Artificial Intelligence Act: EU einigt sich über die Regulierung von Künstlicher Intelligenz

Vertrauen der Bürger und Wettbewerbsfähigkeit als Ziel der EU

Be­reits im April 2021 – lange be­vor KI mit ChatGPT in al­ler Munde war - hat die EU-Kom­mis­sion einen Vor­schlag un­ter­brei­tet, wie Künst­li­che In­tel­li­genz in Eu­ropa ge­nutzt wer­den soll. Mit der vor­ge­schla­ge­nen KI-Ver­ord­nung wollte die EU ei­ner­seits das Ver­trauen der Bürger in eine wohl weg­wei­sende neue Tech­no­lo­gie stärken und einen recht­li­chen Rah­men für den wett­be­werbsfähi­gen Ein­satz in der EU schaf­fen.

Die Ver­hand­lun­gen des AI Act wur­den durch die Veröff­ent­li­chung des Chat­bots ChatGPT, der mit ge­ne­ra­ti­ver KI in Echt­zeit Texte, Bil­der oder einen Source­code ge­ne­riert, über­holt. Ende 2023 brachte das Tri­log-Ver­fah­ren zwi­schen EU-Kom­mis­sion, EU-Par­la­ment und Eu­ropäischem Rat eine Ei­ni­gung her­vor. Der fi­nale Text wird vor­aus­sicht­lich im März 2024 endgültig ver­ab­schie­det und kurz später soll die KI-Ver­ord­nung be­reits in Kraft tre­ten. Ihre Wir­kung soll sie al­ler­dings nach ei­ner Überg­angs­zeit von zwei Jah­ren, vor­aus­sicht­lich im Som­mer 2026, ent­fal­ten. Für Un­ter­neh­men, die pla­nen KI-An­wen­dun­gen ein­zu­set­zen, ist das je­doch kein Grund sich aus­zu­ru­hen.

Risikobasierter Ansatz bei der Einstufung von KI-Systemen

Mit dem AI Act wird zunächst ein ein­heit­li­cher Rah­men ge­schaf­fen, der KI-Sys­teme an­hand des Ri­si­kos klas­si­fi­ziert. Das Ge­setz un­ter­schei­det da­bei zwi­schen KI-Sys­te­men mit un­an­nehm­ba­rem, ho­hem, ge­rin­gem oder mi­ni­ma­lem Ri­siko. Die Aus­wir­kung lässt sich knapp zu­sam­men­fas­sen: Je höher das Ri­siko, desto höher die An­for­de­run­gen an das je­wei­lige KI-Sys­tem. Diese ge­hen bis hin zu einem ge­ne­rel­len Ver­bot von KI-Sys­te­men mit einem un­an­nehm­ba­ren Ri­siko.

Ein un­an­nehm­ba­res Ri­siko sieht die EU da­bei bei al­len KI-An­wen­dun­gen, bei de­nen KI ge­nutzt wird, um das Ver­hal­ten von Per­so­nen so zu be­ein­flus­sen, dass der Per­son oder einem Drit­ten ein Scha­den zu­gefügt wird. Eben­falls ver­bo­ten sind Prak­ti­ken, die auf die Aus­nut­zung oder Be­ein­flus­sung von schutz­bedürf­ti­gen Grup­pen (Al­ter, Be­hin­de­rung, so­ziale Si­tua­tion) ab­zie­len oder ein So­cial Sco­ring durchführen und da­mit die be­trof­fe­nen Per­so­nen schlech­ter­stel­len. Der Ein­satz von bio­me­tri­schen Echt­zeit-Fer­niden­ti­fi­zie­rungs­sys­te­men im öff­ent­li­chen Raum zur Straf­ver­fol­gung ist mit we­ni­gen spe­zi­el­len Aus­nah­men grundsätz­lich ver­bo­ten.

Den zen­tra­len Re­ge­lungs­be­reich stel­len KI-An­wen­dun­gen mit einem ho­hen Ri­siko dar. Hochri­si­ko­sys­teme sind sol­che, die ein er­heb­li­ches Ri­siko für die Ge­sund­heit, Si­cher­heit oder Grund­rechte dar­stel­len. Sie un­ter­lie­gen stren­gen An­for­de­run­gen bezüglich Trans­pa­renz, Da­ten­ge­nau­ig­keit und Über­wa­chung durch Men­schen. Zu den Hochri­si­ko­sys­te­men gehören insb. KI-An­wen­dun­gen im Be­reich des au­to­no­men Fah­rens oder der Me­di­zin­tech­nik, doch fal­len eine Viel­zahl wei­te­rer Sys­teme in diese Ka­te­go­rie. Dazu zählen KI-Sys­teme in kri­ti­schen In­fra­struk­tu­ren, Bil­dung, Be­schäfti­gung und Straf­ver­fol­gung.

