KI im Unternehmen

Mit dem "AI-Act" der Europäischen Union wurde am 1. August 2024 die weltweit erste KI-Regulierung verabschiedet, die den Umgang mit KI gesetzlich vorschreibt. Sie soll klare Regeln für die Entwicklung und den Einsatz von KI schaffen, um die Sicherheit und die Grundrechte der Menschen in der EU zu schützen. Hierbei wird ein risikobasierter Ansatz verfolgt, bei dem KI-Systeme je nach potenziellem Risiko für die Gesellschaft unterschiedlich reguliert werden. So sollen ethische Standards gewahrt, Innovationen gefördert und gleichzeitig der Missbrauch von KI begrenzt werden.

Die KI-Verordnung betrifft eine Vielzahl von Akteuren. Dazu gehören der:

• Anbieter = “eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich” (Art. 2 Nr. 3).

• Betreiber = “eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet” (Art. 2 Nr. 4).

• Einführer = “eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein KI-System, das den Namen oder die Handelsmarke einer in einem Drittland niedergelassenen natürlichen oder juristischen Person trägt, in Verkehr bringt” (Art. 2 Nr. 6).

• Händler = ”eine natürliche oder juristische Person in der Lieferkette, die ein KI-System auf dem Unionsmarkt bereitstellt, mit Ausnahme des Anbieters oder des Einführers” (Art. 2 Nr. 7).

 Die KI-Verordnung verfolgt einen risikobasierten Ansatz. Danach werden KI-Systeme in vier Risikokategorien eingeteilt, an die unterschiedliche Anforderungen gestellt werden:

1. Unannehmbares Risiko: KI-Systeme, die unvereinbar mit den Grundrechten sind, werden sechs Monate nach Inkrafttreten verboten (z.B. Soziale Bewertungssysteme, Verhaltensmanipulation oder Echtzeitidentifizierung).

2. Hohes Risiko: KI-Systeme, die eine erhebliche Gefahr für die Gesundheit und Grundrechte von natürlichen Personen darstellen (z.B. KI-basierte Medizinprodukte, Spielzeug oder Verkehrsinfrastruktur). An diese werden strenge regulatorische Anforderungen gestellt.

3. Begrenztes Risiko: KI-Systeme, die zur Interaktion mit Menschen bestimmt sind, wie etwa Chatbots. Diese unterliegen lediglich Transparenz- und Kennzeichnungspflichten.

4. Minimales Risiko: Diese Systeme fallen nicht in den Anwendungsbereich der Verordnung (z.B. Spamfilter, KI-gestützte Videospiele).

• Bei Nichteinhaltung des Art. 5 (Verbotene Praktiken) drohen Geldbußen von bis zu 35 Mio. Euro oder bis zu 7% des weltweiten Jahresumsatzes.

• Für Verstöße gegen allgemeine Pflichten außerhalb des Art. 5 können Geldbußen bis zu 15 Mio. Euro oder bis zu 3% des gesamten weltweit erzielten Jahresumsatzes verhängt werden.

• Falsche oder unvollständige Angaben gegenüber Behörden können mit Geldbußen bis zu 7,5 Mio. Euro oder 1,5% des weltweiten Jahresumsatzes geahndet werden.

• Bei Verstößen gegen die Bestimmungen des Art. 101 Abs. 1 lit. a (z.B. Informations- und Auskunftspflichten) können gegen Anbieter von "General-Purpose Artificial Intelligence” (GPAI) Geldbußen von bis zu 15 Mio. Euro oder bis zu 3% des weltweiten Jahresumsatzes auferlegt werden.

Es gilt der jeweils höhere Betrag. Darüber hinaus können die Aufsichtsbehörden Anbieter auch dazu zwingen, nicht konforme KI-Systeme vom Markt zu nehmen.

• 1. August 2024: Inkrafttreten des AI-Acts

• 2. Februar 2025: Verbot von Anwendungen mit einem unnanehmbaren Risiko (wie z.B. Social Scoring).

• 2. August 2025: Verpflichtungen treten in Kraft für Anbieter von KI-Modellen für allgemeine Zwecke.

• 2. August 2026: Die Verpflichtungen treten für die in Anhang III aufgeführten Hochrisiko KI-Systeme, die speziell in Anhang III aufgeführt sind, einschließlich Systeme in den Bereichen Biometrie, kritische Infrastruktur, Bildung, BEschäftigung, Zugang zu wesentlichen öffentlichen Dienstleistungen, Strafverfolgung, Einwanderung und Justizverwaltung

• 2. August 2027: Die Verpflichtungen treten für KI-Systeme mit hohem Risiko in Kraft, die nicht im Anhang II vorgeschrieben sind, aber als Sicherheitskomponente eines Produkts verwerndet werden sollen.

Human Oversight bezeichnet die menschliche Aufsicht und Kontrolle über technischen Systeme, insbesondere Künstliche Intelligenz, um sicherzustellen, dass diese Systeme verantwortungsvoll, sicher und ethisch einwandfrei funktionieren. Dabei überwachen Menschen die Entscheidungsprozesse und Handlungen der KI, können bei Bedarf eingreifen und Fehler oder unerwünschte Ergebnisse korrigieren. Human Oversight ist wichtig, um Risiken zu minimieren und sicherzustellen, dass KI-Systeme im Einklang mit den menschlichen Wertenund gesetzlichen Vorschriften agieren. Der AI-Act sieht in Art. 14 eine solche menschliche Aufischt für Hochrisiko-KI-Systeme vor.