Der EU AI Act: Was globale Unternehmen wissen müssen
Der EU AI Act tritt mit globaler Reichweite in Kraft. US-Firmen sehen sich neuen Regeln, Risiken und hohen Strafen gegenüber. Hier sind die wichtigsten Informationen, die Führungskräfte jetzt wissen müssen.
Die ersten beiden Kapitel des EU AI Act traten am 2. Februar 2025 in Kraft. Diese Bestimmungen betreffen KI-Praktiken und KI-Kompetenz. Die übrigen Bestimmungen des Gesetzes werden schrittweise eingeführt.
Der globale Umfang des AI Act
Die größten Auswirkungen des Gesetzes werden für Unternehmen mit Sitz in der EU gelten, aber auch Unternehmen außerhalb der Europäischen Union sind betroffen. Das Gesetz gilt für alle Anbieter von KI-Systemen im EU-Markt, unabhängig davon, ob sie innerhalb der EU operieren oder nicht.
„Die globale Reichweite des EU AI Act, die erheblichen Strafen bei Nichteinhaltung und die umfangreichen Anforderungen, die die gesamte Wertschöpfungskette der KI betreffen, stellen sicher, dass Organisationen weltweit, die KI-Technologien nutzen, die Vorschriften einhalten müssen“, erklärte ein Analyst.
Das Gesetz wird erhebliche Auswirkungen auf die KI-Governance weltweit haben. „Mit diesen Vorschriften hat die EU den de-facto-Standard für vertrauenswürdige KI und das Risikomanagement von KI etabliert“, fügte der Analyst hinzu.
Verständnis des Risikorahmens des EU AI Act
Der Kern des EU AI Act ist sein risikobasierter Ansatz. Je höher das Risiko des KI- oder allgemeinen KI-Anwendungsfalls ist, desto mehr Anforderungen müssen erfüllt werden und desto strenger wird die Durchsetzung dieser Anforderungen sein. Mit abnehmendem Risiko verringert sich auch die Anzahl und Komplexität der Anforderungen, die ein Unternehmen befolgen muss.
Es gibt vier Risikostufen:
- Unacceptable Risk AI: Verboten. Beispiele: Soziale Bewertung, manipulative KI und biometrische Identifikation in öffentlichen Räumen.
- High-Risk AI: Streng reguliert. Beispiele: KI im Gesundheitswesen, bei der Einstellung, im Finanzwesen und in der Strafverfolgung, die Transparenz, Datenverwaltung und menschliche Aufsicht erfordern.
- Limited-Risk AI: Erfordert Transparenz. Beispiele: Chatbots und Deepfakes, bei denen sich die Nutzer bewusst sein müssen, dass sie mit KI interagieren.
- Minimal-Risk AI: Unreguliert. Beispiele: Empfehlungssysteme und KI in Videospielen.
Anbieter von KI-Systemen haben andere Verpflichtungen als Anwender, aber die Einhaltung jeder Partei hängt von der anderen ab. Anbieter müssen den Anwendern detaillierte Dokumentationen über das System bereitstellen, damit diese die Systeme korrekt einsetzen und deren Ergebnisse angemessen verstehen können.
Der Auftrag zur KI-Kompetenz
Der AI Act verlangt von Anbietern und Anwendern, Maßnahmen zu ergreifen, um sicherzustellen, dass Mitarbeiter und andere Personen, die im Auftrag von KI-Systemen tätig sind (einschließlich Beratern), über ein ausreichendes Maß an KI-Kompetenz verfügen.
Für diese Personen sollte die Schulung zur Kompetenz deren technisches Wissen, Erfahrung, Ausbildung und den Kontext, in dem die KI-Systeme verwendet werden, berücksichtigen. Diese Anforderung gilt für alle KI-Systeme und nicht nur für die im Gesetz als hochriskant eingestuften.
Weitere Vorbereitungen für Unternehmen
Über Risikostufen und Kompetenz hinaus führt der EU AI Act umfassende Verantwortlichkeiten ein, die grundlegende Modelle, Lieferketten und das breitere KI-Ökosystem betreffen. Diese zusätzlichen Überlegungen fügen den Unternehmen zusätzliche Schichten von Komplexität und Compliance hinzu.
Neue Standards für allgemeine KI-Systeme
Der Act unternimmt große Anstrengungen, um die Verpflichtungen für Anwender von allgemeinen KI-Systemen zu regeln. „Ein wichtiger Schritt ist die Anerkennung über die EU-Transparenzregeln hinaus, um eine höhere Schwelle für grundlegende Modelle zu setzen, die zu viel höheren Risiken führen können“, erklärte ein Berater.
Vorbereitung auf Prüfungen, Bewertungen und mehr
Unternehmen müssen Prüfungen bestehen, Transparenzstandards erfüllen und Bewertungen durchführen, was es für Startups schwieriger macht, mit großen Technologieunternehmen zu konkurrieren. Die Europäische Kommission kann Anbieter von allgemeinen KI-Modellen mit bis zu 3 % ihres jährlichen globalen Gesamtumsatzes des vorhergehenden Geschäftsjahres oder 15.000.000 € — je nachdem, welcher Betrag höher ist — bestrafen.
Diese Strafen können verhängt werden, wenn die Kommission feststellt, dass der Anbieter absichtlich oder fahrlässig:
- gegen die relevanten Bestimmungen des Gesetzes verstoßen hat,
- nicht auf Aufforderungen zur Dokumentation reagiert oder falsche, unvollständige oder irreführende Informationen bereitgestellt hat,
- nicht den unter Artikel 93 geforderten Maßnahmen nachgekommen ist,
- keinen Zugang zu dem allgemeinen KI-Modell für die Kommission bereitgestellt hat.
Entwicklung von KI-Systemen für Erklärbarkeit
Das Gesetz verlangt Transparenz in der KI-Entscheidungsfindung, was die Risiken von Black-Box-KI in Bereichen wie Einstellung, Kreditbewertung und Gesundheitswesen verringern sollte. „Verbraucher erwarten von Unternehmen, dass sie klar über ihre Nutzung von KI informieren“, sagte der Analyst.
„Der Act verlangt, dass Sie die Menschen, die einer KI- und GPAI-System ausgesetzt sind, auf eine Weise informieren, die leicht zu erkennen und zu verstehen ist und die Anforderungen an die Zugänglichkeit erfüllt.“
Schlussfolgerung
Der EU AI Act wird schrittweise eingeführt, wobei andere Regeln, wie die zu GPAI-Modellen, im Juni 2025 in Kraft treten werden. Anforderungen an hochriskante Anwendungsfälle werden nach 24 bis 36 Monaten in Kraft treten. Selbst wenn einige Anforderungen zu späteren Terminen in Kraft treten, erfordern sie erhebliche Anstrengungen und Zeit für ein Unternehmen, um die Vorschriften des Gesetzes einzuhalten.