Für Sys­teme, die nur ein nied­ri­ges Ri­siko auf­wei­sen, sieht der AI Act im Ge­gen­zug einen er­leich­ter­ten Ka­ta­log an Pflich­ten vor. Hier ste­hen die Trans­pa­renz­pflich­ten im Mit­tel­punkt. Hier­durch soll si­cher­ge­stellt wer­den, dass der End­nut­zer weiß, dass er ein Sys­tem mit KI ein­setzt.

KI-Sys­teme mit einem mi­ni­ma­len Ri­siko fal­len hin­ge­gen nicht un­ter den AI Act. Diese können da­her un­ein­ge­schränkt ge­nutzt wer­den. Die EU hatte hier ein­fa­che KI-Sys­teme im Blick, wie etwa au­to­ma­ti­sierte Ele­mente von Fire­walls oder SPAM-Fil­ter. Durch die zu­neh­mende Ver­brei­tung von ge­ne­ra­ti­ver KI wer­den künf­tig wohl zu­neh­mend KI-Sys­teme in den An­wen­dungs­be­reich des AI Act fal­len.

Hohe Anforderungen bei Hochrisikosystemen

Un­ter­neh­men, die KI-Sys­teme mit einem ho­hen Ri­siko ent­wi­ckeln, ver­trei­ben oder ein­set­zen wol­len, müssen eine Viel­zahl von An­for­de­run­gen be­ach­ten. Ne­ben den all­ge­mei­nen Trans­pa­renz­pflich­ten, die mit dem AI Act für die re­gu­lier­ten Klas­sen ein­geführt wer­den, müssen zahl­re­che wei­tere Pflich­ten um­ge­setzt wer­den. Zunächst muss eine um­fas­sende Ri­si­ko­ana­lyse durch­geführt und ver­gleich­bar ei­ner Da­ten­schutz-Fol­gen­ab­schätzung Maßnah­men ge­trof­fen wer­den, um die Ri­si­ken zu mi­ni­mie­ren. Darüber hin­aus muss si­cher­ge­stellt wer­den, dass die KI, die in dem Sys­tem zum Ein­satz kommt, nur mit zu­verlässi­gen und hoch­wer­ti­gen Da­ten trai­niert wurde.

So sol­len Ver­zer­run­gen und un­ge­naue Er­geb­nisse ver­mie­den wer­den. Ebenso müssen die Sys­teme be­son­ders si­cher vor ma­ni­pu­la­ti­ven Ein­grif­fen, etwa durch Cy­ber­an­griffe sein. Zusätz­lich müssen An­bie­ter gewähr­leis­ten, dass eine mensch­li­che Kon­trolle der KI möglich ist. So muss etwa si­cher­ge­stellt sein, dass eine mensch­li­che In­ter­ak­tion in die Ak­ti­vität des Hochri­si­ko­sys­tems kor­ri­gie­rend ein­grei­fen oder diese stop­pen kann. Ty­pi­scher An­wen­dungs­fall wäre etwa der Lenk­ein­griff des Fah­rers bei einem teil­au­to­no­men Fahr­zeug.

Ver­ar­bei­tet das Sys­tem per­so­nen­be­zo­gene Da­ten, sind zusätz­li­che Da­ten­schutz­an­for­de­run­gen zu be­ach­ten und An­bie­ter müssen de­tail­lierte Auf­zeich­nun­gen über die Ent­wick­lung, das Trai­ning, die Be­reit­stel­lung und den Ein­satz von Hochri­siko-KI-Sys­te­men führen, um die Nach­voll­zieh­bar­keit und Re­chen­schafts­pflicht zu gewähr­leis­ten.

Durch diese ho­hen An­for­de­run­gen soll nach dem Wil­len der EU ein Rah­men ge­schaf­fen wer­den, der die Vor­teile der KI nutzt, während gleich­zei­tig Ri­si­ken mi­ni­miert und grund­le­gende Werte und Rechte ge­schützt wer­den. Un­ter­neh­men, die sol­che Sys­teme ent­wi­ckeln, an­bie­ten oder ein­set­zen, müssen die An­for­de­run­gen um­fas­send ein­hal­ten. An­sons­ten dro­hen hohe Bußgelder von bis zu 35 Mio. Euro oder 7 % des welt­wei­ten Kon­zern­jah­res­um­sat­zes.

