Die meisten Unternehmen, die erste Schritte im Bereich der KI unternehmen, werden von dem neuen EU-KI-Gesetz nicht wesentlich betroffen sein – zumindest zunächst nicht. Dennoch müssen sie sich damit noch eingehender befassen, denn selbst scheinbar geringfügige Anwendungen von KI könnten Transparenzanforderungen und Risikobewertungen unterliegen.
Das Gesetz über den „ “ ( ) wurde am 13. März vom Europäischen Parlament verabschiedet; die Zustimmung des EU-Rates wird noch in diesem Monat erwartet, wobei das Gesetz voraussichtlich Ende Mai oder Anfang Juni in Kraft treten wird.
Das EU-KI-Gesetz schafft einen risikobasierten Rechtsrahmen, der die Entwicklung, den Einsatz und die Nutzung von KI-Systemen mit „ “ in Europa regeln wird; die Vorschriften treten schrittweise zwischen 2024 und 2026 in Kraft. Unternehmen, die die Vorschriften missachten oder anderweitig gegen sie verstoßen, müssen mit Geldbußen in Höhe von bis zu 7 % ihres weltweiten Umsatzes rechnen.
„Wenn Sie über ein KI-System verfügen, das in irgendeiner Weise Auswirkungen auf Europa hat, müssen Sie sich mit dem EU-KI-Gesetz auseinandersetzen“, sagt Gretchen Scott, Partnerin im Bereich Technologie in der Londoner Niederlassung der Anwaltskanzlei Goodwin Law.
Wie hoch ist Ihr KI-Risikoniveau? Das EU-KI-Gesetz setzt voraus, dass Sie Folgendes wissen
Rechtsanwälte empfehlen, mehrere Schritte zu unternehmen, um Ihre Rechtslage zu beurteilen.
“„Wenn Sie über ein KI-System verfügen, das in irgendeiner Weise Auswirkungen auf Europa hat, müssen Sie sich mit dem EU-KI-Gesetz auseinandersetzen.“Gretchen Scott, Partnerin im Bereich Technologie, Goodwin Law
Zunächst, so Scott, sei es wichtig, Ihre Position in der KI-Wertschöpfungskette zu kennen, um festzustellen, ob Sie möglicherweise unter eine der Schlüsselrollen fallen, die das EU-KI-Gesetz regeln soll, wie beispielsweise Anbieter, Betreiber, Vertreiber, Hersteller und Importeure von KI-Systemen.
Anschließend empfiehlt sie, das Risikoniveau Ihres KI-Systems anhand der vier im EU-KI-Gesetz festgelegten Stufen zu bestimmen.
1. Inakzeptables Risiko
Dies ist die Kategorie, in der der Einsatz von KI untersagt ist, der nach Ansicht der EU die Grundrechte der Bürger verletzen oder schutzbedürftige Gruppen ausbeuten würde. Zu den verbotenen KI-Systemen zählen solche, die: durch die Ausnutzung von Schwachstellen erheblichen Schaden verursachen, um das Verhalten zu verzerren; Emotionserkennung am Arbeitsplatz und in Schulen; biometrische Kategorisierungssysteme, die sensible Merkmale nutzen; das Sammeln von Gesichtsbildern aus dem Internet und dem Fernsehen zur Erstellung von Gesichtserkennungsdatenbanken; Social Scoring, prädiktive Polizeiarbeit (siehe , , „Minority Report“, ) sowie KI-Tools, die menschliches Verhalten manipulieren.
2. Hohes Risiko
Sollte Ihr Unternehmen in diese Kategorie fallen, werden Sie mit erheblichen regulatorischen Anforderungen konfrontiert sein. KI-Systeme, die unter die EU-Produktsicherheitsvorschriften fallen (wie Spielzeug, Medizinprodukte und Maschinen), gelten als risikoreich, ebenso wie bestimmte KI-Systeme, die für den Einsatz in kritischen Infrastrukturen, , in der allgemeinen und beruflichen Bildung , im Arbeitsmarkt, in wesentlichen privaten und öffentlichen Dienstleistungen wie dem Gesundheitswesen und dem Bankwesen, in bestimmten Systemen der Strafverfolgung, der Migrations- und Grenzverwaltung sowie in der Justiz und bei demokratischen Prozessen vorgesehen sind.
Unternehmen, die KI-Systeme mit hohem Risiko anbieten, müssen umfassende Risiko- und Qualitätsmanagementprozesse sowie entsprechende Systeme einführen, Risiken bewerten und mindern, Nutzungsprotokolle führen, transparent und genau vorgehen, eine menschliche Aufsicht gewährleisten und Systeme zur Überwachung nach dem Inverkehrbringen einrichten. Gleichzeitig unterliegen diejenigen, die risikoreiche KI-Systeme einsetzen, strengen Verpflichtungen: Sie müssen das KI-System gemäß den Anweisungen des Anbieters nutzen, Folgenabschätzungen durchführen, eine menschliche Aufsicht und Transparenz gewährleisten sowie das System auf Risiken überwachen.
