Das bedeutet das EU-Gesetz zur KI

KI birgt das große Versprechen, den Horizont des Erreichbaren zu erweitern und die Welt zu unserem Nutzen zu verändern. Dabei wird der Umgang mit den Risiken und bekannten sowie unbekannten negativen Folgen der KI entscheidend sein. Der AI Act wurde im März 2024 verabschiedet und soll gewährleisten, dass KI-Systeme sicher sind, die Grundrechte respektieren, KI-Investitionen fördern, die Governance verbessern und einen harmonisierten EU-Binnenmarkt für KI fördern.

Die im AI Act enthaltene Definition von KI ist weit gefasst und deckt verschiedene Technologien und Systeme ab. Infolgedessen sind Organisationen in erheblichem Maße von dem AI Act betroffen. Die meisten Verpflichtungen werden Anfang 2026 in Kraft treten. Verbotene KI-Systeme müssen jedoch schon spätestens sechs Monate nach Inkrafttreten des AI Acts aus dem Verkehr gezogen werden. Die Regeln für die allgemeine KI werden Anfang 2025 in Kraft treten.¹

Der AI Act verfolgt einen risikobasierten Ansatz, der KI-Systeme in verschiedene Risikostufen einteilt: unannehmbares, hohes, begrenztes und minimales Risiko.² KI-Systeme mit hohem Risiko sind erlaubt, unterliegen aber den strengsten Auflagen. Diese Verpflichtungen betreffen nicht nur die Nutzenden, sondern auch die sogenannten "Anbieter" von KI-Systemen. Der Begriff "Anbieter" im KI-Gesetz umfasst die Entwickler von KI-Systemen, einschließlich Organisationen, die KI-Systeme für den rein internen Gebrauch entwickeln. Eine Organisation kann dabei sowohl Nutzender als auch Anbieter sein. Anbieter werden das Einhalten strenger Standards in Bezug auf Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht und Robustheit sicherstellen müssen. Die Nutzenden von KI sind dafür verantwortlich, ihre KI-Systeme innerhalb der rechtlichen Grenzen des KI-Gesetzes und gemäß den spezifischen Anweisungen des Anbieters zu betreiben (geteilte Verantwortung). Dazu gehören Verpflichtungen in Bezug auf den beabsichtigten Zweck und die Anwendungsfälle, die Datenverarbeitung, die menschliche Aufsicht und die Überwachung.

Es wurden neue Bestimmungen hinzugefügt, um den jüngsten Fortschritten bei sog. General-Purpose-AI-Systemen (GPAI), einschließlich großer generativer KI-Modelle, wie GPT, Rechnung zu tragen.³ Diese Modelle können für eine Vielzahl von Aufgaben verwendet und in eine große Anzahl von KI-Systemen, einschließlich Hochrisikosystemen, integriert werden. Sie bilden zunehmend die Grundlage für viele KI-Systeme in der EU. Um dem breiten Aufgabenspektrum von KI-Systemen und der raschen Ausweitung ihrer Fähigkeiten Rechnung zu tragen, wurde vereinbart, dass GPAI-Systeme und die Modelle, auf denen sie basieren, Transparenzanforderungen erfüllen müssen. Darüber hinaus werden für GPAI-Modelle, die eine höhere Komplexität, Fähigkeiten und Leistung aufweisen, strengere Auflagen gelten. Dieser Ansatz wird dazu beitragen, systemische Risiken zu mindern, die durch den weit verbreiteten Einsatz dieser Modelle entstehen können.⁴

Bestehende EU-Gesetze, zum Beispiel über personenbezogene Daten, Produktsicherheit, Verbraucherschutz, Sozialpolitik und nationales Arbeitsrecht und -praxis, gelten weiterhin. Gleiches gilt für die sektoralen Rechtsakte der Europäischen Union. Das Einhalten des AI Acts entbindet die Organisationen nicht von ihren bereits bestehenden rechtlichen Verpflichtungen in diesen Bereichen.

Was Sie jetzt tun müssen:

Inventarisierung: Unternehmen sollten sich die Zeit nehmen, eine Übersicht über die von ihnen entwickelten und genutzten KI-Systeme zu erstellen.

Kategorisierung: Diese KI-Systeme sind dann entsprechend der Risikostufen gemäß der Definition im AI Act zu kategorisieren.

Bewertung: Wenn eines der untersuchten KI-Systeme in die Kategorie der begrenzten, hohen oder inakzeptablen Risiken fällt, müssen Sie die Auswirkungen des AI Acts auf Ihre Organisation bewerten.

Umsetzung: Für die betroffenen KI-Systeme sind entsprechend dem AI Act zusätzliche Maßnahmen zur Abbildung angemessener Governance und Compliance umzusetzen.