Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), hat in einem Statement deutliche Kritik an der IT-Sicherheitspraxis grosser KI-Anbieter geäussert. Sie bemängelt einen unzureichenden und nachlässigen Umgang mit grundlegenden Sicherheitsanforderungen, insbesondere bei Unternehmen in den USA und China, die global tätig sind.
Plattner fordert, dass diese Anbieter stärker zur Verantwortung gezogen werden sollten. Sie setzt dabei auch auf das Instrument der Haftbarkeit: Wer KI-Systeme mit erheblichen Sicherheitsrisiken verbreitet, sollte rechtlich für Schäden aufkommen können. Dies würde Anreize schaffen, Sicherheit von Anfang an in Produkte und Services einzubauen, statt diese als nachträgliches Add-on zu behandeln.
Die Kritik der BSI-Präsidentin ist Teil einer breiteren Debatte in der EU und Deutschland über die Regulierung von Künstlicher Intelligenz. Der AI Act der EU sieht zwar Verpflichtungen für KI-Anbieter vor, doch die Durchsetzung und die praktische Umsetzung sind oft schleppend. Viele Sicherheitsprofessionals argumentieren, dass die technische Realität der KI-Sicherheit hinter regulatorischen Anforderungen zurückbleibt.
Ein zentrales Problem ist die sogenannte "Security by Design"-Praxis. Viele KI-Systeme werden schnell entwickelt und deployed, ohne dass Sicherheitsfragen von Anfang an berücksichtigt wurden. Dies führt zu Systemen, die nach Deployment anfällig für Exploits und Missbrauch sind. Besonders problematisch ist die Kombination von KI mit anderen Technologien, wie zum Beispiel Chatbots, die sensible Daten verarbeiten.
Für KMUs bedeutet diese Entwicklung zweierlei: Zum einen müssen Unternehmen beim Einsatz von KI-Diensten Dritter deutlich kritischer vorgehen und die Sicherheitsstandards dieser Anbieter prüfen. Zum anderen könnten verschärfte Haftungsregeln mittelfristig dazu führen, dass externe KI-Dienste teurer werden oder dass KMUs gezwungen sind, ihre eigenen KI-Kompetenz aufzubauen. Die Botschaft der BSI ist klar: Sicherheit ist nicht verhandelbar.