EU AI Act – Einführung in die neue KI-Verordnung

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von künstlicher Intelligenz. Es schafft einen einheitlichen Rechtsrahmen für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der Europäischen Union. Ziel ist es, Innovation zu fördern und gleichzeitig sicherzustellen, dass KI-Systeme vertrauenswürdig sind und die Grundrechte und die Sicherheit der Menschen schützen.

Die KI-Verordnung gilt für Anbieter:innen, die KI-Systeme entwickeln und auf dem EU-Markt bereitstellen, sowie für Nutzer:innen (Betreiber:innen), die KI im beruflichen Kontext einsetzen. Sie betrifft auch Importeur:innen und Händler:innen. Entscheidend ist die Nutzung in der EU, weshalb auch Unternehmen außerhalb der EU betroffen sein können, deren KI-Anwendungen oder deren Ergebnisse in der EU verwendet werden.

Der EU AI Act wird 24 Monate nach seinem Inkrafttreten am 1. August 2024 vollständig anwendbar sein, also ab August 2026. Allerdings gelten einige Regeln schon früher: Verbote für KI-Systeme mit inakzeptablem Risiko greifen bereits nach 6 Monaten (Februar 2025). Die gestaffelten Fristen geben Unternehmen Zeit, sich auf die neuen Anforderungen vorzubereiten und Compliance sicherzustellen.

Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein: unannehmbares, hohes, begrenztes und minimales Risiko. KI mit unannehmbarem Risiko, wie staatliches Social Scoring, ist verboten. Hochrisiko-Systeme unterliegen strengen Auflagen, während für KI mit begrenztem Risiko, wie Chatbots, Transparenzpflichten gelten. KI-Anwendungen mit minimalem Risiko sind weitgehend unreguliert.

Als Hochrisiko-Systeme gelten KI-Anwendungen, die ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen. Dazu gehören KI-Systeme in kritischen Bereichen wie Medizintechnik, Personalwesen (z.B. Bewerberauswahl), Kreditwürdigkeitsprüfung oder Strafverfolgung. Diese Systeme müssen strenge Anforderungen erfüllen und eine Konformitätsbewertung durchlaufen, bevor sie auf den Markt kommen dürfen.

Der EU AI Act verbietet KI-Systeme mit einem inakzeptablen Risiko für die Grundrechte. Dazu zählen staatliches Social Scoring, das das Verhalten von Bürger:innen bewertet, und KI, die menschliches Verhalten manipulativ beeinflusst. Ebenfalls verboten sind die ungezielte Erfassung von Gesichtsbildern aus dem Internet zur Erstellung von Datenbanken und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.

Unternehmen müssen je nach Risikoklasse ihrer KI-Systeme unterschiedliche Pflichten erfüllen. Für Anbieter:innen von Hochrisiko-KI sind ein Risikomanagementsystem, hohe Datenqualität, technische Dokumentation und menschliche Aufsicht vorgeschrieben. Nutzer:innen von Hochrisiko-Systemen müssen deren Einsatz überwachen und für die KI-Kompetenz ihrer Mitarbeitenden sorgen. Für bestimmte KI-Anwendungen wie Chatbots gelten zudem Transparenzpflichten.

Bei Verstößen gegen den EU AI Act drohen empfindliche Bußgelder, die je nach Schwere des Verstoßes gestaffelt sind. Für die Nutzung verbotener KI-Systeme können Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes verhängt werden. Bei anderen Verstößen, etwa gegen die Pflichten für Hochrisiko-Systeme, sind Bußgelder von bis zu 15 Millionen Euro oder 3 % des Umsatzes möglich.

Der AI Act und die DSGVO sind zwei sich ergänzende Regelwerke: Verarbeitet ein KI-System personenbezogene Daten, müssen beide Verordnungen beachtet werden. Die DSGVO schützt die personenbezogenen Daten, während der AI Act das KI-System selbst reguliert. Der AI Act konkretisiert und erweitert Anforderungen an Datenqualität, Transparenz und Risikobewertung, die auf den Grundsätzen der DSGVO aufbauen.

Die ISO/IEC 42001 ist eine internationale Norm, die einen Rahmen für die Einrichtung und den Betrieb eines KI-Managementsystems (AIMS) vorgibt. Ein solches System hilft Organisationen, die mit KI verbundenen Risiken und Chancen systematisch zu steuern und die verantwortungsvolle Entwicklung und Nutzung von KI sicherzustellen. Es dient als praktischer Ansatz, um die Compliance-Anforderungen des EU AI Act nachweisbar zu erfüllen.