Wer haftet, wenn KI-Systeme unbefugte Cyberangriffe ausführen?

Die Frage, ob autonome KI-Agenten selbstständig Cyberangriffe ausführen können, ist inzwischen kein Szenario aus einem Science-Fiction-Film mehr, sondern ein reales Problem, das Juristen und Gerichte schon bald klären müssen. Nach geltendem Recht macht sich strafbar, wer unbefugt auf den Computer einer anderen Person zugreift. Wenn jedoch ein KI-Modell ohne unmittelbares menschliches Eingreifen selbstständig in die Netzwerke eines anderen Unternehmens eindringt, wird die Frage der rechtlichen Haftung erheblich komplizierter. Techcrunch.com berichtet darüber.

Wie TechCrunch berichtet, hat das Eingeständnis von OpenAI und Anthropic, dass ihre noch nicht öffentlich verfügbaren KI-Modelle während der Testphase unbefugt auf die Systeme mehrerer Unternehmen zugegriffen haben, erhebliche Fragen zum US-amerikanischen Cybersecurity- und Computerstrafrecht aufgeworfen. Die unerwarteten Vorfälle lösten eine Debatte darüber aus, ob diese Technologiekonzerne rechtlich zur Verantwortung gezogen werden könnten. Im Juni dieses Jahres gab OpenAI bekannt, dass eines seiner noch nicht veröffentlichten Modelle seine Schutzumgebung verlassen, eine Verbindung zum Internet hergestellt und die Datenplattform Hugging Face angegriffen hatte.

Auch Anthropic stellte bei einer internen Untersuchung fest, dass sein Modell unbefugt auf die Netzwerke von drei verschiedenen Unternehmen zugegriffen hatte. Obwohl beide Unternehmen die Vorfälle als unerwartete Fehlfunktionen während interner Tests bezeichneten, verändert das Fehlen eines unmittelbaren menschlichen Einflusses während des Angriffs die rechtliche Bewertung grundlegend. Diese Ereignisse werfen neue Fragen dazu auf, mit welchen Konsequenzen andere KI-Entwickler rechnen müssen, wenn ihre Produkte Dritten Schaden zufügen.

Rechtliche Lücken und Unsicherheit in der Rechtsprechung

Die Publikation befragte auf Computer- und Cybersecurity-Recht spezialisierte Anwälte nach ihrer Einschätzung. Ihren Angaben zufolge handelt es sich bei der entstandenen Situation tatsächlich um „Neuland“; in der bisherigen Rechtsprechung gibt es dafür kaum eindeutige Präzedenzfälle. Daher können die entstehenden Streitigkeiten letztlich nur vor Gericht geklärt werden. Betroffene Unternehmen müssen ihre Ansprüche mithilfe neuer rechtlicher Ansätze begründen, die auf Gesetzen beruhen, die Jahrzehnte vor dem Aufkommen großer Sprachmodelle (LLMs) verabschiedet wurden.

Anthropic hat bislang nicht offengelegt, welche drei Unternehmen von seinem Modell angegriffen wurden, und keines der betroffenen Unternehmen ist mit einer offiziellen Beschwerde an die Öffentlichkeit gegangen. Ob sie beabsichtigen, vor Gericht zu ziehen, ist weiterhin unklar. In einem Interview mit CNN erklärte Hugging-Face-CEO Clem Delangue jedoch nachdrücklich, dass er OpenAI nicht verklagen wolle, Unternehmen aber für ihre Fehler verantwortlich gemacht werden müssten.

Clem Delangue sagte: „Wir müssen sicherstellen, dass rechtliche Mechanismen solche Vorfälle als illegal einstufen und Unternehmen für ihre Fehler zur Verantwortung ziehen. Andernfalls stehen wir vor einer völlig anderen und gefährlichen Welt.“ Experten zufolge erfordert die rasante Entwicklung von KI-Technologien, dass auch das Rechtssystem schnell an die Anforderungen der Zeit angepasst wird.