Risiko- und Governance-Rechtsnewsletter (Februar 2025)
Am 12. Juli 2024 veröffentlichte die EU offiziell die Verordnung (EU) 2024/1689, bekannt als das Gesetz über Künstliche Intelligenz (AI Act), in ihrem Amtsblatt. Dies markiert den ersten umfassenden rechtlichen Rahmen für die Regulierung von KI weltweit.
Die Diskussionen über das AI Act begannen bereits am 21. April 2021, als die Europäische Kommission die Gesetzgebung ursprünglich vorschlug. Die rasante Entwicklung von generativer KI und anderen Technologien erforderte kontinuierliche Updates des Vorschlags. Letztendlich wurde das AI Act am 21. Mai 2024 nach Genehmigung durch den Rat der EU formal angenommen.
Das AI Act trat am 1. August 2024 in Kraft, wobei die meisten Bestimmungen ab dem 2. August 2026 gelten. Bestimmte Bestimmungen werden jedoch zu unterschiedlichen Zeitpunkten angewendet, wie es angemessen ist.
Das AI Act gilt nicht nur für Unternehmen innerhalb der EU, sondern auch allgemein für Unternehmen, die KI-Systeme und verwandte Dienstleistungen innerhalb der EU anbieten. Daher können japanische Unternehmen dessen Auswirkungen nicht ignorieren.
1. Schritt 1: Identifizierung von KI-Systemen
Das AI Act reguliert hauptsächlich „KI-Systeme“ und „Allzweck-KI-Modelle“. Die jeweiligen Definitionen unter dem AI Act sind wie folgt:
KI-System (Artikel 3(1))
Ein maschinenbasiertes System, das darauf ausgelegt ist, mit unterschiedlichen Autonomiestufen zu operieren und nach der Bereitstellung Anpassungsfähigkeit aufweisen kann, und das mit expliziten oder impliziten Zielen aus den erhaltenen Eingaben ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen zu generieren, die physische oder virtuelle Umgebungen beeinflussen können.
Allzweck-KI-Modell (Artikel 3(63))
Ein KI-Modell, das unter anderem mit einer großen Menge an Daten im Selbstüberwachungsmaßstab trainiert wird, das eine signifikante Allgemeinheit aufweist und in der Lage ist, eine Vielzahl unterschiedlicher Aufgaben kompetent auszuführen, unabhängig davon, wie das Modell auf den Markt gebracht wird und das in eine Vielzahl von nachgelagerten Systemen oder Anwendungen integriert werden kann.
2. Schritt 2: Identifizierung regulierter Personen
Das AI Act gilt für verschiedene Akteure, die mit KI-Systemen verbunden sind. Die primären regulierten Parteien sind:
- „Anbieter“, die KI-Systeme oder Allzweck-KI-Modelle in der Union auf den Markt bringen oder in Betrieb nehmen, unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland ansässig sind.
- „Nutzer“ von KI-Systemen, die ihren Sitz innerhalb der Union haben.
Die Einordnung erfolgt nach Anbietern und Nutzern, wobei eine Tabelle die Struktur verdeutlicht.
3. Schritt 3: Ausnahmeregelungen
Das AI Act sieht Ausnahmeregelungen für bestimmte KI-Systeme vor. Selbst wenn bestimmte KI-Systeme die regulatorischen Anforderungen erfüllen, unterliegen sie nicht der Regulierung, wenn sie für eine Ausnahme qualifizieren. Artikel 2 des AI Act umreißt die KI-Systeme, die von seinem Anwendungsbereich ausgenommen sind.
- KI-Systeme, die ausschließlich für militärische, verteidigungspolitische oder nationale Sicherheitszwecke eingesetzt werden.
- Öffentliche Behörden in einem Drittland oder internationale Organisationen, die KI-Systeme im Rahmen internationaler Zusammenarbeit verwenden.
- KI-Systeme, die speziell für wissenschaftliche Forschungs- und Entwicklungszwecke entwickelt wurden.
4. Schritt 4: Kategorisierung von KI-Systemen
Das AI Act verfolgt einen risikobasierten Ansatz und kategorisiert KI-Systeme nach dem Ausmaß der Risiken, die sie darstellen. Strengere Vorschriften gelten für Systeme mit höheren Risiken. Die Kategorien sind wie folgt:
- Verbotene KI-Praktiken: Diese Systeme stellen die höchste Risikokategorie dar und können erheblichen Schaden verursachen.
- Hochrisiko-KI-Systeme: Diese unterliegen speziellen Anforderungen, basierend auf der EU-Harmonisierungsgesetzgebung.
- KI-Systeme mit begrenztem Risiko: Unterliegen Transparenzpflichten.
- Andere KI-Systeme: Unterliegen nicht der Regulierung.
5. Schritt 5: Identifizierung der anwendbaren Vorschriften
Die Betreiber müssen unterschiedliche Ansätze basierend auf den in Schritt 4 klassifizierten Kategorien verfolgen. Die Anforderungen, die an hochriskante KI-Systeme gestellt werden, umfassen:
- Einrichtung eines Risikomanagementsystems.
- Datengovernance, um sicherzustellen, dass die verwendeten Daten bestimmten Qualitätsstandards entsprechen.
- Transparenz und Bereitstellung von Informationen für Nutzer.
6. Schritt 6: Vorbereitungen für die Umsetzung
Das AI Act tritt am 1. August 2024 in Kraft, wobei die meisten Bestimmungen ab dem 2. August 2026 gelten. Die spezifischen Bestimmungen für Kategorien wie das Hochrisiko-KI-System werden jedoch schrittweise implementiert.
Die Einhaltung dieser Vorschriften ist entscheidend für Unternehmen, die KI-Systeme entwickeln oder nutzen, um sowohl regulatorische Anforderungen zu erfüllen als auch das Vertrauen der Verbraucher zu gewinnen.