3. Allgemeine künstliche Intelligenz (GPAI)
In dieser Kategorie werden viele bekannte Namen aus dem Bereich der künstlichen Intelligenz behandelt, darunter OpenAI, Google und Microsoft. Im Großen und Ganzen gelten diese als Anwendungen mit geringem Risiko. Da GPAI-Modelle jedoch die Grundlage für viele nachgelagerte KI-Systeme bilden, unterliegen GPAI-Anbieter bestimmten Verpflichtungen – wie beispielsweise der Transparenz –, um ihrer Rolle und ihrer Verantwortung innerhalb des KI-Ökosystems gerecht zu werden.
Eine Flut von Rechtsstreitigkeiten im Bereich des geistigen Eigentums in den USA hat deutlich gemacht, dass das Trainieren von GPAI-Modellen derzeit einem „Wilden Westen“ gleicht – insbesondere im Hinblick auf die angeblich Entlehnung fremder Daten , um KI intelligenter zu machen. Die EU verlangt von Anbietern von GPAI, Richtlinien zur Einhaltung der regionalen Urheberrechtsgesetze umzusetzen und detaillierte Zusammenfassungen der für das Training verwendeten Inhalte zu veröffentlichen. Kostenlose Open-Source-Modelle sind von diesen Anforderungen ausgenommen. Leistungsfähigere GPAI-Modelle, die mit systemischen Risiken verbunden sind, unterliegen strengeren Anforderungen. Scott erklärt, dass Sie, wenn Sie große Sprachmodelle (LLMs) mit weitreichenden Funktionen entwickeln und vertreiben, auch nachweisen müssen, dass Sie regelmäßige Modellbewertungen durchführen, Systemrisiken bewerten und mindern sowie über alle auftretenden Vorfälle berichten, einschließlich Cyberangriffe.
4. Begrenztes Risiko
KI-Systeme, die keiner der anderen Kategorien zuzuordnen sind, unterliegen Transparenzanforderungen, um sicherzustellen, dass den Nutzern bewusst ist, dass sie mit einer KI interagieren oder dass die von ihnen gelesenen Inhalte künstlich generiert wurden. Beispielsweise müssen künstliche oder manipulierte Bilder, Audio- und Videoinhalte (wie Deepfakes) eindeutig als solche gekennzeichnet werden. Unternehmen, die KI entwickeln oder einsetzen, müssen zudem sicherstellen, dass innerhalb ihrer Organisation ein ausreichendes Maß an KI-Kompetenz vorhanden ist.
Ihre Verpflichtungen gemäß dem EU-KI-Gesetz (und die KI-Governance) klären
Sobald Sie Ihre Rolle in der KI-Wertschöpfungskette und die Risikoklassifizierung Ihrer KI-Systeme verstanden haben, können Sie Ihre regulatorischen Verpflichtungen ermitteln. Scott erklärt, dass die meisten KI-Systeme gemäß dem EU-KI-Gesetz weder verboten noch als risikoreich eingestuft werden. „Wir gehen jedoch davon aus, dass die Auswirkungen des EU-KI-Gesetzes weitreichend zu spüren sein werden, da die Unternehmen Maßnahmen ergreifen, um die Risiken im Zusammenhang mit der Entwicklung und dem Einsatz von KI-Systemen zu mindern, die mit dem höchsten regulatorischen Aufwand verbunden sind“, sagt sie.
“„Richten Sie eine Arbeitsgruppe oder einen KI-Ausschuss ein, um die Entwicklung bzw. den Einsatz von KI in der Organisation zu bewerten, und stellen Sie sicher, dass wichtige Interessengruppen innerhalb der Organisation einbezogen werden.“Ana Hadnes Bruder, Partnerin bei Mayer Brown
Die Einführung zumindest eines Mindestmaßes an KI-Governance ist entscheidend für die Einhaltung gesetzlicher Vorschriften, sagt Ana Hadnes Bruder, Partnerin bei der Anwaltskanzlei Mayer Brown. Und Unternehmen, deren KI in eine der Hochrisikokategorien fällt, sollten eine solide KI-Governance einführen.
