Connect with us

Datenschutz & Sicherheit

Wird sich die KI-Regulierung verzögern?



Im August 2024 hat die EU die KI-Verordnung (AI Act) verabschiedet. Wie vorgesehen tritt sie schrittweise in Kraft: Etwa müssen seit August 2025 Anbieter von KI-Modellen mit allgemeinem Verwendungszweck darlegen, welche Inhalte sie für das Training verwenden, wie sie dabei das Urheberrecht einhalten, wie die Modelle funktionieren und welche Risiken bestehen.

Auch Verbote von KI-Anwendungszwecken wie dem Social Scoring gelten schon seit Februar 2025. Seit August dieses Jahres sollten außerdem die EU-Mitgliedsstaaten auf nationaler Ebene die zuständigen Behörden einrichten – in Deutschland ist das vor allem die Bundesnetzagentur.

Industrie will Frist um bis zu zwei Jahre schieben

Alle anderen Regeln, also auch die Regulierung von Hochrisikosystemen, treten erst am 2. August 2026 in Kraft – zumindest eigentlich. Schon seit längerer Zeit fordern Unternehmen und Industrieverbände, diese Frist nach hinten zu verschieben. Die Initiative wurde unter dem Slogan „Stop the clock“ (Stopp die Uhr) bekannt. Doch wie begründen sie die Verschiebung einer gesetzlich festgelegten Frist?

Für die Umsetzung der Verordnung werden Standards entwickelt, die Unternehmen helfen sollen, den Gesetzestext in notwendige Handlungsschritte zu übersetzen, quasi wie eine Checkliste. Doch ihre Entwicklung zögert sich hinaus. Die Industrie argumentiert, dass dadurch zu wenig Zeit bleibe, um sich auf die Verordnung vorzubereiten. IBM meint sogar, dass die Standards womöglich erst Ende 2026 fertiggestellt würden.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Der Konzern arbeitet selbst an der Entwicklung der Standards mit und fordert, dass die Vorschriften erst ein Jahr nach Veröffentlichung der Standards gelten sollen. Aktuell würden mehrere Standards als Entwürfe vorliegen, doch es müsse noch weiter daran gearbeitet werden, um sie umsetzbar und praktikabel zu machen. Der Bundesverband der Deutschen Industrie (BDI) und Siemens fordern hingegen eine Verschiebung der Frist um zwei Jahre. Das neue Datum wäre somit der 2. August 2028.

Tatsächlich müsste die Frist nicht verschoben werden. Es wäre auch möglich, die Anforderungen zu „pausieren“, also die Fristen beizubehalten, aber für Verstöße keine Strafen zu verhängen.

NGOs: Verschiebung schadet der Glaubwürdigkeit der EU

Das ist die eine Seite. Auf der anderen Seite stehen Organisationen der Zivilgesellschaft, die sich klar gegen eine Verzögerung aussprechen, wie in einem Brief an die Digitalkommissarin Henna Virkkunen Ende September deutlich wurde. 31 Organisationen unterschrieben ihn. Initiiert wurde der Brief von der Organisation European Digital Rights (EDRi), die verschiedene NGOs bündelt. Sie argumentiert, dass sich Unternehmen und Behörden schon seit über einem Jahr auf die Verordnung vorbereiten würden. Dafür hätten sie bereits Zeit und Geld investiert. Sollte sich die Frist jetzt ändern, würde das legale Unsicherheit hervorrufen und womöglich diejenigen bestrafen, die besonders schnell in der Umsetzung waren, so die Organisation.

Die europäische Verbrauchervertretung ANEC setzt sich in Normungsprozessen für die Perspektive der Verbraucher:innen ein und bringt bezüglich der KI-Verordnung einen weiteren Aspekt ins Spiel: Die Verschiebung der Frist würde der internationalen Glaubwürdigkeit der EU als globaler Spitzenreiter in der KI-Regulierung schaden. Sie betont auch, dass die Standards zwar eine wichtige, aber letztlich nur freiwillige Hilfestellung wären und die Verordnung auch ohne sie umgesetzt werden könne. Der Schutz der Verbraucherrechte und die Notwendigkeit vertrauenswürdiger KI würden „bei weitem“ die Unannehmlichkeiten überwiegen, die mit der Arbeit ohne harmonisierte Standards verbunden sind, so ANEC.

