Der AI (Act) Guide

Am 1. August 2024 ist der AI Act nach einem längeren Tauziehen in Kraft getreten. Mit dem Gesetzgebungs-Tracker von Taylor Wessing können Sie das Gesetzgebungsverfahren nachvollziehen und sich die wichtigsten Dokumente anschauen.

Ein KI-System ist laut Art. 3 Nr. 1 AI Act ein maschinengestütztes System, das mit unterschiedlichem Autonomiegrad operiert, nach seiner Einführung anpassungsfähig sein kann und Eingaben verarbeitet, um Vorhersagen, Entscheidungen oder Empfehlungen zu erzeugen, die physische oder virtuelle Umgebungen beeinflussen. Diese Definition basiert auf der OECD-Definition und wurde bewusst gewählt, um international anschlussfähig zu sein und eine einheitliche Bewertung von KI-Systemen in der EU und darüber hinaus zu ermöglichen.

GPAI steht für "General Purpose Artificial Intelligence" – also KI mit allgemeinem Verwendungszweck. Dazu zählen Modelle, die nicht für eine einzelne Aufgabe entwickelt wurden, sondern für verschiedene Einsatzszenarien geeignet sind. Ein Beispiel ist ein Sprachmodell, das in Chatbots, Übersetzungsdiensten, Textklassifizierungen oder Code-Generatoren gleichermaßen funktionieren kann.

Der AI Act verbietet gemäß Art. 5 ausdrücklich den Einsatz von KI-Systemen, die mit den Grundwerten der EU unvereinbar sind. Dazu zählen etwa:

• Systeme, die Menschen durch unterschwellige Techniken manipulieren
• Social Scoring
• Echtzeit-Biometrie im öffentlichen Raum ohne gesetzliche Ausnahme
• Emotionserkennung im bildungs- oder arbeitsbezogenen Kontext
• Systeme, die Schwächen von Menschen zu deren Nachteil ausnutzen.

Diese Anwendungen gelten als unannehmbar risikobehaftet und müssen spätestens sechs Monate nach Inkrafttreten der Verordnung abgeschaltet oder vom Markt genommen werden.

Ein KI-System wird als hochriskant eingestuft, wenn es gemäß Art. 6 AI Act und Anhang III in sensiblen Anwendungsbereichen verwendet wird und eine erhebliche Auswirkung auf Gesundheit, Sicherheit oder Grundrechte entfalten kann. Dazu zählen u.a. KI-Systeme zur biometrischen Identifizierung, in der kritischen Infrastruktur, im Arbeitsumfeld, in Bildungs- und Prüfungssystemen oder in Polizei und Justiz. Die Anforderungen an solche Systeme sind besonders hoch und zielen darauf ab, Risiken frühzeitig zu erkennen und zu kontrollieren.

Die KI-Verordnung wurde am 1. August 2024 im Amtsblatt der Europäischen Union veröffentlicht und ist zu diesem Zeitpunkt auch formell in Kraft getreten. Die Anwendung erfolgt jedoch stufenweise: Verbotene KI-Systeme müssen ab Februar 2025 abgeschaltet werden, GPAI-Systeme unterliegen ab August 2025 bestimmten Anforderungen. Die Pflichten für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 iVm Anhang III AI Act greifen ab August 2026. Regelungen für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 AI Act gelten ab August 2027. Die Staffelung soll Unternehmen und Behörden ausreichend Zeit geben, sich auf die Regelungen vorzubereiten.

Die Konformitätsbewertung ist ein Verfahren, mit dem Anbieter die Einhaltung der Anforderungen aus dem AI Act prüfen und nachweisen. Sie umfasst u.a. technische Dokumentation, Risikobewertung, Qualität der Trainingsdaten, Cybersicherheit, Transparenzfunktionen und menschliche Aufsicht.

KI-Reallabore nach Art. 57 ff. des AI Act sind von den zuständigen Behörden eingerichtete kontrollierte Umgebungen, in denen innovative KI-Systeme für einen begrenzten Zeitraum unter regulatorischer Aufsicht entwickelt, trainiert, getestet und validiert werden können. Zweck dieser KI-Reallabore ist es, Innovation zu fördern, Rechtssicherheit für Unternehmen zu schaffen, regulatorisches Lernen zu ermöglichen, Erfahrungen zu sammeln und insbesondere kleinen und mittleren Unternehmen (KMU) den Marktzugang zu erleichtern. Dabei wird auch die Einhaltung der Anforderungen der KI-Verordnung und anderer relevanter Vorschriften in der Praxis geprüft und begleitet.

