Die meisten Unternehmen, die ihre Zehen in KI-Gewässer tauchen, werden durch den neuen EU-KI-Gesetz nicht wesentlich beeinträchtigt – zumindest nicht zuerst. Aber sie müssen noch genauer hinsehen, da selbst scheinbar geringfügige Anwendungen von KI Transparenzanforderungen und Risikobewertungen unterliegen könnten.
Die Gesetzgebung wurde vom Europäischen Parlament am verabschiedet 13. März, und die Billigung des EU-Rats wird für diesen Monat erwartet, wobei das formelle Gesetz voraussichtlich Ende Mai oder Anfang Juni in Kraft treten wird.
Der EU AI Act schafft ein risikobasiertes Rahmenwerk, das die Entwicklung, Bereitstellung und Nutzung von KI-Systemen in Europa regelt, wobei die Regeln zwischen 2024 und 2026 schrittweise in Kraft treten. Unternehmen, die die Regeln ignorieren oder anderweitig missachten, können mit Geldstrafen von bis zu 7 % ihrer globalen Einnahmen belegt werden.
„Wenn Sie ein KI-System haben, das Europa in irgendeiner Weise berühren wird, müssen Sie über den EU AI Act nachdenken“, sagt Gretchen Scott, ein Technologiepartner im Londoner Büro von Goodwin Law.
Wie hoch ist Ihr KI-Risikoniveau? Der EU AI Act erwartet von Ihnen, dass Sie
Rechtsanwälte empfehlen, mehrere Schritte zu unternehmen, um Ihr Stehen zu beurteilen.
„Wenn Sie ein KI-System haben, das Europa in irgendeiner Weise berühren wird, müssen Sie über den EU AI Act nachdenken.“Gretchen Scott, Technologiepartner, Goodwin Law
Zunächst, sagt Scott, ist es wichtig, Ihren Platz in der KI-Wertschöpfungskette zu kennen, um zu sehen, ob Sie in eine der Schlüsselrollen fallen könnten, die der EU AI Act regeln möchte, wie Anbieter, Einsatzer, Distributoren, Hersteller und Importeure von KI-Systemen.
Als Nächstes sagt sie, dass Sie das Risikoniveau Ihres KI-Systems basierend auf den vier im EU-KI-Gesetz beschriebenen Ebenen bestimmen sollten.
1. Inakzeptables Risiko
Dies ist die Kategorie, die die Verwendung von KI verbietet, von der die EU glaubt, dass sie grundlegende Bürgerrechte verletzen oder gefährdete Gruppen ausnutzen würde. KI-Systeme, die verboten sind, umfassen solche, die: erhebliche Schäden verursachen, indem sie Schwachstellen ausnutzen, um das Verhalten zu verzerren; Emotionserkennung an Arbeitsplätzen und Schulen; biometrische Kategorisierungssysteme, die sensible Merkmale verwenden; Scraping von Gesichtsbildern aus dem Internet und TV, um Datenbanken zur Gesichtserkennung zu erstellen; soziale Bewertung, prädiktive Überprüfung (denken Sie an den Minderheitsbericht) und KI-Tools, die menschliches Verhalten manipulieren.
2. Hohes Risiko
Wenn Ihr Unternehmen in diese Kategorie fällt, müssen Sie erhebliche regulatorische Anforderungen erfüllen. KI-Systeme, die unter die EU-Produktsicherheitsgesetze fallen (wie Spielzeuge, medizinische Geräte und Maschinen), gelten als hohes Risiko, ebenso wie bestimmte KI-Systeme, die für die Verwendung in kritischer Infrastruktur, Bildung und Berufsausbildung, Beschäftigung, wesentlichen privaten und öffentlichen Dienstleistungen wie Gesundheitswesen und Banken, bestimmten Systemen in Strafverfolgung, Migration und Grenzmanagement sowie Gerechtigkeit und demokratischen Prozessen vorgesehen sind.
Unternehmen, die KI-Systeme mit hohem Risiko bereitstellen, müssen umfassende Risiko- und Qualitätsmanagementprozesse und -systeme implementieren, Risiken bewerten und reduzieren, Nutzungsprotokolle pflegen, transparent und genau sein, die menschliche Aufsicht sicherstellen und Überwachungssysteme nach der Markteinführung einrichten. Währenddessen haben diejenigen, die KI-Systeme mit hohem Risiko verwenden, auch robuste Verpflichtungen, das KI-System gemäß den Anweisungen des Anbieters zu verwenden, Folgenabschätzungen durchzuführen, die menschliche Aufsicht und Transparenz sicherzustellen und das System auf Risiken zu überwachen.
