Obwohl künstliche Intelligenz das Potenzial hat, verschiedene Bereiche wie Gesundheitsfürsorge, Produktion und Bildung zu verbessern, besteht die Gefahr, dass sie unfaire und unbeabsichtigte Folgen sowohl für den Einzelnen als auch für die Gesellschaft als Ganzes hat. So kann die künstliche Intelligenz beispielsweise zur sozialen Manipulation eingesetzt werden, sie kann gesellschaftliche Vorurteile verstärken und die sozioökonomische Ungleichheit vergrößern.

Um solche Risiken zu beseitigen, schädliche Ergebnisse zu verhindern und die Sicherheit und Transparenz von KI-Systemen zu gewährleisten, hat die Europäische Union beschlossen, eine umfassende Gesetzgebung mit der Bezeichnung „Gesetz über künstliche Intelligenz“ einzuführen (im Folgenden als „EU AI Act“ bezeichnet). 

Am 8. Dezember 2023 erzielten das Europäische Parlament und der Rat eine vorläufige politische Einigung über den EU AI Act, und das Europäische Parlament wird das EU-KI-Gesetz voraussichtlich im April dieses Jahres verabschieden.

In Anbetracht der Tatsache, dass der EU AI Act bald verabschiedet und offiziell Gesetz werden wird, müssen Unternehmen, die KI-basierte Systeme entwickeln und einsetzen, verstehen, wie sie den EU AI Act einhalten und rechtliche Schritte und hohe Geldstrafen vermeiden können.

In diesem Beitrag erhalten Sie einen Überblick über den Zeitplan zur Einführung der neuen regulatorischen Gesetzgebung.

Was ist der European AI Act?

Das EU AI Act ist die erste umfassende kontinentale Gesetzgebung zu Künstlicher Intelligenz der Welt. Mit dem Gesetz soll sichergestellt werden, dass KI-Systeme sicher und transparent sind und die Verbraucher in der EU keinen Risiken ausgesetzt werden. Bei der Verfolgung dieser Ziele erkennt der EU-AI-Act-Gesetzestext auch die Notwendigkeit an, Innovation und Investitionen im KI-Sektor zu fördern, und versucht, ein ausgewogenes Verhältnis zwischen diesen Zielen herzustellen.

Daher verfolgt der EU-AI-Act-Gesetzestext einen risikobasierten Ansatz zur Regulierung von KI-Systemen und klassifiziert die A.I.-Systeme in vier verschiedene Kategorien:

• unannehmbares Risiko
• hohes Risiko
• begrenztes Risiko
• geringes Risiko 

Je nach Risikokategorie wird ein KI-System automatisch verboten oder unterliegt weniger strengen oder strengeren Auflagen. 

Wer ist vom EU AI Act betroffen?

Welche Organisationen fallen unter das Gesetz?

Der EU AI Act soll alle Parteien erfassen, die bei der Entwicklung, der Einführung, dem Verkauf, dem Vertrieb und der Nutzung von KI-Systemen, die den Verbrauchern in der EU zur Verfügung gestellt werden, eine Rolle spielen. Artikel 1 des AI Acts legt fest, dass Bereitsteller, Produkthersteller, Importeure, Händler und Anbieter von KI-Systemen unter das europäische KI-Gesetz fallen können.

Insbesondere würde der EU AI Act auch für Organisationen gelten, die außerhalb der Europäischen Union ansässig sind, wenn sie KI-Systeme an EU-Verbraucher liefern. 

Außerdem legt der EU AI Act keine Umsatz- oder Nutzerschwelle für die Anwendbarkeit des KI-Gesetzes fest. Daher sollten alle Organisationen die neuen Verpflichtungen berücksichtigen und sich beraten lassen, ob ihre KI-Systeme unter den EU AI Act fallen. 

 Was die Ausnahmen betrifft, so schließt das Gesetz Folgendes vom Anwendungsbereich aus:

• KI-Modelle oder -Systeme, die ausschließlich zum Zweck der wissenschaftlichen Forschung verwendet werden
• Verwendung von KI-Systemen für reine Haushaltstätigkeiten
• KI-Systeme, die ausschließlich für Verteidigungs- oder Militärzwecke verwendet werden

Was ist ein KI-System?

Da der European AI Act für Anbieter, Bereitsteller, Vertreiber und Importeure von KI-Systemen gilt, ist es wichtig zu bestimmen, ob ein bestimmtes Werkzeug oder eine bestimmte Dienstleistung unter die Definition eines KI-Systems fällt. 

Artikel 3 des Entwurfs des AI Acts beschreibt KI-Systeme als „ein maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie arbeitet und das nach der Bereitstellung Anpassungsfähigkeit zeigen kann und das für explizite oder implizite Ziele aus den Eingaben, die es erhält, ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generieren kann, die physische oder virtuelle Umgebungen beeinflussen können;“.

Diese Definition deckt ein breites Spektrum von KI-Systemen wie biometrische Identifikationssysteme und Chatbots ab, schließt aber einfache Softwareprogramme nicht ein. 