Der Verbraucherschutzzentrale Bundesverband (vzbv) macht darauf aufmerksam, dass durch eine Verzögerung auch Verbraucher:innen erst später auf wichtige Rechte zugreifen könnten. Dazu gehört die Erkennung von Hochrisikosystemen durch eine verpflichtende Kennzeichnung oder das Recht, sich KI-Entscheidungen erklären zu lassen. Auch würde die Verzögerung ein „schädliches politisches Signal“ senden, findet der vzbv. Wenn die Kommission dem Druck der Industrie nachgebe und Verbraucherrechte für „kurzfristige kommerzielle Interessen“ opfere, werde das Vertrauen der Öffentlichkeit in das Engagement der EU für den Schutz der Menschen untergraben, heißt es im Statement.

Entscheidung am 19. November

Beobachter vermuten, dass die Kommission eher zu der Verschiebung der Fristen tendiert. Eine offizielle Entscheidung gibt es jedoch noch nicht, bestätigte Kommissionssprecher Thomas Regnier heute. Diese wird am 19. November veröffentlicht. An diesem Datum wird die EU-Kommission den Digital-Omnibus vorstellen – das Vorhaben für die Vereinfachung von mehreren europäischen Digitalregulierungen. Einer Veränderung der KI-Verordnung müssten dann noch das Parlament und der Rat zustimmen. Dann kommt es also auch auf die Haltung der Mitgliedsstaaten an.

Deutschland hat sich mittlerweile positioniert und fordert ebenso eine Verschiebung der Frist – allerdings nur um ein Jahr. So sollen KI-Anbieter ausreichend Zeit bekommen, um die Standards umzusetzen. Das ist die „innovationsfreundliche Auslegung der KI-Verordnung“, welche Unionspolitiker:innen in den vergangenen Jahren immer wieder gefordert hatten. Ziel sei demnach, die europäische Wettbewerbsfähigkeit im KI-Markt zu stärken und damit mehr digitale Souveränität im Sinne der Nutzung europäischer Lösungen zu erreichen.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Bundesregierung: IT-Sicherheit im Kanzleramt ist über-geheim


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Die deutsche Bundesregierung erachtet die Sicherheit der IKT-Systeme des Kanzleramts als Staatsgeheimnis. Sie weigert sich daher, wesentliche Informationen zur IT-Sicherheit der Regierungszentrale preiszugeben. Die Regierung begründet diesen außergewöhnlichen Schritt in ihrer jetzt veröffentlichten Antwort auf eine Anfrage der AfD-Bundestagsfraktion so: Sämtliche Auskunft zu dem Thema berührten derart schutzbedürftige Geheimhaltungsinteressen, dass das Staatswohl dem parlamentarischen Auskunftsrecht überwiege.

Weiterlesen nach der Anzeige

Selbst die Einstufung der Information als Verschlusssache (VS) und deren Hinterlegung bei der Geheimschutzstelle des Bundestages wäre zu riskant, sagt das Kanzleramt. Denn auch ein geringfügiges Risiko des Bekanntwerdens könne unter keinen Umständen hingenommen werden.

Die IT-Sicherheitslage sei „angespannt bis kritisch“. Staatliche Akteure und andere Kriminelle professionalisierten ihre Arbeitsweise und agierten zunehmend aggressiv. Die Situation habe sich durch den russischen Angriffskrieg auf die Ukraine und die daraus resultierenden vermehrten Angriffe auf Verbündete wie Deutschland weiter verschärft. Die stetig wachsende Komplexität der IT-Landschaft und die zunehmende Vernetzung erweiterten ferner die Angriffsflächen.

Bundes-IT wäre enorm gefährdet

Die Veröffentlichung von Details über Resilienz und Schutzmaßnahmen der Bundes-IT würde diese erheblich gefährden, schreibt das Kanzleramt. Angaben etwa zur Anzahl, zum Ort und zur Ausstattung von Rechenzentren, den Ergebnissen technischer Sicherheitsüberprüfungen und der Entwicklung der IT-Sicherheitsstellen könnten potenziellen Übeltätern konkrete Hinweise auf die im Kanzleramt eingesetzten Schutzmaßnahmen liefern. Insbesondere in Zusammenschau mit anderen Regierungsantworten und unter Nutzung von Techniken KI wären Angreifer in der Lage, Schwachstellen gezielt auszumachen und daraus konkrete Angriffsvektoren abzuleiten.

Eine solche Preisgabe der Verteidigungsstrategie würde die Lage in den Dimensionen Bedrohung, Angriffsfläche, Gefährdung und Schadwirkung dramatisch verschlechtern, heißt es in der Nicht-Antwort. Dies könnte „unmittelbar die Gewährleistung der Handlungsfähigkeit der Bundesregierung gefährden“.

