Wann tritt das EU AI-Gesetz in Kraft und was bedeutet das für Ihr Unternehmen?
Das EU AI-Gesetz wurde am 1. August 2024 offiziell verabschiedet, aber die ersten Maßnahmen in Bezug auf verbotene Anwendungen von KI und KI-Leseprogramme für betroffene Unternehmen treten am 2. Februar 2025 in Kraft.
In diesem Artikel erfahren Sie, ob und wie Ihr Unternehmen vom AI-Gesetz betroffen ist. Am Ende werden Sie ein Verständnis dafür haben, wie das AI-Gesetz für Ihr Unternehmen relevant ist und was Sie wann tun müssen, um compliant zu sein. Die Strafen für die Nichteinhaltung können erheblich sein, mit maximalen Geldstrafen von bis zu 7 % des globalen Jahresumsatzes eines Unternehmens oder 35 Millionen EUR, je nachdem, was höher ist.
Was ist KI?
Das AI-Gesetz betrachtet KI als eine „Familie von Technologien“. Ein KI-System wird definiert als ein „maschinenbasiertes System“, das darauf ausgelegt ist, mit unterschiedlichen Graden von Autonomie zu arbeiten und das nach der Bereitstellung Anpassungsfähigkeit aufweisen kann. Es schließt aus den Eingaben, die es erhält, Rückschlüsse auf die gewünschten Ausgaben, wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen, die physische oder virtuelle Umgebungen beeinflussen können.
Welche Unternehmen fallen unter das AI-Gesetz?
Unternehmen, die keine KI bereitstellen oder verwenden, können das AI-Gesetz ignorieren. Dazu gehören auch natürliche Personen, die KI in einem nicht-professionellen Rahmen verwenden, sowie reine Forschungseinrichtungen. Die Verteidigungsindustrie gilt ebenfalls als ausgeschlossen.
Die Provider von KI sind Unternehmen, die KI-Tools entwickeln und bereitstellen. Deployers von KI-Systemen sind Unternehmen, die KI in ihren Geschäftsprozessen oder Produkten verwenden. Wenn ein Anbieter von KI wesentliche Änderungen an der Funktionsweise der bereitgestellten KI vornimmt, wird er für die Einhaltung der Anforderungen des Anbieters verantwortlich.
Mein Unternehmen ist betroffen. Was nun?
Die Anforderungen des AI-Gesetzes treten in verschiedenen Phasen in Kraft, beginnend mit dem 2. Februar 2025, der spezifische verbotene KI-Systeme und umfassende Anforderungen an die KI-Bildung umfasst.
Die Anforderungen an die KI-Bildung
Diese Anforderungen gelten für alle Unternehmen, die KI bereitstellen oder einsetzen. Jedes Unternehmen, das KI in einem professionellen Rahmen nutzt, gilt als „Deployer“ von KI und ist verpflichtet, eine Form von KI-Bildung für die Mitarbeiter nachzuweisen.
Der risikobasierte Ansatz des AI-Gesetzes
Die Risikoklassifikationen des AI-Gesetzes fallen in zwei Hauptbereiche: die „Was“-Risiken und die „Wie“-Risiken. Diese Kategorisierungen helfen zu bestimmen, welche Maßnahmen Ihr Unternehmen ergreifen muss, abhängig von der Risikoklasse des KI-Systems.
Die „Was“-Risiken
Die Risikokategorien sind verbotene, hochriskante und minimalrisikobehaftete Systeme. Verbotene KI-Systeme sind solche, die als unvereinbar mit der Gesundheit, Sicherheit oder den Grundrechten der EU-Bürger gelten. Beispiele sind:
- Kreditsysteme, die soziale Bewertungen außerhalb des ursprünglichen Kontextes verwenden.
- Manipulative KI-Systeme, die falsche Bewertungen erzeugen.
- Vorhersehende Kriminalitäts-KI.
Hochriskante KI-Systeme weisen anerkannte potenzielle Risiken auf, können jedoch auch das Leben der EU-Bürger verbessern, wie beispielsweise:
- KI-Entscheidungen über den Zugang zu Krediten oder Versicherungen.
- KI-gestützte Einstellungsentscheidungen.
Minimalrisiko-KI-Systeme bergen nur geringe potenzielle Nachteile, wie Spam-Filter oder Betrugsbekämpfung.
Die „Wie“-Risiken: Transparenz und allgemeine Zwecke der KI
Die „Wie“-Risiken betreffen die Transparenz der KI-Systeme und die allgemeinen Zwecke der KI. Wenn die Benutzer KI-Outputs für menschlich gehaltene Outputs halten könnten, unterliegt das System den Transparenzanforderungen.
Was Ihr Unternehmen tun muss: Eine Zusammenfassung
Aktuelle Fristen für die Einhaltung des AI-Gesetzes sind:
- 2. Februar 2025: Anforderungen an die KI-Bildung und verbotene KI-Systeme treten in Kraft.
- 2. August 2025: Anforderungen für allgemeine Zwecke von KI.
- 2. August 2026: Alle verbleibenden Anforderungen, einschließlich hochriskanter und transparenzriskanter KI-Systeme, treten in Kraft.
- 2. Februar 2027: Anforderungen für hochriskante KI-Systeme, die in bereits regulierte Produkte eingebettet sind.
