Künstliche Intelligenz (KI) hat in den vergangenen Jahren Einzug in viele Unternehmen gehalten. So werden Techniken zu Data Analytics oder Machine Learning eingesetzt, um beispielsweise Zeit und Kosten zu sparen oder Geschäftsprozesse zu automatisieren. Spätestens die jüngste Veröffentlichung von ChatGPT hat das Thema KI einem breiten Publikum zugänglich gemacht. Von der KI generierte falsche Informationen oder Urheberrechtsfragen zeigen aber mögliche Risiken auf. Die Sicherheit und Freiheit, also Grundrechte der Menschen, dürfen durch KI-Systeme nicht eingeschränkt werden. Ein pflichtbewusster Umgang mit dieser Technologie ist ebenso wichtig wie ein rechtlicher Rahmen.

Regeln für KI: Was künftig erlaubt ist – und was nicht

Die Notwendigkeit der Regulierung wurde bereits von vielen Ländern erkannt. So haben die USA diverse Regelungen zum KI-Risikomanagement vorgesehen, inklusive einer „Executive Order“. China adressiert KI-Systeme mit allgemeinem Verwendungszweck mit entsprechenden administrativen Maßnahmen. Die EU widmet dem Thema eine eigene Strategie für künstliche Intelligenz, inklusive „Data Act“ (Anforderungen an Daten), „Data Governance Act“ (Anforderungen an Datenaustausch) und AI Act (Deutsch „KI-Verordnung“, Anforderungen an Systeme, auch KI-Gesetz genannt).

Im Mai 2024 haben die EU-Länder den EU AI Act endgültig verabschiedet und beschlossen. Die Verordnung gilt als das erste KI-Gesetz weltweit. Die Verordnung tritt 20 Tage nach ihrer Veröffentlichung im Amtsblatt der EU in Kraft und ist – bis auf einige Ausnahmen – 24 Monate nach ihrem Inkrafttreten uneingeschränkt anzuwenden. Ausnahmen gelten für KI mit unakzeptabel hohem Risiko (sechs Monate nach Inkrafttreten), Verhaltenskodizes (neun Monate), Regeln für KI mit allgemeinem Verwendungszweck (Englisch „General Purpose AI“, zwölf Monate) und Verpflichtungen für KI mit hohem Risiko (36 Monate nach Inkrafttreten).

AI Act der EU – diese vier Risikokategorien gibt es:

1. Unakzeptabel hohes Risiko: Anwendungen oder KI-Systeme, die soziales Verhalten bewerten, Menschen beeinflussen oder ihre Schwächen ausnutzen und damit zu einer Benachteiligung oder Bedrohung dieser führen. Der Einsatz dieser Technologien ist verboten (mit Ausnahmen zu Strafverfolgungszwecken).
2. Hohes Risiko: Anwendungen, die nicht explizit verboten sind und ein hohes Risiko hinsichtlich der Grundrechte, Sicherheit und Gesundheit natürlicher Personen darstellen. Der Einsatz dieser Technologien ist durch umfangreiche Anforderungen im AI Act geregelt.
3. Mittleres Risiko: KI-Systeme, die mit natürlichen Personen interagieren, müssen die betroffenen Personen darüber informieren (sogenannte „Transparenz- und Informationspflichten“).
4. Geringes Risiko: Unternehmen die KI-Systeme einsetzen, welche nicht explizit den Anforderungen des AI Acts unterliegen, werden freiwillige Verhaltenskodizes nahegelegt, die den Einsatz von KI adäquat regeln sollen. Zusätzlich wird Unternehmen generell auferlegt, Mitarbeitende hinsichtlich KI zu schulen (Englisch „AI Literacy“).

KI-Systeme mit allgemeinem Verwendungszweck und die Modelle, auf denen sie beruhen (Englisch „Foundation Models“), müssen bestimmte Transparenzanforderungen erfüllen, darunter die Einhaltung des EU-Urheberrechts und die Veröffentlichung detaillierter Zusammenfassungen der für das Training verwendeten Inhalte. Weitere Anforderungen gelten für leistungsfähigere Modelle mit „systemischem Risiko“: Diese müssen gesondert evaluiert und überwacht werden, in engem Austausch mit der EU.

Während die EU strengere Vorschriften für die künstliche Intelligenz vorsieht, sind amerikanische Tech-Konzerne wie Microsoft, Google und Meta, aber auch chinesische Wettbewerber weiterhin Innovationstreiber in diesem Bereich. Das liegt nicht zuletzt daran, dass diese oft nach dem Motto „Innovate first, regulate second“ handeln (können). Kritiker:innen befürchten, dass durch eine strenge Auslegung des AI Acts Unternehmen weniger Anreize haben werden, auf diese Technologien zu setzen, was zu einem empfindlichen Nachteil im globalen Wettbewerb führen könnte. Dem versucht die EU mit entsprechenden Maßnahmen zur Innovationsförderung und Ausnahmen für Forschung und Open Source entgegenzuwirken. Daneben sollen aber auch Verbraucherrechte gestärkt werden durch die Möglichkeit Beschwerden einzureichen und aussagekräftige Erklärungen einzufordern.

Haben Sie zu Fragen rund um das Thema „AI Governance“? Sprechen Sie uns gerne an. Weitere Informationen finden Sie hier.

Welche Auswirkungen hat der AI Act auf europäische Unternehmen?

Der AI Act führt zu weitrechenden Folgen für Unternehmen und Nutzer:innen. Im Vordergrund stehen umfangreiche administrative Anforderungen, wie zum Beispiel ein effektives Risikomanagement oder auch die Sicherstellung von Qualität, (technischer) Dokumentation und proaktiver Information. Wichtig sind dabei auch die Überwachung und rechtzeitiges Eingreifen während des Betriebs. Zudem möchte die EU Innovation fördern durch Testlabore, die von nationalen Behörden eingerichtet werden, um KI zu entwickeln und zu trainieren, bevor sie auf den Markt kommt.

Auch wird die operative, technische Umsetzung eine große Rolle spielen – und diese ist nicht durch den AI Act geregelt. Diese kann anspruchsvoll und mit entsprechenden Kosten verbunden sein. Die unspezifischen Anforderungen lassen einerseits Fragen offen und führen auch mit Blick auf eventuelle Sanktionen zu Unsicherheiten. Andererseits bieten die allgemeinen Formulierungen für Unternehmen auch Gestaltungsspielraum.