Der EU AI Act - die KI-Verordnung der Europäischen Union zur Regulierung von künstlicher Intelligenz

Im AI Act versucht die EU, sowohl die Interessen von Unternehmen und staatlichen Behörden, die KI-Systeme innerhalb der EU anbieten und einsetzen, als auch die Grundrechte und Interessen der EU-Bürger und EU-Bürgerinnen, die mit KI-basierten Anwendungen in Berührung kommen, zu berücksichtigen und in Einklang zu bringen.

Gemäß Artikel 2 des AI Acts gelten die Regelungen für alle innerhalb der EU, unabhängig vom Sitz des Betreibers oder dem Ort, wo die KI-basierten Systeme hergestellt oder betrieben werden. Außerdem gelten die Regeln nicht für Systeme, die in der EU entwickelt wurden, aber außerhalb der EU zum Einsatz kommen. Die Verordnung hat keine Gültigkeit für:

• KI-Systeme, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie z.B. die Zuständigkeiten der einzelnen Mitgliedstaaten im Bereich der nationalen Sicherheit
• KI-Systeme, wenn diese ausschließlich für militärische, verteidigungspolitische oder nationale Sicherheitszwecke angewendet, betrieben bzw. verändert oder unverändert genutzt werden
• KI-Systeme, die von ausländischen Behörden oder internationalen Organisationen für die Strafverfolgung und die justizielle Zusammenarbeit eingesetzt werden, sofern sie nicht gegen die Rechte des Einzelnen verstoßen
• KI-Systeme, die für wissenschaftliche Forschung und Entwicklung eingesetzt werden
• KI-Systeme, die noch gar nicht auf dem Markt sind
• Einzelpersonen, die KI-Systeme für persönliche, nicht berufliche Aktivitäten nutzen
• sowie für KI-Systeme, die unter Open-Source-Lizenzen veröffentlicht werden, außer sie sind hochriskant oder fallen daher unter bestimmte Einschränkungen oder Schutzbestimmungen der Verordnung.^[4]

^{Abbildung: (Quelle: Foto von Igor Omilaev auf Unsplash)}

Ein risikobasierter Ansatz zur Bewertung von KI-Systemen

Den Kern der KI-Verordnung bildet die Klassifizierung der KI-Systeme nach Risikoklassen. Dieser risikobasierte Ansatz bewertet die KI-Systeme nach ihrem Risiko für die Sicherheit, Gesundheit und Grundrechte von Menschen. Dabei werden im AI Act vier Risikostufen definiert und voneinander abgegrenzt.^[5]

Stufe 1: KI-Verbote - unannehmbares Risiko

In Artikel 5 des zweiten Kapitels werden KI-Systeme aufgezählt, die gemäß der Verordnung ein unannehmbares Risiko darstellen und daher verboten sind. Dazu zählen KI-Systeme, die

• unterschwellige, manipulative oder täuschende Techniken einsetzen, um Entscheidungen bzw. das Verhalten von Personen gezielt zu manipulieren, wodurch mit hoher Wahrscheinlichkeit ein erheblicher Schaden für die Betroffenen entstehen kann.
• Schwächen von Personen oder ganzen Personengruppen (z.B. Alter, Behinderungen, sozioökonomische Verhältnisse) nutzen, um ein bestimmtes Verhalten zu bewirken und die daraus entstandenen Schäden bewusst in Kauf nehmen.
• biometrische Kategorisierungssysteme beinhalten, die Rückschlüsse auf sensible Merkmale wie Rasse, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse/philosophische Überzeugungen oder sexuelle Ausrichtung zulassen. Ausgenommen sind rechtmäßig erworbene biometrische Datensätze wie z.B. Bilder oder die Kategorisierung biometrischer Daten durch die Strafverfolgungsbehörden.
• zur nachteiligen Bewertung oder Klassifizierung von Personen oder Personengruppen nach Sozialverhalten oder persönlichen Eigenschaften eingesetzt werden.
• die zur Risikobewertung dienen, um Profile zu erstellen, ob und wie wahrscheinlich natürliche Personen Straftaten begehen werden.
• die Datenbanken zur Gesichtserkennung aus dem Internet oder aus Aufnahmen der Videoüberwachung erstellen oder erweitern.
• zum Zweck eingerichtet werden, um Emotionen am Arbeitsplatz oder in Bildungseinrichtungen ableiten zu können, ausgenommen sie werden bewusst aus medizinischen oder Sicherheitsgründen eingesetzt.
• zum Zweck der Strafverfolgung eine biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen verwenden. Dies gilt nicht für bestimmte Tatbestände, wie die Suche nach vermissten Personen, Entführungsopfern, Opfer von Menschenhandel oder sexueller Ausbeutung, die Verhinderung einer erheblichen und unmittelbaren Bedrohung des Lebens oder eines vorhersehbaren terroristischen Angriffs sowie die Identifizierung von Verdächtigen bei schweren Straftaten.

