EU AI Act Hochrisikobestimmungen: Was Unternehmen wissen müssen
Mit dem Inkrafttreten des EU AI Act stehen Organisationen, die hochriskante KI-Systeme entwickeln, nutzen, importieren oder vertreiben, vor neuen Verpflichtungen, die in den Abschnitten 2 und 3 des Gesetzes festgelegt sind.
Bereitsteller und Anwender werden mit den umfangreichsten und strukturiertesten Anforderungen konfrontiert, wie sie in den Artikeln 9 bis 15 zu finden sind. Diese Anforderungen sollen sicherstellen, dass identifizierte hochriskante KI-Systeme die grundlegenden Rechte, die Sicherheit und die Gesundheit der Bürger in Europa nicht beeinträchtigen.
Was sind hochriskante KI-Systeme?
Der AI Act definiert vier Risikostufen: verboten, hochriskant, geringes Risiko und minimalriskant. Verbotene Systeme sind vollständig verboten (Artikel 5), während Systeme mit geringem Risiko nur leichte Transparenzpflichten haben (z. B. Chatbot-Offenlegungen). Im Gegensatz dazu bringen hochriskante Systeme die detailliertesten Compliance-Anforderungen mit sich, insbesondere für Anbieter und Anwender. Dies wird hier besonders hervorgehoben, da diese Regeln die organisatorischen Prozesse, Beschaffungen und Aufsicht am stärksten beeinflussen.
Die Definition hochriskanter KI-Systeme umfasst spezifische Anwendungsfälle, die in Anhang III aufgeführt sind. Diese Anwendungsfälle sind in Bereichen wie Biometrie, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung, Gesetzesvollzug und Verwaltung von Migration und Asyl kategorisiert. Innerhalb dieser Bereiche sind hochriskante Anwendungsfälle näher definiert.
Wichtige Fristen
- 2. August 2026 → Alle hochriskanten KI-Systeme müssen den Kernanforderungen (Artikel 9–49) entsprechen, einschließlich Risikomanagement, Datenverwaltung und Konformitätsbewertung.
- 2. August 2027 → Frist für die Einhaltung hochriskanter KI-Systeme, die in regulierten Produkten (z. B. Medizinprodukte, Maschinen) unter EU-Sicherheitsgesetzen eingebettet sind.
Artikel 9-15: Wichtige Verpflichtungen
Nachdem Sie Ihr Portfolio bewertet und Ihre hochriskanten Systeme identifiziert haben, sind hier die Kernverpflichtungen, die in den Artikeln 9-15 festgelegt sind:
1. Artikel 9 – Risikomanagementsystem
Es muss ein dokumentierter, fortlaufender Risikomanagementprozess implementiert werden, der den gesamten Lebenszyklus der KI abdeckt, von der Konzeption bis zur Nachmarktüberwachung.
2. Artikel 10 – Daten und Datenverwaltung
KI-Systeme müssen auf Datensätzen trainiert, validiert und getestet werden, die relevant, repräsentativ, fehlerfrei und vollständig sind.
3. Artikel 11 – Technische Dokumentation
Es muss eine detaillierte technische Dokumentation geführt werden, die die Einhaltung nachweist, einschließlich Systemdesign, beabsichtigtem Zweck und Quellen der Trainingsdaten.
4. Artikel 12 – Aufzeichnungspflichten
Hochriskante Systeme müssen automatisch Ereignisse protokollieren, um Rückverfolgbarkeit, Leistungsüberwachung und Nachmarktüberwachung zu unterstützen.
5. Artikel 13 – Transparenz und Informationen für Nutzer
Die Nutzer müssen klar über den beabsichtigten Zweck des Systems, seine Einschränkungen und Leistungsmerkmale informiert werden.
6. Artikel 14 – Menschliche Aufsicht
Die Systeme müssen so gestaltet sein, dass eine effektive menschliche Aufsicht gewährleistet ist, um Risiken zu minimieren.
7. Artikel 15 – Genauigkeit, Robustheit und Cybersicherheit
Hochriskante KI-Systeme müssen angemessene Genauigkeits-, Robustheits- und Cybersicherheitsstandards während ihres gesamten Lebenszyklus aufrechterhalten.
Was können Sie jetzt tun?
Um sicherzustellen, dass Stakeholder und Teams auf die neuen Verpflichtungen vorbereitet sind, unternehmen viele Organisationen Schritte in Richtung Compliance, obwohl es noch bestehende Unklarheiten gibt. Zu den Maßnahmen gehören:
- Ein fundiertes Verständnis der Hochrisikobestimmungen gemäß dem AI Act zu erlangen.
- Die aktuelle und geplante Nutzung von KI gegen die relevanten Anhänge des Gesetzes zu kartieren.
- Festzustellen, ob die aktuellen Praktiken den Artikeln 9–15 im Prinzip entsprechen.
- Wichtige Lücken zu identifizieren, wie z. B. Protokollierungspraktiken und Datenverwaltungsrichtlinien.
- Eine Compliance-Richtlinie zu erstellen, die durch Dokumentation unterstützt wird.
Was kommt als Nächstes?
Die Kommission wird voraussichtlich in der zweiten Hälfte des Jahres 2025 Implementierungsrichtlinien veröffentlichen. In der Zwischenzeit ist eine frühzeitige Vorbereitung, geleitet von der Struktur der Artikel 9–15, der beste Weg, um Verantwortung im Bereich KI zu demonstrieren.