Weiterlesen nach der Anzeige

BSI ist gegen Security by Obscurity

Das Kanzleramt macht lediglich einzelne operationelle Angaben: Alle einschlägigen Rechenzentren verfügten über Notstromversorgung. Die Funktionsfähigkeit des Kanzleramtes werde durch redundante Systeme gesichert.

Kritik des Bundesrechnungshofes werde bei einem kontinuierlichen Verbesserungsprozess berücksichtigt. Derzeit seien keine Stellen im IT-Sicherheitsbereich unbesetzt. Generell sieht die Regierung die Notwendigkeit, die IT-Systeme des Kanzleramtes besonders zu schützen, was sich im Entwurf zur Umsetzung der NIS-2-Richtlinie niedergeschlagen habe.

Security by Obscurity (Sicherheit durch Verschleierung) funktioniert Experten zufolge nicht als primäre oder alleinige Sicherheitsstrategie, da sie Angreifer allenfalls kurzzeitig bremst. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt davor, da Angreifer automatisierte Werkzeuge nutzten und damit regelmäßig Schwachstellen in verborgenen Systemen fänden.


(ds)



Source link

Weiterlesen

Datenschutz & Sicherheit

GEMA klagt erfolgreich gegen OpenAI



Fast ein Jahr hatte das Verfahren vor dem Landgericht München gedauert. Am Dienstag gab das Gericht dann der Gesellschaft für musikalische Aufführungs- und mechanische Vervielfältigungsrechte (GEMA) recht. Die GEMA verwaltet die Lizenzrechte zu den Werken vieler tausend Musiker*innen und hatte gegen den ChatGPT-Entwickler OpenAI geklagt. Das Gericht urteilte, OpenAI dürfe urheberrechtlich geschützte Songtexte nicht ohne eine entsprechende Lizenz verwenden. Außerdem verurteilte es OpenAI zu Schadensersatz. Das Urteil ist noch nicht rechtskräftig.

Bereits im November 2024 hatte die GEMA eine Klage gegen den US-amerikanischen Technologiekonzern eingereicht. Der Vorwurf: OpenAI benutze gesichert GEMA-Werke, um seine KI zu trainieren, zum Beispiel „In der Weihnachtsbäckerei“ von Rolf Zuckowski. Streitgegenstand war die Frage, ob ChatGPT diese memorisiert und dann auf Anfrage reproduziert oder nur aus ihnen lernt und sehr ähnliche Texte neu produziert.

Das Gericht schloss sich der ersteren Position und damit der GEMA an. Prof. Silke von Lewinski, Wissenschaftliche Referentin am Max-Planck-Institut für Innovation und Wettbewerb, sieht darin ein Urteil von „grundlegender Bedeutung für alle Werke, sei es Literatur, journalistische Texte, Musik, bildende Kunst, Fotografie oder jegliche andere Werke, die für Generative KI benutzt werden“.

KI-Unternehmen sollen für geschützte Werke zahlen

Es ist allerdings zu erwarten, dass OpenAI das Urteil nicht auf sich beruhen lassen wird. Auch eine Weiterverweisung an den Europäischen Gerichtshof wäre wohl möglich. OpenAI beharrt darauf, dass ChatGPT die Songtexte durch eine „sequenziell-analytische, iterativ-probabilistische Synthese“ selbst neu erstellt hätte und diese keineswegs einfach kopiert seien.

Die Klage gegen OpenAI ist nicht die einzige der GEMA gegen einen KI-Anbieter. Im Januar 2025 reichte der Verein zusätzlich Klage gegen Suno AI ein, eine Plattform, die mithilfe von Künstlicher Intelligenz Musik generiert. Suno AI erstelle Lieder, die von der GEMA geschützten Werken wie „Cheri Cheri Lady“ oder „Daddy Cool“ zum verwechseln ähnlich seien, so der Vorwurf der GEMA. Eine Anhörung hat bis jetzt noch nicht stattgefunden.

Die GEMA verfolgt mit den Klagen das Ziel, ein Lizenzmodell durchzusetzen. Wer seine KI-Modelle mit einem bestehenden Lied trainieren will, soll dafür zahlen. Ein entsprechendes Lizenz-Modell für generative KI hatte die GEMA im vergangenen Jahr eingeführt. „Die Songs unserer Mitglieder sind nicht der kostenlose Rohstoff für die Geschäftsmodelle der Anbieter generativer KI-Systeme“ sagt GEMA-CEO Tobias Holzmüller in einem Statement auf der Website. „Wer diese Songs verwenden möchte, muss eine Lizenz erwerben und die Urheberinnen und Urheber fair vergüten.“



Source link

Weiterlesen

Datenschutz & Sicherheit

SAP-Patchday bringt 18 neue Sicherheitsmitteilungen


SAP hat am Dienstag den monatlichen Patchday begangen und dazu 18 neue Sicherheitsmitteilungen veröffentlicht. Zwei davon behandeln Sicherheitslecks, die die Walldorfer Entwickler als kritisches Sicherheitsrisiko einstufen; eine erreicht sogar den Höchstwert CVSS 10.

