Verordnung der Europäischen Union über künstliche Intelligenz

Überblick

Der EU AI Act (Verordnung 2024/1689) ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Er wurde am 13. Juni 2024 angenommen und legt harmonisierte Vorschriften für die Entwicklung, das Inverkehrbringen, die Inbetriebnahme und die Nutzung von KI-Systemen innerhalb der Europäischen Union fest.

Die Verordnung verfolgt einen risikobasierten Ansatz und unterteilt KI-Systeme in vier Stufen: inakzeptables Risiko (verboten), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend unreguliert). Dieser gestufte Rahmen stellt sicher, dass die strengsten Anforderungen für KI-Systeme gelten, die das größte potenzielle Schadenspotenzial für Gesundheit, Sicherheit und Grundrechte aufweisen.

Die Verordnung gilt für Anbieter von KI-Systemen, die auf dem EU-Markt in Verkehr gebracht werden, unabhängig davon, ob diese Anbieter in der EU oder in einem Drittland niedergelassen sind. Sie gilt auch für Betreiber von KI-Systemen mit Sitz in der EU sowie für Anbieter und Betreiber mit Sitz außerhalb der EU, sofern die vom KI-System erzeugten Ergebnisse in der EU verwendet werden.

Zu den wichtigsten Neuerungen gehören die Schaffung von KI-Reallaboren, verpflichtende Konformitätsbewertungen für KI-Systeme mit hohem Risiko, Anforderungen an Transparenz und menschliche Aufsicht sowie die Einrichtung des European AI Office zur Koordinierung der Durchsetzung. Die Verordnung führt zudem besondere Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) ein, einschließlich zusätzlicher Pflichten für GPAI-Modelle mit systemischem Risiko.

Die Sanktionen bei Nichteinhaltung sind erheblich: bis zu €35 million oder 7% des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken, bis zu €15 million oder 3% bei Verstößen gegen andere Bestimmungen und bis zu €7.5 million oder 1% bei der Bereitstellung unrichtiger Informationen. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.

Der EU AI Act stellt einen Paradigmenwechsel in der Technologieregulierung dar und geht von sektorspezifischen Vorschriften zu einem horizontalen Rahmen über, der KI in allen Branchen abdeckt. Compliance-Fachleute müssen verstehen, dass diese Verordnung eine extraterritoriale Reichweite ähnlich der DSGVO haben wird und Organisationen weltweit betrifft, die den EU-Markt bedienen.

Das KI-Büro, der Europäische Ausschuss für künstliche Intelligenz und die zuständigen nationalen Behörden haben unterschiedliche Umsetzungs- und Aufsichtsaufgaben. Prüfen Sie die für das konkrete System und die Pflicht zuständige Stelle und das Verfahren.

Risikomanagement, technische Dokumentation, Daten-Governance und Qualitätsmanagement sind der einschlägigen Anbieter- oder Betreiberrolle und Risikoeinstufung zuzuordnen. Sie sind keine allgemeine Pflichtenliste für jede Organisation, die ein KI-Werkzeug nutzt.

Eine Grundrechte-Folgenabschätzung ist nach Artikel 27 für bestimmte Betreiber und Hochrisikoanwendungen unter Beachtung des Geltungsbereichs und der Ausnahmen erforderlich. Nicht jedes Hochrisikosystem oder System kritischer Infrastruktur erfordert eine solche Prüfung. Soweit einschlägig, ergänzt sie die Datenschutz-Folgenabschätzung nach der DSGVO, ersetzt sie aber nicht. Prüfen Sie den geänderten Gesetzestext für den konkreten Einsatz.