KI-Verordnung Neue EU-Verordnung zur Regulierung von Künstlicher Intelligenz

Am 12. Juli 2024 wurde die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates zur Schaffung einheitlicher Vorschriften für Künstliche Intelligenz (KI) im Amtsblatt der Europäischen Union veröffentlicht. Die Verordnung tritt am 01.08.2024 in Kraft.

Wir geben einen ersten Überblick über das Regelwerk, welches einen im Jahre 2021 gestarteten Gesetzgebungsprozess abschließt und das erste verbindliche Regelwerk für Künstliche Intelligenz darstellt.

Geltungsbereich der Verordnung

Die erste entscheidende Frage für jeden Unternehmer muss sein, ob die KI-Verordnung überhaupt Anwendung findet. Hierzu müssen der sog. sachliche, wie auch der persönliche Geltungsbereich eröffnet sein.

Sachlicher Geltungsbereich

Im Mittelpunkt der Verordnung steht die Definition der künstlichen Intelligenz, die Verordnung spricht hier etwas verwirrend von einem „KI-System“. Nur wenn ein solches KI-System vorliegt, sind die Regelungen der Verordnung überhaupt anwendbar.

Ein KI-System wird dabei in Art. 3 wie folgt definiert:

„KI-System: ein maschinengestütztes System, das für ein in unterschiedlichem Grad  autonomen  Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme  anpassungsfähig  sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können“.

Die wichtigsten Elemente haben wir der Einfachheit halber bereits kenntlich gemacht: Autonomie und Anpassungsfähigkeit.

Die Verordnung hält in Erwägungsgrund Nr. 12 glücklicherweise eine Umschreibung dieser beiden Begriffe bereit:

„KI-Systeme sind mit verschiedenen Graden der  Autonomie  ausgestattet, was bedeutet, dass sie bis zu einem gewissen Grad unabhängig von menschlichem Zutun agieren und in der Lage sind, ohne menschliches Eingreifen zu arbeiten. Die  Anpassungsfähigkeit , die ein KI-System nach Inbetriebnahme aufweisen könnte, bezieht sich auf seine Lernfähigkeit, durch sie es sich während seiner Verwendung verändern kann.“

Trotz dieser Umschreibungen wird es sicherlich nicht immer eindeutig sein, ob der sachliche Geltungsbereich eröffnet ist. Wir raten daher dazu im Zweifel vom Vorliegen eines KI-Systems und damit der Eröffnung des sachlichen Geltungsbereichs auszugehen.

Persönlicher Geltungsbereich

Neben dem sachlichen muss auch der persönliche Geltungsbereich eröffnet sein. Interessant ist hierbei, dass der persönliche Geltungsbereich nicht nur entscheidend für die Frage ist, ob die Verordnung überhaupt Anwendung findet, sondern gleichzeitig auch hauptsächlich bestimmt, welche nachfolgenden Bestimmungen der Verordnung – im Falle der Einschlägigkeit – gelten. Denn nicht für jeden Adressaten geltend dieselben Bestimmungen.

Gemäß Art. 2 Abs. 1 KI-Verordnung umfasst der persönliche Geltungsbereich:

• Anbieter
• Betreiber
• Einführer und Händler
• Produkthersteller
• Bevollmächtigte von Anbietern
• Betroffene Personen

Die spezifischen Adressaten werden in Art. 2 Abs. 1 weiter definiert. Zusammenfassend kann jedenfalls festgehalten werden, dass der persönliche Geltungsbereich sehr weit gefasst ist. Bereits die reine Verwendung eines KI-Systems kann zur Anwendbarkeit der Verordnung führen. So ist „Betreiber“, eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet.

