Der AI Act tritt in Kraft Aufbruch oder Abbruch für die KI-Zukunft in der EU?

Anbieter zum Thema

Fsas Technologies GmbH

INFOMOTION GmbH

Die EU nimmt die Regulierung von Künstlicher Intelligenz (KI) in die Hand. Vor welche Anforderungen werden Unternehmen nun gestellt und wie kann die Norm ISO 42001 Unternehmen bei der Implementierung dieser Anforderungen helfen?

Es ist soweit: Nach über drei Jahren seit dem Vorschlag der Kommission für eine Verordnung über Künstliche Intelligenz (AI Act bzw. KI-VO) vom April 2021 ist der AI Act am 1. August 2024 in Kraft getreten – damit gilt er als Verordnung unmittelbar in der gesamten Europäischen Union (EU). Damit hat die EU das weltweit erste Gesetz zu KI verabschiedet. Ziel ist es nach Art. 1, ein hohes Maß an Sicherheit und Schutz der Grundrechte sowie Demokratie und Rechtsstaatlichkeit bei der Unterstützung von Innovationen im Bereich von KI-Systemen zu gewährleisten.

Wen betrifft der AI Act und was ist ein KI-System?

Der AI Act gilt für alle Akteure entlang der Wertschöpfungskette von KI-Systemen, die in der EU, unabhängig von der Entgeltlichkeit, verwendet oder vertrieben werden, wie etwa Anbieter, Betreiber, Einführer und Hersteller. Um dem Innovationsversprechen gerecht zu werden, sind KI-Systeme, die ausschließlich wissenschaftlichen Zwecken dienen, vom Anwendungsbereich ausgenommen. Für kleine und mittelständische Unternehmen gelten angepasste Privilegien.

Dabei ist ein KI-System nach Art. 3 ein maschinengestütztes System, das in unterschiedlichen Graden autonom arbeitet, nach der Betriebsaufnahme Anpassungen vornehmen kann, aus Eingaben explizite und implizite Ziele, wie Vorhersagen, Inhalte, Empfehlungen und Entscheidungen, generieren und die physische oder virtuelle Umgebung beeinflussen kann. Damit stimmt die Definition inhaltlich mit der KI-System-Definition der internationalen Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) überein.

Risikoklassen

Der AI Act verfolgt einen risikobasierten Ansatz zur Regulierung von KI-Systemen. Die Anforderungen steigen mit dem Risiko, das ein KI-System für Menschen darstellt. Es wird unterschieden zwischen KI-Systemen mit minimalem Risiko, bestimmten KI-Systemen, Hochrisiko-Systemen und verbotenen Systemen.

Verhaltensmanipulations- und Social-Scoring-Modelle fallen ab dem 2. Februar 2025 unter die KI-System-Verbote. Für KI-Systeme mit minimalem Risiko, wie Spamfilter, gelten keine Pflichten. Bestimmte KI-Systeme, die zur Interaktion mit Menschen eingesetzt werden und nicht unter die Risikokategorie „hoch“ fallen, sind nach Art. 50 nur unter Einhaltung von Transparenzpflichten zulässig. Für KI-Systeme, die Deepfakes herstellen, besteht etwa für die Anwendung von KI eine Offenlegungspflicht.

Dabei gibt es die höchste Regelungsdichte bei Hochrisiko-Systemen. Das sind im Grunde erlaubte KI-Systeme, die potenziell stark in Grundrechte eingreifen. Dabei sind zwei Unterkategorien zu unterscheiden:

Einerseits KI-Systeme, die als Sicherheitskomponenten von Produkten verwendet werden, die einer Konformitätsbewertung durch Dritte unterliegen oder selbst solche Produkte sind, wie Produkte im medizinischen oder im Kraftfahrzeug-Sektor (Anhang I).

