Bundesregierung: Keine Offenlegungspflicht bei KI-Code
Berlin: (hib/LBR) Die Bundesregierung bewertet den Einsatz von Künstlicher Intelligenz (KI) im Bereich der Softwareentwicklung, auch für Software, die von Stellen der Bundesverwaltung beschafft wird, positiv. Der Einsatz könne dazu beitragen, die Qualität von Entwicklungsleistungen zu verbessern und Entwicklungen zu beschleunigen, schreibt die Bundesregierung in ihrer Antwort (21/8737(Dokument, öffnet ein neues Fenster)) auf eine Kleine Anfrage der AfD-Fraktion (21/8324(Dokument, öffnet ein neues Fenster)). Darin hatte sich die Fraktion nach Sicherheitsrisiken durch den Einsatz von KI bei der Programmierung von Software für die Bundesverwaltung und Details zur Verbreitung von sogenanntem „Vibe Coding“ erkundigt.
Die Regelungen der Ergänzenden Vertragsbedingungen für die Beschaffung von IT‑Leistungen (EVB-IT) würden angewendet, für sensible Softwareentwicklungen existierten zusätzliche Klauseln im ITZBund, teilt die Bundesregierung weiter mit. Derzeit bestehen in den EVB-IT „keine besonderen Offenlegungspflichten für KI-generierte Code-Anteile“, heißt es in der Antwort weiter.
Im Hinblick auf den Schulungsstand von Beschäftigten der Bundesverwaltung im risikobewussten Umgang mit KI-Programmierassistenten schreibt die Bundesregierung, die gesetzlichen Bestimmungen insbesondere von Artikel 4 der KI-Verordnung würden vor der Nutzung durchgeführt. Zusätzliche Schulungsbedarfe würden „unmittelbar durch die IT-Dienstleister des Bundes“ realisiert.
Die Fähigkeiten von KI zur Ausnutzung von Schwachstellen und zur Durchführung von Cyberangriffen führen nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik insgesamt zu einer erhöhten Bedrohungslage. Es sei davon auszugehen, dass Schwachstellen nach dem Bekanntwerden schneller ausgenutzt werden und Betreiber weniger Zeit zur Umsetzung von Schutzmaßnahmen haben. Entscheidend bleibe eine sicherheitssensitive Implementierung von IT-Gesamtsystemen und entsprechende Pre-Tests der Gesamtsysteme sowie die permanente Überwachung etwa durch ein Security Operations Center, geht weiter aus der Antwort hervor.