Weiterlesen nach der Anzeige

Auf der Übersichtsseite zum November-Patchday reißt SAP die betroffenen Produkte mit kurzer Schwachstellenbeschreibung an. Im SQL Anywhere Monitor (Non-GUI) findet sich demnach eine Schwachstelle, die eine unsichere Verwaltung von Keys und Secrets betrifft (CVE-2025-42890, CVSS 10.0, Risiko „kritisch„). Der CVE-Eintrag präzisiert, dass Zugangsdaten fest im Code verankert sind, was schlussendlich in der Ausführung von eingeschleustem Schadcode münden kann.

Außerdem können angemeldete Angreifer im SAP Solution Manager Schadcode einschleusen (CVE-2025-42887, CVSS 9.9, Risiko „kritisch„). Laut Beschreibung geht das auf fehlende Prüfung und Filterung von Eingaben zurück. Das gelingt beim Aufruf eines Funktionsmoduls aus dem Netz und führt zu erhöhten Zugriffsrechten, mit denen Angreifer die volle Kontrolle über das System übernehmen können. Schließlich klafft in SAP CommonCryptoLib eine Speicherzugriffslücke (CVE-2025-42940, CVSS 7.5, Risiko „hoch„). Mit manipulierten Paketen können Angreifer einen Absturz der Software und somit einen Denial-of-Service auslösen, erörtert die Schwachstellenbeschreibung.

Weitere, weniger gravierende Sicherheitslücken

Die weiteren Sicherheitsmitteilungen kümmern sich um Schwachstellen, die weniger schwerwiegend ausfallen. Admins sollten trotzdem prüfen, ob sie verwundbare Instanzen betreiben, und die Aktualisierungen im kommenden Wartungsfenster installieren.

  • Code Injection vulnerability in SAP HANA JDBC Client, CVE-2025-42895, CVSS 6.9, Risiko „mittel„
  • OS Command Injection vulnerability in SAP Business Connector, CVE-2025-42892, CVSS 6.8, „mittel„
  • Path Traversal vulnerability in SAP Business Connector, CVE-2025-42894, CVSS 6.8, „mittel„
  • JNDI Injection vulnerability in SAP NetWeaver Enterprise Portal, CVE-2025-42884, CVSS 6.5, „mittel„
  • Open Redirect vulnerabilities in SAP S/4HANA landscape (SAP E-Recruiting BSP), CVE-2025-42924, CVSS 6.1, „mittel„
  • Open Redirect vulnerability in SAP Business Connector, CVE-2025-42893, CVSS 6.1, „mittel„
  • Reflected Cross-Site Scripting (XSS) vulnerability in SAP Business Connector, CVE-2025-42886, CVSS 6.1, „mittel„
  • Miissing authentication in SAP HANA 2.0 (hdbrss), CVE-2025-42885, CVSS 5.8, „mittel„
  • Information Disclosure vulnerability in SAP GUI for Windows, CVE-2025-42888, CVSS 5.5, „mittel„
  • SQL Injection vulnerability in SAP Starter Solution (PL SAFT), CVE-2025-42889, CVSS 5.4, „mittel„
  • Information Disclosure vulnerability in SAP NetWeaver Application Server Java, CVE-2025-42919, CVSS 5.3, „mittel„
  • Information Disclosure vulnerability in SAP Business One (SLD), CVE-2025-42897, CVSS 5.3, „mittel„
  • Missing Authorization check in SAP S4CORE (Manage Journal Entries), CVE-2025-42899, CVSS 4.3, „mittel„
  • Missing Authorization check in SAP NetWeaver Application Server for ABAP, CVE-2025-42882CVSS 4.3, „mittel„
  • Insecure File Operations vulnerability in SAP NetWeaver Application Server for ABAP (Migration Workbench), CVE-2025-42883, CVSS 2.7, „niedrig„

Der Patchday von SAP im Oktober fiel mit 13 Sicherheitsmitteilungen spürbar weniger umfangreich aus. Von den Sicherheitslücken hatten die Entwickler dort drei als kritisch eingestuft.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Beliebt