3. Allgemeine KI (GPAI)
Viele bekannte Namen im KI-Bereich werden von dieser Kategorie abgedeckt, einschließlich OpenAI, Google und Microsoft. Meistens gelten diese Anwendungen als Anwendungen mit geringem Risiko. Da jedoch GPAI-Modelle die Grundlage für viele nachgelagerte KI-Systeme bieten, unterliegen GPAI-Anbieter Verpflichtungen, wie z. B. Transparenz, um ihre Rolle und Verantwortlichkeiten innerhalb des KI-Ökosystems zu erkennen.
Eine Flut von Rechtsstreitigkeiten zum geistigen Eigentum in den USA hat hervorgehoben, dass die Schulung von GPAI-Modellen derzeit wie der Wilde Westen ist – insbesondere in Bezug auf die angebliche Ausleihung von Daten anderer Personen , um KI intelligent zu machen. Die EU verlangt von GPAI-Anbietern, Richtlinien zu implementieren, um das regionale Urheberrechtsrecht einzuhalten und detaillierte Zusammenfassungen der Inhalte zu veröffentlichen, die für die Schulung verwendet werden. Freie Open-Source-Modelle sind von diesen Anforderungen ausgenommen. Leistungsstärkere GPAI-Modelle mit systemischem Risiko unterliegen strengeren Anforderungen. Scott sagt, wenn Sie große Sprachmodelle (LLMs) mit hocheffektiven Fähigkeiten erstellen und verteilen, müssen Sie auch nachweisen, dass Sie regelmäßige Modellbewertungen durchführen, Systemrisiken bewerten und mindern und über alle Vorfälle berichten, die auftreten, einschließlich Cyberangriffe.
4. Begrenztes Risiko
KI-Systeme, die nicht in eine der anderen Kategorien fallen, unterliegen Transparenzanforderungen, um sicherzustellen, dass Benutzer wissen, dass sie mit KI interagieren oder dass die Ausgabe, die sie lesen, künstlich generiert wird. Zum Beispiel müssen künstliche oder manipulierte Bilder , Audio- und Videoinhalte (wie Deepfakes) eindeutig als solche gekennzeichnet werden. Unternehmen, die KI entwickeln oder bereitstellen, müssen auch ein ausreichendes Niveau an KI-Kenntnissen in ihrer Organisation sicherstellen.
Aussortieren Ihrer Verpflichtungen nach dem EU AI Act (und KI-Governance)
Sobald Sie Ihre Rolle in der KI-Wertschöpfungskette und die Risikoklassifizierung Ihrer KI-Systeme verstehen, können Sie Ihre regulatorischen Verpflichtungen bestimmen. Scott sagt, dass die meisten KI-Systeme nach dem EU-KI-Gesetz nicht verboten oder als risikoreich eingestuft werden. „Aber wir glauben, dass die Auswirkungen des EU AI Act weit verbreitet sind, da wir sehen, dass Unternehmen Maßnahmen ergreifen, um Risiken im Zusammenhang mit der Entwicklung und Bereitstellung von KI-Systemen zu mindern, die die höchste regulatorische Belastung mit sich bringen“, sagt sie.
„Verfügen Sie über eine Arbeitsgruppe oder einen KI-Ausschuss, um die Entwicklung oder den Einsatz von KI zu bewerten und sicherzustellen, dass wichtige Stakeholder innerhalb der Organisation beteiligt sind.“Ana Hadnes Bruder, Partner, Mayer Brown
Die Einrichtung mindestens eines minimalen Niveaus der KI-Governance ist der Schlüssel zur Compliance, sagt Ana Hadnes Bruder, Partnerin der Anwaltskanzlei Mayer Brown. Und Unternehmen, deren KI in eine Hochrisikokategorie fällt, sollten eine robuste KI-Governance implementieren.
