsicht
Der Bericht sieht außerdem ein Problem darin, dass Anhang II des Vorschlags Unternehmen aus Drittstaaten daran hindert, von einem Dienst erzeugte Daten zum Training von KI-Systemen zu verwenden. Der Text erstreckt diese Einschränkung jedoch nicht eindeutig auf sämtliche Kundendaten und verbietet Anbietern auch nicht ausdrücklich, Kundendaten innerhalb der Europäischen Union für eigene KI-Trainingszwecke zu nutzen.
Bei der Untersuchung technologischer Abhängigkeiten konzentriert sich CADA auf Software, schließt Hardware jedoch ausdrücklich aus der Souveränitätsbewertung aus. Die Autorinnen halten dies für problematisch, weil Software- und Hardwareabhängigkeiten eng miteinander verknüpft sind.
Der EU-weite Kohärenzmechanismus soll der Kommission unterstellt werden und nicht einem Gremium unabhängiger nationaler Regulierungsbehörden. Dem Bericht zufolge wirft dies Fragen zur institutionellen Unabhängigkeit der Aufsicht, zur Machtkonzentration bei der Kommission und zu ihrer Anfälligkeit für geopolitischen Druck auf.
Was würde Open Future ändern?
Der Bericht empfiehlt unter anderem, den Beitrag zur „Wahrung der öffentlichen Ordnung“ als Schwelle für höhere Souveränitätsstufen zu streichen oder zumindest weiter zu definieren. Die Autorinnen würden höhere Sicherheitsstufen auch über Aktivitäten im Zusammenhang mit der öffentlichen Ordnung hinaus zulassen.
Open Future will die Einstufung assoziierter Drittstaaten einer öffentlichen Konsultation unterwerfen und die Kommission verpflichten, ihre Bewertung zu veröffentlichen, ob jede kumulative Bedingung erfüllt ist. Zu den Vorschlägen gehört außerdem ein Verbot, Kundendaten, die über einen auditierten Dienst verarbeitet, gespeichert oder erzeugt wurden, zum Training oder zur Feinabstimmung von KI-Systemen zu verwenden, sofern die Organisation des öffentlichen Sektors nicht ausdrücklich zugestimmt hat.
Die Autorinnen wollen die Bewertung technologischer Abhängigkeiten auf Hardwarekomponenten und Lieferketten ausweiten. Sie würden die EU-Koordination in die Hände eines Gremiums unabhängiger zuständiger nationaler Behörden legen, eine Strategie mit mehreren Anbietern oder mehreren Clouds zum Standard machen und die Förderung von Open Source in eine „Open Source zuerst“-Regel umwandeln. Dem Bericht zufolge würden diese Änderungen öffentlichen Institutionen ermöglichen, ihre Abhängigkeit von einer Handvoll Anbietern außerhalb der EU nicht nur zu verwalten, sondern auch zu reduzieren.
Open Future: The Cloud and AI Development Act Proposal