Einteilung in vier Risikoklassen

Ist der Geltungsbereich eröffnet und finden somit die nachstehenden Bestimmungen Anwendung, erfolgt eine risikobasierte Einteilung, wobei die Vorschriften je nach Risikograd und -umfang variieren. Es gibt vier Risikoklassen:

• Verbotene KI-Praktiken
• Hochrisiko-KI-Systeme
• KI-Systeme mit geringem Risiko
• KI-Systeme mit minimalem Risiko

Verbotene Praktiken

Art. 5 der Verordnung listet verbotene Praktiken auf. Systeme, die solche Praktiken anwenden, sind nicht zulässig. Beispielsweise ist es gemäß Art. 5 Abs. 1 lit. a) untersagt, KI-Systeme einzusetzen, die unterschwellige Beeinflussung oder absichtliche Manipulation mit dem Ziel, das Verhalten von Personen zu ändern, nutzen.

Hochrisiko-KI-Systeme

Art. 6 der Verordnung beschreibt die Einstufung von Hochrisiko-KI-Systemen. Die Anhänge I und III sind heranzuziehen, um zu prüfen, ob ein System in diese Kategorie fällt. Eine Ausnahme besteht, wenn kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte besteht (Art. 6 Abs. 3). Hochrisiko-KI-Systeme müssen mehrere Anforderungen erfüllen, darunter:

• Errichtung eines Risikomanagementsystem (Art. 9)
• Etablierung eines Daten-Governance (Art. 10)
• Erstellung einer technischen Dokumentation (Art. 11)
• Aufzeichnungspflichten (Art. 12)
• Anforderungen an Transparenz und die Bereitstellung von Informationen für die Betreiber (Art. 13)
• Anforderungen an die menschliche Aufsicht (Art. 14)
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit (Art. 15)

Die Pflichten variieren zudem je nach Adressat (siehe persönlicher Geltungsbereich). Anbieter von Hochrisiko-KI-Systemen müssen bspw. eine EU-Konformitätserklärung ausstellen und sich selbst sowie das KI-System registrieren (Art. 47, Art. 49 Abs. 1).

Geringes Risiko und minimales Risiko

Für KI-Systeme mit geringem Risiko gelten Transparenzpflichten gemäß Art. 50.

Aufsichtsmechanismen und Sanktionen

Überwachung der Einhaltung

Um die Umsetzung der Verordnung sicherzustellen, gibt es verschiedene Aufsichtsinstanzen. Nationale Behörden (Art. 70) sowie ein Büro für Künstliche Intelligenz (Art. 64) und ein Europäisches Gremium für Künstliche Intelligenz (Art. 65) auf Unionsebene sind dafür zuständig. Die jeweiligen Aufsichtsinstanzen haben unterschiedliche, in der KI-Verordnung festgehaltene Aufgaben.

Sanktionsregelungen

Art. 99 regelt die Sanktionen bei Verstößen. Missachtung der verbotenen Praktiken (Art. 5) kann zu Geldbußen von bis zu 35 Millionen Euro führen (Art. 99 Abs. 3). Weitere Verstöße können Bußgelder bis zu 15 Millionen Euro nach sich ziehen (Art. 99 Abs. 4 a).

Was tun? Empfehlungen für Unternehmen

Vorbereitung und Umsetzung

Die Verordnung tritt am 1. August 2024 in Kraft, aber die meisten Bestimmungen werden erst ab dem 2. August 2026 wirksam. Einige Regelungen, wie die Verbote gemäß Art. 5, treten bereits ab dem 2. Februar 2025 in Kraft, die Sanktionen gemäß Art. 99 gelten ab dem 2. August 2025.

Empfohlene Maßnahmen

Unternehmen und staatliche Stellen sollten die Übergangszeit nutzen, um zu analysieren, ob und in welchem Umfang sie von der Verordnung betroffen sind. Es ist empfehlenswert, frühzeitig Compliance-Maßnahmen umzusetzen, wie die Entwicklung einer unternehmensspezifischen KI-Richtlinie und die Ernennung zuständiger und fachkundiger Personen. Eine detaillierte Auseinandersetzung mit den Bestimmungen der Verordnung ist unerlässlich, um die neuen Anforderungen zu erfüllen.