„Was das praktisch bedeutet, ist, dass Sie eine Arbeitsgruppe oder ein KI-Komitee haben sollten, um die Entwicklung oder den Einsatz von KI in der Organisation zu bewerten und sicherzustellen, dass wichtige Stakeholder innerhalb der Organisation beteiligt sind“, sagt Bruder, der in Frankfurt, Deutschland, ansässig ist und sich auf Datenschutz, Cybersicherheit und KI-Angelegenheiten spezialisiert hat. „Und Sie sollten versuchen, diese Gruppe so vielfältig wie möglich zu gestalten, da verschiedene Personen unterschiedliche Standpunkte haben, und das ist wirklich wertvoll, um sicherzustellen, dass Sie Voreingenommenheit in Ihrer KI vermeiden.“
Der EU-KI-Gesetz löst mehr Debatten aus – zur Einhaltung oder Nichteinhaltung
Bruder sagt, eine der wichtigsten Fragen, die die meisten KI-Ausschüsse unweigerlich aufwerfen werden, ist, ob ihre KI-Implementierungen wirklich auf ein Niveau ansteigen, auf dem sie versuchen müssen, die Einhaltung des EU-KI-Gesetzes zu erreichen. Schließlich kann die Einhaltung von Vorschriften zeitaufwändig und kostspielig sein. Aber Bruder glaubt, dass das Schreiben an der Wand liegt: Diese Regelung ist nur der Anfang.
„Ich habe meine Kunden beraten, dass sie damit rechnen sollten“, sagt Bruder.
Tatsächlich erwarten Anwälte zwar nicht, dass der EU AI Act anderswo repliziert wird, wie die Datenschutz-Grundverordnung (DSGVO), aber zahlreiche Regierungen versuchen, die uneingeschränkte Expansion von KI zu verlangsamen. Zum Beispiel hat die Biden-Administration letztes Jahr eine Exekutivanordnung unterzeichnet, in der Entwickler von KI-Systemen, die die nationale Sicherheit der USA, die Wirtschaft, die öffentliche Gesundheit oder die Sicherheit gefährden könnten, aufgefordert werden, Ergebnisse von Sicherheitstests offenzulegen, bevor sie ihre Produkte öffentlich veröffentlichen. Chinesische Aufsichtsbehörden haben auch Regeln für generative KI festgelegt. Mit Stand vom letzten Oktober hatten 31 Länder die KI-Gesetzgebung verabschiedet und 13 weitere diskutierten über KI-Gesetze.
Zum größten Teil haben große KI-Unternehmen solche Vorschriften mit einem lauwarmen Daumen hochgestellt, weil sie erkennen, dass sie diesen Gesetzen nicht entkommen können, und hoffen, Grundregeln zu etablieren, um sie im Geschäft zu halten. Gleichzeitig haben einige KI-Führungskräfte öffentlich Bedenken über das Potenzial geäußert, dass Menschen die Kontrolle über KI ohne Grenzen verlieren könnten.
Dennoch gab es auch Bedenken hinsichtlich Vorschriften, die Innovationen behindern – etwas, das Gesetzgeber vermeiden wollten, während sie in den letzten fünf Jahren Elemente des EU AI Act ausgehandelt haben.
[Lesen Sie auch: Der ultimative Leitfaden für KI-Cybersicherheit – Vorteile, Risiken und Vorteile]
Evi Fuelle, Global Policy Director für CredoAI, eine KI-Governance-Plattform, glaubt, dass die endgültige Gesetzgebung in dieser Hinsicht an einem guten Punkt landete.
„Der EU AI Act stört Innovationen nicht; er fördert sie“, sagt sie. „Wir sagen oft, dass ein Mangel an Vertrauen ein größerer Blocker in diesem Ökosystem ist als Compliance.“
Der EU AI Act gibt Unternehmen Sicherheit, indem er darlegt, welche Verwendungen von KI verboten, risikoreich oder minimal oder kein Risiko sind, und die entsprechenden Transparenzverpflichtungen für jede davon, sagt Fuelle.
„Es gibt Unternehmen die Möglichkeit, mit Sicherheit in verantwortungsvolle KI zu investieren, da sie wissen, dass dieser große Markt vehement zugestimmt hat, dass er die Verwendung oder Verfügbarkeit von KI-Modellen mit hohem Risiko, die nicht transparent und vertrauenswürdig sind, nicht akzeptiert“, sagt sie.