Stufe 2: KI-Systeme mit hohem Risiko

Die Einstufung von KI-Systemen mit hohem Risiko nimmt einen beträchtlichen Teil der Verordnung ein. Abgesehen von den Artikel 6 bis 27 in den Abschnitten 1 bis 3 des dritten Kapitels, bezieht sich der Anhang I auf die Harmonisierungsrechtsvorschriften der Union, die in Artikel 6 festsetzt, unter welchen Bedingungen ein KI-System mit hohem Risiko eingestuft wird. In Anhang III werden AI-System mit hohem Risiko im Sinne des Artikel 6 Absatz 2 aufgezählt. Demnach sind hochriskante AI-Systeme, wenn sie zu den Bereichen Biometrie, kritische Infrastrukturen, allgemeine und berufliche Bildung, Beschäftigung, Beschäftigung, Arbeitnehmermanagement, Zugang zur Selbstständigkeit, Dienstleistungen, Strafverfolgung, Migration und Justiz zählen. Auch werden Fälle der biometrischen Identitätsprüfung, zur Aufdeckung von Finanzbetrug oder zur Organisation politischer Kampagnen als Ausnahme, genannt.

Für als hoch riskant eingestufte KI-Systeme müssen die Anbieter und Betreiber, gemäß den Artikeln 8 bis 17, umfangreiche Verpflichtungen hinsichtlich Risikomanagement, Daten- und Datenverwaltung, technische Dokumentation, Transparenz, Protokollierung, menschliche Überwachung, Konformitätsbewertung und Cybersicherheit erfüllen. In Folge hat im Zusammenhang mit KI-Systemen zusätzlich auch immer eine Bewertung der Auswirkungen auf  die Grundrechte zu erfolgen.

Stufe 3: KI-Systeme mit spezifischem Risiko und besonderen Transparenzpflichten

Eine weitere Risikoklassifizierung betrifft Anbieter bestimmter KI-Systeme und GPAI-Modelle (GPAI steht für General Purpose AI), die in Artikel 50 zur Transparenz verpflichtet werden und ihre Nutzer über Interaktionen mit KI-Systemen informieren müssen, wie z.B. bei Chatbots oder Deepfakes. Dazu zählen auch biometrische Systeme, sofern sie nicht unter die verbotenen Systeme fallen.

In Artikel 53 enthält der AI Act spezielle Regeln für die Entwicklung und den Einsatz von GPAI-Modellen. Die Anbieter und Entwickler dieser KI-Modelle sind verpflichtet, detaillierte Aufzeichnungen über die Entwicklung und die Tests ihrer KI zu führen. Diese Informationen müssen mit anderen Unternehmen geteilt werden, die diese nutzen wollen. Ausgenommen von dieser Regelung sind KI-Modelle, die quelloffen sind, außer sie stellen ein systemisches Risiko dar. Die Anbieter von GPAI-Modellen verpflichten sich außerdem zur Zusammenarbeit mit der Kommission und den zuständigen nationalen Behörden.

Stufe 4: KI-Systeme mit minimalem Risiko

Die große Mehrheit der KI-Systeme fällt in die vierte Stufe mit dem geringsten Risiko. Diese KI-Anwendungen sind bisher nahezu unreguliert. Hierzu zählen beispielsweise KI-gestützte Videospiele oder Spam-Filter. Anbieter dieser Systeme können sich freiwillig zu Verhaltenskodizes bekennen.

Quo Vadis - Künstliche Intelligenz in der EU?

Ähnlich der DSGVO (Datenschutz-Grundverordnung) hat die Europäische Union mit dem EU AI Act wieder ein umfassendes Regelwerk geschaffen, um den Einsatz künstlicher Intelligenz zu regulieren. Die EU möchte damit der rasanten Entwicklung auf dem Gebiet der KI Rechnung tragen und den möglichen Nachteilen und Risiken zuvorkommen und Gefahren entschlossen entgegenwirken. Die getroffenen Beschlüsse sind aber nur der Beginn vieler weiterer Maßnahmen, die aufgrund der künftigen Entwicklungen und damit verbundenen Herausforderungen gesetzt werden müssen. Während die einen über die Initiative der EU zur Regulierung der KI bei gleichzeitigem Schutz der Grundrechte erleichtert und zufrieden sind, sehen andere in der Verordnung ein bereits überholtes Regelwerk, das sich zum Nachteil im globalen Wettbewerb, vor allem mit den USA und China, entwickeln könnte. Trotzdem gehen sowohl Datenschützer und Grundrechtsexperten als auch Vertretern der Wirtschaft die Bestimmungen aus ihrer Sicht nicht weit genug bzw. zu weit. Beide Seiten zweifeln an der Zukunftsfähigkeit der bestehenden Verordnung. Besonders kritisch werden die Fristen gesehen, weil die meisten Regeln erst 2026 in Kraft treten werden. Dies wird dazu führen, dass aufgrund der schnellen Entwicklungen auf dem Gebiet der KI, eine Vielzahl der Regeln schon wieder überholt sein wird.

Die Praxis wird weisen, wo mögliche Schlupflöcher in den Bestimmungen liegen, ob die Risiken hinsichtlich der Wahrung von Grundrechten wirklich minimiert werden können, welche Auswirkungen die Verordnung für Anbieter und Betreiber von KI-Systemen haben werden und wie sich die Rolle Europas im globalen Wettbewerb entwickeln wird.