Wirken sich KI-Systeme schon selbst direkt auf Grundrechte aus, können sie der zweiten Kategorie unterfallen. Nach Anhang III betrifft dies zum Beispiel nicht unzulässige Biometrie-Identifikationssysteme oder Anwendungen in Zusammenhang mit kritischer Infrastruktur sowie dem Kreditvergabe-, Bildungs- und Beschäftigungswesen.

Ab dem 2. August 2027 muss für diese Systeme ein umfangreicher Anforderungskatalog erfüllt werden, der die Einrichtung eines Risiko- und Qualitätsmanagementsystems sowie die Einhaltung von Standards zu KI-Trainingsdaten und Cybersicherheit vorsieht. Das umfasst etwa auch Dokumentations- und Nachweispflichten. Hochrisiko-Systeme müssen eine Not-Stopp-Funktion besitzen und der menschlichen Aufsicht unterliegen. Außerdem werden eine EU-Konformitätserklärung, eine CE-Kennzeichnung und eine Systemregistrierung in der EU-Datenbank verpflichtend.

KI-Modelle mit allgemeinem Verwendungszweck

Sonderregelungen für KI-Systeme mit allgemeinem Verwendungszweck wurden erstmals im Entwurf vom Parlament der EU zum AI Act vorgestellt. Anbieter solcher Systeme, wie Large Language Models, die für viele Zwecke einsetzbar sind, unterliegen ab dem 2. August 2027 Pflichten, deren Umfang vom potenziellen Risikograd der Anwendung abhängt. Systeme mit der Fähigkeit einen hohen Wirkungsgrad zu erzielen, begründen danach ein systemisches Risiko, das umfangreiche Transparenz- Dokumentations- und Offenlegungspflichten erfordert.

Herausforderungen für Unternehmen bei der Umsetzung

Die Regelungen zu verbotenen KI-Systemen gelten bereits im Februar 2025. Nach und nach entfalten weitere Pflichten und Anforderungen ihre Geltung. Für Hochrisiko-KI drohen bei Nichteinhaltung nach Art. 99 Sanktionen in Höhe von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Unternehmensumsatzes. Die EU arbeitet zudem an einer KI-Haftungsrichtlinie, die außervertragliche Schadensersatzforderungen regeln soll, die durch Schäden begründet werden, die auf die Nichteinhaltung der Pflichten aus dem AI Act beruhen.

Unternehmen sollten ihre KI-Systeme und deren Herkunft jetzt schon identifizieren, sich auf die Einstufung und Implementierung der Anforderungen vorbereiten. Eine erste nachbesserungsfähige Einschätzung im Hinblick auf die Risikoklassen und das Greifen von Privilegien kann jetzt erfolgen. Dies gilt auch für die eigene Rolle als Normadressat, da die Anforderungen hier divergieren können.

Dabei werden aber jetzt schon Hürden in der Praxis sichtbar: Interpretationsspielräume in Bezug auf die KI-System-Definition, insbesondere den erforderlichen Autonomiegraden oder die Einordung in die Risikoklassen, deren Auslegung in die Risikosphäre der Unternehmen fällt, erschweren die Umsetzung.

Noch mehr Regelungen für mehr Rechtssicherheit?

Die Kommission ist aufgefordert konkretisierende Rechtsakte zu erlassen. Bis Februar 2026 soll eine Liste mit Beispielen für Hochrisiko-KI vorliegen. Der Branchenverband der deutschen Informations- und Telekommunikationsbranche (Bitkom e. V.) und die Industrie- und Handelskammer (IHK) sehen auch den nationalen Gesetzgeber in der Pflicht, mit konkretisierenden Durchführungsgesetzen Interpretationsspielräume zu schließen und Transparenz und Rechtssicherheit zu gewährleisten.

