Das erste KI-Gesetz der Welt – Gesetz über Künstliche Intelligenz / EU AI-Act

Der Einsatz von Künstlicher Intelligenz (KI) ist schon jetzt sowohl beruflich als auch privat von großer Bedeutung und wird in Zukunft immer wichtiger. Um die Sicherheit und das Vertrauen in die Technologie zu stärken, gleichzeitig aber Innovationen zu fördern, bedarf es umfassender Regeln.

Am 1. August 2024 trat das “Gesetz über Künstliche Intelligenz“ in Kraft.  Der vom Europäischen Parlament am 13. März 2024 (www.europarl.europa.eu) verabschiedete sog. „EU AI-Act“ (eur-lex.europa.eu) ist die weltweit erste staatliche Regulierung künstlicher Intelligenz.

Die Verordnung verfolgt einen risikobasierten Ansatz und regelt, wofür KI in der EU verwendet werden darf und unter welchen Bedingungen. Anbieter und KI-Betreiber werden durch das KI- Gesetz stärker in die Pflicht genommen. Unternehmen, die ihren Verpflichtungen nicht nachkommen, müssen mit Bußgeldern rechnen.

Was ist künstliche Intelligenz?

Künstliche Intelligenz oder Artificial Intelligence (AI) ist die Fähigkeit von Maschinen, menschliche Fähigkeiten wie logisches Denken, Lernen, Planen und Kreativität nachzuahmen. KI-Systeme empfangen Daten, verarbeiten sie und reagieren. Durch Analyse und autonomes Arbeiten können sie ihr Handeln anpassen.

Wie ist der EU AI-Act aufgebaut?

Der Anwendungsbereich der Verordnung wird in verschiedene Risikokategorien eingeteilt. Je höher das Risiko bei der Anwendung ist, desto strenger sind die unterschiedlichen Anforderungen für Entwickler, Anwender und Importeure. KI- Systeme mit inakzeptablem Risiko und Hochrisiko- KI- Systeme müssen einem effektiven Risikomanagement unterzogen werden und unterliegen bestimmten Transparenz- und Dokumentationspflichten. So muss die menschliche Kontrolle sichergestellt werden, beispielsweise durch Einrichtung eines Beschwerdesystems.

KI-Systeme mit inakzeptablem Risiko

Hierzu gehören jene Anwendungen, die eine Gefahr für elementare Bürgerrechte darstellen, wie z.B.:

• Systeme zur Emotionserkennung am Arbeitsplatz oder im Bildungsbereich,
• Sozial-Punkte-Systeme (Social Scoring),
• Systeme zur biometrischen Gesichtserkennung (enge Ausnahmen nur im Bereich der Strafverfolgung und Terrorismusbekämpfung und nur unter bestimmten Auflagen wie z.B. der richterlichen Anordnung möglich) sowie
• Systeme, die menschliches Verhalten manipulieren oder die Verletzlichkeit besonders schutzbedürftiger Menschen missbräuchlich ausnutzen.

Hochrisiko-KI-Systeme  

Hierzu gehören KI-Systeme, die ein erhebliches Schadenspotenzial für Demokratie, Gesundheit, Bildung, Umwelt oder Sicherheit beinhalten können, wie z.B.:

• Medizinische Geräte
• Transportsysteme
• KI-Systeme der kritischen Infrastruktur
• KI-Systeme aus Bereichen essenzieller privater und öffentlicher Dienstleistungen (z.B. aus dem Bereich der Banken u. Gesundheitsversorgung)
• KI-Systeme im Bildungsbereich und
• KI-Anwendungen im Rechtswesen.

KI-Systeme mit allgemeinem Verwendungszweck

Allgemein verwendbare KI-Systeme (beispielsweise ChatGPT oder Gemini) unterliegen weniger strengen Anforderungen als andere Risikogruppen. Ungeachtet dessen sind sie im Einklang mit dem Europäischen Urheberrecht transparent und verantwortungsbewusst einzusetzen und es sollten Zusammenfassungen der verwendeten Trainingsdaten verfügbar sein. Für Bilder, Audiodateien und Videos, die durch KI manipuliert wurden, einschließlich sogenannter „deepfakes“, besteht eine deutliche Kennzeichnungspflicht.

Bis wann ist das Gesetz umzusetzen?

Die EU- Mitgliedstaaten müssen das Gesetz in in nationales Recht umsetzen. Das Gesetz ist schrittweise anzuwenden und gilt vollständig nach 24 Monaten. Bis dahin haben die Unternehmen Zeit, Prozesse und Produkte den neuen Anforderungen entsprechend anzupassen.

Einige Regelungen sind verpflichtend zeitnah von den Mitgliedstaaten umzusetzen. Das Verbot von KI-Systemen, die «unannehmbare Risiken» darstellen und als Bedrohung für Menschen eingestuft sind, gilt schon nach einem halben Jahr.

Ein Verhaltenskodex für Anbieter von KI-Modellen soll bis April 2025 fertiggestellt werden, wie die EU-Kommission vor Inkrafttreten des Gesetzes mitteilte.

Im August 2026 müssen dann größtenteils alle Punkte des Gesetzes vollständig umgesetzt sein. Hochriskante Systeme werden hingegen mehr Zeit haben, um die Anforderungen zu erfüllen. Die sie betreffenden Verpflichtungen gelten nach drei Jahren.

Welche Folgen drohen bei Verstößen?

Unternehmen, die ihren Verpflichtungen aus dem AI-Act nicht nachkommen, müssen mit Bußgeldern abhängig von der Art des Verstoßes rechnen:

• Wer verbotene KI-Systeme anbietet, dem drohen Bußgelder in Höhe von bis zu 35 Mio. EUR oder drei Prozent des weltweiten Jahresumsatzes.
• Wer als Entwickler, Anbieter, Betreiber oder Importeur von Hochrisiko-KI-Systemen seine Pflichten nicht erfüllt, kann mit Bußgeldern von bis zu 15 Mio. EUR oder drei Prozent des weltweiten Jahresumsatzes belegt werden.
• Für die Übermittlung falscher oder unvollständiger Informationen an die zuständigen Behörden können Geldbußen von bis zu 7,5 Mio. EUR oder ein Prozent des weltweiten Jahresumsatzes erhoben werden.

Die Entscheidung, ob auf den bestimmten Betrag oder den prozentualen Jahresumsatz abzustellen ist, hängt von der Art des betroffenen Unternehmens ab: Bei KMU soll grundsätzlich die im Ergebnis niedrige Alternative gelten, bei großen Unternehmen hingegen stets die höhere.
 
Für KMU sieht der AI Act die Möglichkeit von „regulatory sandboxes“ vor – das sind Reallabore, die das Testen von Anwendungen in einem abgegrenzten regulierungsfreien Raum unter Aufsicht ermöglichen. Auch KI-Systeme im Bereich der Forschung und Entwicklung genießen einen Sonderstatus.