Mit dem „Artificial Intelligence Act“ (AI-Act) versucht die Europäische Union durch regulatorische Überwachungsanforderungen für KI-Systeme mögliche Risiken wie der Diskriminierung, Einschränkungen zur freien Meinungsäußerung, dem Missbrauch personenbezogener Daten sowie die Privatsphäre des Einzelnen und der Menschenwürde vorzubeugen.
Der AI-Act wird für alle Unternehmen im EU-Raum gelten. Die Europäische Union hat sich für den Ansatz der Risikoanalyse entschieden: Unternehmen, welche ein KI-System verwenden, sind dazu verpflichtet, das damit einhergehende Risiko zu bewerten, zu dokumentieren und gegenüber der zuständigen Behörde des jeweiligen Mitgliedsstaates eine Mitteilung vorzunehmen. Da es sich um eine Verordnung handelt, gilt diese unmittelbar in jedem Mitgliedsstaat der Europäischen Union und bedarf keines nationalen Umsetzungsaktes.
Die EU nimmt eine Kategorisierung der KI-Systeme in unterschiedliche Risikoklassen vor. Ausgehend von der Risikoklasse werden an die Unternehmen spezifische Anforderungen formuliert, welche von diesen bei Verwendung eines solchen KI-Systems einzuhalten sind:
- Unannehmbares Risiko
Dies sind Systeme, die automatisch verboten sind. Unternehmen können solche KI-Systeme nicht einsetzen, bereitstellen, in den Verkehr bringen oder verwenden, z.B.
- biometrische Identifikationssysteme in Echtzeit
- gezieltes Auslesen von Gesichtern und Erstellen von Datenbanken zur Gesichtserkennung
- Systeme, die Rückschlüsse auf menschliche Emotionen zum Zweck des Social Scoring oder der kognitiven Verhaltensmanipulation zulassen (am Arbeitsplatz und in Bildungseinrichtungen)
- Hohes Risiko
Hochrisiko-KI-Systeme erfordern unternehmerseitige Pflichten als Anbieter und Betreiber, wie Dokumentation und Aufbewahrung oder Benennung eines Bevollmächtigten etc. Folgende Systeme gelten als hochriskant:
- Entscheidungen über den Zugang oder die Zuweisung natürlicher Personen zu Einrichtungen der allgemeinen und beruflichen Bildung
- Bewertung von Schülern solcher Einrichtungen
- Personalbeschaffung, Personalentscheidungen hinsichtlich Beförderungen oder Kündigung von Arbeitsverhältnissen und Arbeitsanweisungen
- Überwachung und Bewertung der Leistung und des Verhaltens von Arbeitnehmern
- Prüfungen, z.B. Kreditwürdigkeit
- Begrenztes Risiko
Bei diesen KI-Systemen wie z.B. Chatbots sind lediglich Transparenz- und Informationspflichten zu erfüllen. Der Nutzer soll wissen, dass er mit einem KI-System interagiert. Von einem KI-System generierte Audio‑, Video- und Fotoaufnahmen müssen gekennzeichnet sein.
- Minimales Risiko / Kein Risiko
Bei dieser Kategorie bestehen keinerlei Verpflichtungen. Beispiele wären Empfehlungssysteme oder Spam-Filter.
Die EU-Kommission derzeit davon aus, dass die meisten Systeme in die beiden zuletzt beschriebenen Kategorien fallen. Die meisten Applikationen verwenden keine personenbezogenen Daten oder treffen Vorhersagen mit Einfluss auf Menschen.
Rollen, die der AI-Act vorsieht
Eine weitere Unterscheidung hinsichtlich der Pflichten wird die Rolle sein: Ist man Anbieter, Nutzer oder anderer Beteiligter?
Sanktionen
- Einsatz verbotener KI-Systeme: Geldbußen bis 35 Mio. € oder 7 % des Jahresumsatzes des vorangegangenen Geschäftsjahres
- Verstöße gegen Pflichten oder Transparenzpflichten: Geldbußen bis 15 Mio. € oder 3% des Jahresumsatzes des vorangegangenen Geschäftsjahres
- Falschangaben an Behörden: Geldbußen bis 7,5 Mio. € oder 1 % des Jahresumsatzes des vorangegangenen Geschäftsjahres
Gültigkeit der Verordnung
- Seit 2. August 2024: Verordnung ist in Kraft getreten und wird sukzessive zur Anwendung gebracht
- Ab 2. Februar 2025: Verbotene KI-Systeme → Geldbußen bei Verstößen
- Ab 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck
- Ab 2. August 2026: Verordnung grundsätzlich anwendbar
- Ab 2. August 2027: Vorschriften für Hochrisiko-KI-Systeme (gilt nur für Anhang I des AI-Act)
Hinweis
Für die meisten Anbieter und Betreiber wird der 2. August 2025 relevant sein, da zu diesem Stichtag sichergestellt sein sollte, dass die vorgesehenen Pflichten eingehalten werden. Hinsichtlich der Anbieter von Hochrisiko-KI-Systemen wird man Prozesse definieren müssen für das systematische Identifizieren, Bewerten und den Umgang mit gefundenen Risiken. Dies kann zu Anpassungen der Systeme führen, um Protokollierungen oder Funktionen zu ermöglichen, wodurch der Nutzer der Anwendung widersprechen kann.
Unsere Empfehlungen für Unternehmen
- Analysen der KI-Systeme auf Konformität durchführen
- Richtlinien und Verhaltenskodex im Umgang mit KI-Systemen implementieren
- Anpassung der internen Prozesse an die Vorgaben des AI-Acts
- fortlaufende Überprüfung, ob die Anforderungen des AI-Acts bereits durch vorhandene Regularien (Überprüfungszyklen, technologische Anpassungen an Entwicklungen und regulatorische Änderungen, fortlaufende Schulungen) erfüllt werden oder entsprechender Handlungsbedarf besteht
- Aufbau eines unternehmensinternes Knowhows zu Datenstrategien und Risikomanagement (Notfall- und Eskalationsprozesse)
- Test von KI-Systemen in Sandbox-Umgebungen vor Einsatz in der Praxis
Quelle: Vorschriften für künstliche Intelligenz (AI-Act)
Weitere Nachrichten …