Orientierung an der ISO/IEC 42001 bei der Umsetzung

Unternehmen, die schon jetzt konkrete Maßnahmen ergreifen wollen, können Managementsysteme für ihren KI-Einsatz nach der internationalen Norm ISO/IEC 42001 (ISO 42001) aufsetzen und durch ein unabhängiges Prüfungsunternehmen zertifizieren lassen. Diese Norm bietet ein strukturiertes Rahmenwerk für die Governance von Künstlicher Intelligenz nach den Vorgaben für ISO-Managementsysteme. Das Regelwerk umfasst Prozesse wie Einrichtung, Kompetenzaufbau, Überwachung, Verantwortlichkeiten und Verbesserung des Systems innerhalb der Organisation.

Eine Zertifizierung nach ISO 42001 kann die Umsetzung der Anforderungen aus dem AI Act erleichtern, da es erhebliche Überschneidungen zwischen den beiden Regelwerken gibt.

Dies betrifft beispielsweise die Dokumentationspflichten aus Ziffer A.5.3 aus dem Anhang der ISO 42001 und Art. 12 AI Act oder etwa personelle Rollen und Verantwortlichkeiten aus A.3 ISO 42001 und Art. 17 AI Act im Rahmen des Qualitätsmanagements.

Die ISO 42001 bietet hinsichtlich des Risikomanagementsystems einen detaillierten Maßnahmen- (Anhang A) und Umsetzungsplan (Anhang B), der beim AI Act noch aussteht. Letztlich wird eine Konformität mit dem AI Act aber vom AI Act selbst und zu erwartenden Konkretisierungen abhängen. Das Vorhandensein eines geprüften Managementsystems nach ISO 42001, an dem man potenziell nachträgliche AI-Act-spezifische Anpassungen vornehmen kann, könnte Unternehmen durch Übung und Erfahrung mit KI-Systemen eine reibungslose Umsetzung des AI Act erleichtern und womöglich, wenn die ersten Fristen nach dem AI Act laufen, einen Wettbewerbsvorteil bieten.

Aufbruch-Chance durch Rechtssicherheit?

Trotz der hohen Regelungsdichte und dem Bedarf an weiteren konkretisierenden Regelungen ist die Einführung verbindlicher, KI-spezifischer Regelungen sinnvoll, um Skepsis gegenüber KI-Systemen abzubauen. KI wirft neue rechtliche Fragen auf, die das allgemeine Recht nicht hinreichend beantworten kann. Damit füllt der AI Act bereits jetzt ein Regelungsvakuum und setzt einheitliche Maßstäbe für Rechtssicherheit im EU-Binnenraum, die für alle Marktteilnehmer gelten.

Es bleibt zu hoffen, dass andere Global Player, ähnlich wie bei der DSGVO, ihre Regelungen am EU-Modell ausrichten und „KI made in EU“ global zum Qualitäts- und Sicherheitsstandard wird. Hierzu müssen die zuständigen Akteure nun die Umsetzung so gestalten, dass das Versprechen von Schutz für Rechtssicherheit und Grundrechte bei gleichzeitiger Innovationsförderung reibungslos funktioniert und die Vorteile die befürchtete Überregulierung übertreffen. Dies gilt umso mehr als KI-Systeme nicht nach der Logik physischer Grenzen funktionieren. Der erste Schritt zum Aufbruch in die KI-Zukunft, also den Standort EU in KI-Fragen als Vorreiter zu etablieren, ist mit dem AI Act bereits getan – es bleibt zu hoffen, dass die nächsten Schritte das Potenzial realisieren.

* Rechtsanwalt Florian Helbig ist Salary Partner bei der Prüfungs- und Beratungsgesellschaft Forvis Mazars und betreut am Standort Leipzig die Rechtsbereiche IT und Intellectual Property (IP). Dr. Roman Krepki ist Senior Manager bei Forvis Mazars am Standort Stuttgart und auf Compliance mit ISO-Managementsystemen spezialisiert. Sami Yousef ist wissenschaftlicher Mitarbeiter am Berliner Standort in den Rechtsbereichen IT und IP.

(ID:50173071)