Risikounabhängige Anforderungen bei „General Purpose AI“

Da die Ver­brei­tung von Sprach­mo­del­len wie ChatGPT erst nach dem ers­ten Ent­wurf des AI Act er­folgte, sah sich der Ge­setz­ge­ber ge­zwun­gen, auch für sol­che KI-Sys­teme, die einen brei­ten all­ge­mei­nen An­wen­dungs­be­reich oder Ver­wen­dungs­zweck (auf Eng­li­sch: Ge­ne­ral Pur­pose) ha­ben, zusätz­li­che Re­ge­lun­gen zu tref­fen, die un­abhängig von der zu­vor ge­schil­der­ten Ri­si­ko­ein­stu­fung (also auch für Sys­teme mit mi­ni­ma­lem Ri­siko) an­zu­wen­den sind.

Alle An­bie­ter von „Ge­ne­ral Pur­pose AI“ müssen um­fas­sende Trans­pa­renz­pflich­ten um­set­zen. Dies gilt insb. in Hin­blick auf den Ein­satz von sol­chen Sprach­mo­del­len zur Ge­ne­rie­rung oder Ma­ni­pu­la­tion von Tex­ten und Bil­dern.

Wei­tere An­for­de­run­gen be­ste­hen, wenn es sich um be­son­ders leis­tungs­starke Sys­teme han­delt, die sys­te­mi­sche Ri­si­ken ber­gen können. Hier müssen die An­bie­ter zusätz­li­chen Pflich­ten, wie der Über­wa­chung schwer­wie­gen­der Vorfälle oder der Mo­dell­be­wer­tung, nach­kom­men. Auch wer­den die Rechte von Ur­he­bern gestärkt, die sich leich­ter ge­gen das Trai­nie­ren oder Ver­ar­bei­ten von ur­he­ber­recht­lich ge­schütz­ten Wer­ken weh­ren können.

Da die der­zeit am häufigs­ten ein­ge­setz­ten großen Sprach­mo­delle wie ChatGPT oder Ge­mini nicht von An­bie­tern in der EU stam­men, hat die EU auch de­ren An­bie­ter mit dem AI Act im Blick ge­habt und legt die zahl­rei­chen Pflich­ten nicht nur deut­schen An­bie­tern auf, son­dern al­len, die ihre Pro­dukte in der EU ver­trei­ben oder Da­ten aus der EU ver­wen­den.

Umsetzung der Anforderungen nicht verschlafen

Auch wenn die meis­ten Re­ge­lun­gen des AI Act erst Mitte 2026 ihre volle Wir­kung ent­fal­ten wer­den, sind Un­ter­neh­men, die Künst­li­che In­tel­li­genz in ihre Pro­dukte und Leis­tun­gen in­te­grie­ren wol­len, gut be­ra­ten, sich schon frühzei­tig mit den An­for­de­run­gen des AI Act aus­ein­an­der­zu­set­zen. Ge­rade die Pflich­ten, die be­reits an das Trai­nie­ren und Ent­wi­ckeln sol­cher Sys­teme knüpfen, soll­ten frühzei­tig um­ge­setzt wer­den, da­mit kein böses Er­wa­chen droht, so­bald die zuständi­gen Auf­sichts­behörden die Ein­hal­tung des AI Act über­wa­chen und überprüfen.

Hin­weis: An­fang Juni 2024 fin­den in Ham­burg, Köln und Stutt­gart im Rah­men der Ver­an­stal­tungs­reihe „Fo­kus Recht“ Präsenz­ver­an­stal­tun­gen zum Thema „Künst­li­che In­tel­li­genz“ im Mit­tel­stand statt. Sven Körner, Au­tor, Gründer und KI-For­scher, wird einen Im­puls­vor­trag hal­ten. Im An­schluss stel­len die IT-Rechts-Ex­per­ten von RSM Eb­ner Stolz die recht­li­chen Rah­men­be­din­gun­gen im Kon­text mit der Um­set­zung in­no­va­ti­ver KI-Pro­jekte dar. Wei­tere In­for­ma­tio­nen zu die­sen Ver­an­stal­tun­gen so­wie An­mel­demöglich­kei­ten fin­den Sie in Kürze hier.

Zu­dem fin­den Sie hier Lau­rent Meis­ter im Ge­spräch zu die­sem Thema mit Rolf Ben­zmann in ei­ner Sen­dung bei Re­gio TV Chef­sa­che.