„In der Praxis bedeutet dies, dass Sie eine Arbeitsgruppe oder einen KI-Ausschuss einrichten sollten, um die Entwicklung bzw. den Einsatz von KI in der Organisation zu bewerten und sicherzustellen, dass wichtige Interessengruppen innerhalb der Organisation einbezogen werden“, sagt Bruder, der in Frankfurt am Main ansässig ist und sich auf die Bereiche „ “ (Datenschutz), „ “ (Cybersicherheit) sowie KI-Themen spezialisiert hat. „Und Sie sollten versuchen, diese Gruppe so vielfältig wie möglich zu gestalten , denn unterschiedliche Menschen haben unterschiedliche Sichtweisen, und das ist äußerst wertvoll, um sicherzustellen, dass Sie Voreingenommenheit in Ihrer KI vermeiden.“
Das EU-KI-Gesetz sorgt für weitere Diskussionen – einhalten oder nicht einhalten?
Bruder erklärt, dass eine der zentralen Fragen, die die meisten KI-Ausschüsse unweigerlich aufwerfen werden, darin besteht, ob ihre KI-Implementierungen tatsächlich ein Niveau erreichen, bei dem sie versuchen müssen, die Anforderungen des EU-KI-Gesetzes zu erfüllen. Schließlich kann die Einhaltung von Vorschriften zeitaufwendig und kostspielig sein. Bruder ist jedoch der Ansicht, dass sich die Entwicklung bereits abzeichnet: Diese Verordnung ist erst der Anfang.
„Ich habe meinen Kunden geraten, damit zu rechnen, dass sich die Lage wieder beleben wird“, sagt Bruder.
Zwar gehen Rechtsanwälte nicht davon aus, dass das EU-KI-Gesetz anderswo in ähnlicher Weise übernommen wird wie die Allgemeine Datenschutzverordnung (DSGVO) , doch sind zahlreiche Regierungen bestrebt, die ungebremste Ausbreitung der KI zu verlangsamen. So hat die Biden-Regierung im vergangenen Jahr eine Verordnung mit dem Titel „ “ ( ) unterzeichnet, die Entwickler von KI-Systemen, die die nationale Sicherheit, die Wirtschaft, die öffentliche Gesundheit oder die Sicherheit der USA gefährden könnten, dazu verpflichtet, die Ergebnisse von Sicherheitstests offenzulegen, bevor sie ihre Produkte auf den Markt bringen. Auch die chinesischen Aufsichtsbehörden haben Vorschriften für generative KI erlassen. Im vergangenen Oktober hatten Berichten zufolge 31 Länder Gesetze zur künstlichen Intelligenz verabschiedet, und in 13 weiteren Ländern wurden entsprechende Gesetze diskutiert.
Im Großen und Ganzen haben große KI-Unternehmen solchen Vorschriften nur verhalten zugestimmt, da sie erkennen, dass sie sich diesen Gesetzen nicht entziehen können, und hoffen, Rahmenbedingungen zu schaffen, die ihnen den Fortbestand ihres Unternehmens sichern. Gleichzeitig haben einige führende Persönlichkeiten aus dem Bereich der KI öffentlich ihre Besorgnis darüber zum Ausdruck gebracht, dass Menschen die Kontrolle über eine uneingeschränkte KI verlieren könnten.
Dennoch gab es auch Bedenken, dass Vorschriften die Innovation behindern könnten – etwas, das der Gesetzgeber zu vermeiden suchte, als er in den letzten rund fünf Jahren über die Einzelheiten des EU-KI-Gesetzes verhandelte.
[Lesen Sie auch: Der ultimative Leitfaden zur KI-Cybersicherheit – Vorteile, Risiken und Chancen]
Evi Fuelle, Global Policy Director bei CredoAI, einer Plattform für KI-Governance, ist der Ansicht, dass die endgültige Gesetzgebung in dieser Hinsicht einen guten Mittelweg gefunden hat.
„Das EU-KI-Gesetz hemmt die Innovation nicht, sondern fördert sie“, sagt sie. „Wir sagen oft, dass mangelndes Vertrauen in diesem Ökosystem ein größeres Hindernis darstellt als die Einhaltung von Vorschriften.“
Das EU-KI-Gesetz schafft Sicherheit für Unternehmen, indem es darlegt, welche Anwendungen von KI verboten sind, ein hohes Risiko darstellen oder nur ein minimales bis gar kein Risiko bergen, sowie die entsprechenden Transparenzpflichten für jeden dieser Fälle, so Fuelle.
„Dies gibt Unternehmen die Möglichkeit, mit Sicherheit in verantwortungsvolle KI von Grund auf zu investieren, da sie wissen, dass sich dieser bedeutende Marktplatz nachdrücklich darauf geeinigt hat, den Einsatz oder die Verfügbarkeit risikoreicher KI-Modelle, die weder transparent noch vertrauenswürdig sind, nicht zu akzeptieren“, sagt sie.