Risikokategorien und unterschiedliche Verpflichtungen

Nach dem EU AI Act gibt es vier verschiedene Risikokategorien für KI-Systeme, und je nach Kategorie unterliegen Sie unterschiedlichen Verpflichtungen.

Kategorie 1: Unannehmbares Risiko

In Artikel 5 des KI-Gesetzes sind die Praktiken der künstlichen Intelligenz aufgeführt, die automatisch verboten sind. Daher sollte eine Organisation diese verbotenen KI-Systeme nicht einsetzen, bereitstellen, in Verkehr bringen oder verwenden. Dazu gehören:

• Verwendung von A.I.-Systemen für die vorausschauende Polizeiarbeit
• biometrische Identifikationssysteme in Echtzeit
• gezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsanlagen zur Erstellung von Gesichtserkennungsdatenbanken
• Rückschlüsse auf die Emotionen von Menschen am Arbeitsplatz

Kategorie 2: Hohes Risiko

KI-Systeme mit hohem Risiko sind in Anhang III des KI-Gesetzes aufgeführt und umfassen KI-Systeme, die in den Bereichen Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung und Strafverfolgung eingesetzt werden, sofern bestimmte Kriterien erfüllt sind.

KI-Systeme mit hohem Risiko sind nicht verboten, aber sie erfordern die Einhaltung strenger Auflagen. Artikel 29 des AI Acts erlegt Ihnen die folgenden Verpflichtungen auf, wenn Sie ein KI-System mit hohem Risiko einsetzen oder verwenden: 

• Durchführung einer Risikobewertung der Grundrechte
• Schulung und Unterstützung des Personals, das mit der Überwachung der KI-Systeme mit hohem Risiko betraut ist
• Führung von Protokollen, die von diesen Systemen automatisch erstellt werden

Kategorie 3: Begrenztes Risiko

Diese Kategorie umfasst weniger risikoreiche KI-Systeme wie Chatbots und Deepfake-Generatoren, für die im Gegensatz zur Hochrisikokategorie weniger strenge Verpflichtungen gelten. Wenn Sie ein KI-System dieser Kategorie einsetzen, bereitstellen oder verwenden, müssen Sie die Nutzer darüber informieren, dass sie mit einem KI-System interagieren, und außerdem alle Audio-, Video- und Fotoaufnahmen als von KI generiert kennzeichnen.

Kategorie 4: Minimales Risiko

KI-Systeme dieser Kategorie sind mit keinerlei Verpflichtungen verbunden und umfassen Systeme wie Spam-Filter und Empfehlungssysteme.

Wann tritt der EU AI Act in Kraft?

Der EU-Gesetzesentwurf wird zwei Jahre nach seinem Inkrafttreten anwendbar sein.  Nach der Verabschiedung des EU AI Acts durch das Europäische Parlament im April 2024 tritt das KI-Gesetz am 20. Tag nach seiner Veröffentlichung im Journal der EU in Kraft.

Allerdings gibt es Ausnahmen von dieser Regel:
So wird zum Beispiel die Vorschrift über das Verbot von KI-Systemen mit inakzeptablem Risiko nach 6 Monaten in Kraft treten.

Darüber hinaus werden die Verpflichtungen in Bezug auf KI-Systeme mit hohem Risiko erst nach 36 Monaten in Kraft treten, was den Unternehmen zusätzliche Zeit zur Vorbereitung gibt.

Sanktionen bei Nichteinhaltung

Die Strafen für die Nichteinhaltung des KI-Gesetzes richten sich nach dem konkreten Verstoß sowie nach dem Grad und der Art der Nichteinhaltung. 

Bei verbotenen KI-Systemen können die Geldbußen bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes betragen. Wer falsche Angaben macht, kann mit einer Geldstrafe von bis zu 7,5 Millionen Euro oder 1,5 % seines Jahresumsatzes belegt werden.

Zeitplan für die Annahme des European AI Acts

Das Europäische Parlament hat am 13. März 2024 über den AI Act abstimmt und diesen angenommen. Nach der Verabschiedung durch das Parlament und 20 Tage nach der Veröffentlichung im Offiziellen Journal der Europäischen Union tritt das Gesetz in Kraft. 

Der European AI Act: Chance und Herausforderung für Unternehmen

In Anbetracht der Tatsache, dass das kommende europäische KI-Gesetz wahrscheinlich viele verwendete KI-Systeme abdecken wird und für Bereitsteller, Importeure, Anbieter und Organisationen gilt, sollten diese sich zeitnah mit dem EU AI Act und seinen Verpflichtungen vertraut machen. 

So ist es beispielsweise von entscheidender Bedeutung, dass Organisationen über ein detailliertes und aktuelles Verzeichnis aller von ihnen verwendeten KI-Systeme verfügen und die spezifischen Verpflichtungen für jede einzelne Risikokategorie genau kennen.

Wir stehen Ihnen gerne zur Verfügung, um Ihnen bei der Erstellung, Überwachung und Dokumentation zu helfen. Unser AI-Governance-Team freut sich auf Ihre Anfrage.