Der AI Act enthält in unterschiedlichen Abschnitten spezifische Transparenzanforderungen für Anbieter von KI-Systemen. Diese Anforderungen unterscheiden sich je nach Risikokategorie des Systems und richten sich vor allem an die jeweiligen Nutzer und ggf. zuständige Behörden.

Für KI-Systeme, mit denen Menschen interagieren, gilt insbesondere, dass Nutzer klar, verständlich und rechtzeitig darüber informiert werden müssen, dass sie mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich oder aus dem Nutzungskontext ersichtlich ist (Art. 52 Abs. 1 AI Act).

Für Hochrisiko-KI-Systeme gelten erweiterte Pflichten:

• Es muss eine technische Dokumentation erstellt und bereitgestellt werden, die eine Beschreibung der Systemfunktionalität einschließlich des vorgesehenen Zwecks und der Grenzen enthält (Art. 13 AI Act).
• Anbieter sind verpflichtet, den Nutzern Anleitungen zur Verfügung zu stellen, aus denen insbesondere die Eigenschaften, Fähigkeiten und Beschränkungen des Systems in Bezug auf Genauigkeit, Robustheit, Cybersicherheit sowie bekannte Risiken und – sofern zutreffend – mögliche Fehlerraten hervorgehen.
• Darüber hinaus ist die Funktionsweise und Entscheidungslogik des Systems in einer für die vorgesehenen Nutzer verständlichen Weise zu erklären. Hierbei geht es um ein ausreichendes Maß an Nachvollziehbarkeit, nicht um die Offenlegung vollständiger technischer Details oder des Algorithmus.

Die Transparenzanforderungen beziehen sich primär auf die Information der Nutzer und zuständiger Aufsichtsbehörden; eine vollständige Offenlegung gegenüber der Allgemeinheit ist durch die KI-Verordnung nicht immer vorgesehen.

Ja, dies ergibt sich aus Art. 4 AI Act. Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass alle Personen, die mit dem System arbeiten, entsprechend geschult sind. Diese Schulungen müssen praxisnah auf die jeweilige Anwendung zugeschnitten sein und Aspekte wie Risikoverständnis, Überwachung, Eingriffsmöglichkeiten und Notfallmaßnahmen abdecken.

Sobald ein KI-System auf dem EU-Markt bereitgestellt oder betrieben wird, gilt der AI Act unabhängig vom Ort der Entwicklung oder dem Sitz des Anbieters. Das schafft gleiche Wettbewerbsbedingungen und schützt EU-Bürgerinnen und -Bürger vor unsicheren KI-Systemen.

Der AI Act gilt gem. Art. 2 Abs. 12 nicht für Open-Source-KI-Systeme, es sei denn:

• das System wird als Hochrisiko- oder verbotenes System genutzt oder
• es handelt sich um ein KI-System mit allgemeinem Verwendungszweck (GPAI).

Der AI Act statuiert einige Ausnahmen für Open-Source-KI-Systeme, wie z.B. die Befreiung von Transparenzpflichten unter bestimmten Voraussetzungen.

Der AI Act sieht hohe Geldbußen und weitere Maßnahmen bei Verstößen vor:

• Bis zu 35 Mio € oder 7 % des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken (Art. 5 AI Act).
• Bis zu 15 Mio. € oder 3 % Umsatz bei Verstößen gegen zentrale Pflichten (z.B. Anbieter-, Betreiber- oder Transparenzpflichten).
• Bis zu 7,5 Mio. € oder 1 % Umsatz bei falschen oder irreführenden Auskünften gegenüber Behörden.

Für KMU und Start-ups gelten in jedem Fall die niedrigeren Beträge.

Die genaue Höhe hängt vom Einzelfall ab, z.B. Schwere des Verstoßes, Vorsatz, Kooperation mit Behörden und Schadensausmaß.

Das AI Office (dt.: Büro für Künstliche Intelligenz) ist eine spezialisierte Stelle innerhalb der EU-Kommission. Es koordiniert die Umsetzung der Verordnung, unterstützt nationale Behörden und führt Prüfungen durch. Seine Aufgaben sind in Art. 66 AI Act geregelt.