Vier Schritte zur Einhaltung des EU-AI-Gesetzes

Vier Möglichkeiten zur Förderung der Einhaltung des EU AI-Gesetzes

Das Artificial Intelligence Act (AI-Gesetz) der Europäischen Union stellt die weltweit erste umfassende Regulierung für künstliche Intelligenz dar und wird Unternehmen weit über die Grenzen Europas hinaus betreffen. Dieses komplexe Gesetz regelt die Entwicklung, den Einsatz und die Nutzung von KI-Systemen sowie allgemeinen KI-Modellen innerhalb der EU. Zudem hat es eine extraterritoriale Reichweite und wird zahlreiche US-amerikanische Organisationen, die KI-Technologien entwickeln, verkaufen oder nutzen, verpflichten.

Wie man sich auf die US-Compliance vorbereitet

Das AI-Gesetz verfolgt einen gestaffelten Ansatz für die Anwendung. Der erste Satz von Verpflichtungen, der verbotene KI-Praktiken und KI-Kompetenz umfasst, trat im Februar 2025 in Kraft. Die Anforderungen für Anbieter von allgemeinen KI-Modellen (GPAI) treten am 2. August 2025 in Kraft, während viele der verbleibenden Regeln am 2. August 2026 in Kraft treten sollen. Jetzt ist der richtige Zeitpunkt für US-Unternehmen, ihre Compliance-Reise zu beginnen. Nachfolgend sind vier wesentliche Schritte aufgeführt, um sich auf dieses neue Gesetz vorzubereiten.

1. Bestimmen, ob Ihre Organisation betroffen ist

Der erste Schritt besteht darin, festzustellen, ob Ihre Organisation unter das EU AI-Gesetz fällt. Das AI-Gesetz gilt allgemein für Anbieter, Betreiber, Importeure und Händler von KI-Systemen, die in der EU tätig sind. Es hat auch eine extraterritoriale Reichweite und gilt für Organisationen außerhalb der EU, die (1) KI-Systeme auf dem EU-Markt bereitstellen oder diese innerhalb der EU in Betrieb nehmen oder (2) KI-Ausgaben ermöglichen, die von in der EU ansässigen Personen genutzt werden (mit bestimmten Ausnahmen). Angesichts dieses weitreichenden Anwendungsbereichs können Compliance-Verpflichtungen für eine Vielzahl von US-amerikanischen Unternehmen in verschiedenen Branchen, einschließlich Cloud-Dienstleistern, Sicherheitsanbietern und Unternehmen, die Dienstleistungen wie Identitätsüberprüfung, HR-Tools, Kundenservice-Chatbots, Bedrohungserkennung und KI-gesteuerte Entscheidungsfindungssysteme anbieten, gelten.

2. Identifizieren, wo Ihre KI-Systeme im Risikospektrum liegen und ob sie GPAI sind

Wenn Ihre Organisation betroffen ist, ist der nächste Schritt, zu verstehen, wie Ihr Produkt im Risikospektrum des AI-Gesetzes eingestuft ist, das KI-Systeme danach kategorisiert, ob sie ein unannehmbares Risiko, ein hohes Risiko, ein begrenztes Risiko oder ein minimales Risiko darstellen. Diese Klassifizierung ist entscheidend, da jede Stufe unterschiedliche Verpflichtungen hat. Organisationen sollten die derzeit in Gebrauch befindlichen oder in der Entwicklung befindlichen KI-Systeme inventarisieren und bewerten, welche Systeme in welche Kategorie fallen, um die anwendbaren Anforderungen zu identifizieren. Besonders wichtig ist es, Produkte zu kennzeichnen, die als hochriskant oder potenziell verboten unter dem Gesetz angesehen werden könnten.

Eine kurze Beschreibung der Kategorien und ihrer jeweiligen Verpflichtungen lautet:

• Das Gesetz verbietet die Nutzung von KI-Systemen im Zusammenhang mit bestimmten Praktiken, die ein unannehmbares Risiko darstellen, wie z.B. Social Scoring durch Regierungen oder bestimmte Echtzeit-Biometrieüberwachung.
• Hochriskante Systeme, wie z.B. solche, die in kritischer Infrastruktur, Rekrutierung, Beschäftigung, Bildung, Lebensversicherung, Strafverfolgung oder Identitätsüberprüfung eingesetzt werden, unterliegen strengen regulatorischen Anforderungen gemäß dem AI-Gesetz. Verpflichtungen für Anbieter dieser Systeme umfassen zwingende Risikoanalysen, detaillierte technische Dokumentationen, Mechanismen zur menschlichen Aufsicht sowie Cybersicherheits- und Datenverwaltungsmaßnahmen.
• Bestimmte KI-Systeme mit begrenztem Risiko müssen minimalen Transparenz- und/oder Kennzeichnungsanforderungen entsprechen. Diese Verpflichtungen betreffen hauptsächlich KI-Systeme, die direkt mit natürlichen Personen interagieren.
• KI-Systeme mit minimalem Risiko könnten in Zukunft von freiwilligen Verhaltenskodizes abgedeckt werden, die eingerichtet werden sollen.

Das Gesetz enthält auch spezifische Regeln für GPAI, die am 2. August 2025 in Kraft treten und auch für Modelle gelten, die vor diesem Datum auf den Markt gebracht oder in Betrieb genommen werden. Diese Modelle werden mit einer großen Menge an Daten trainiert, wobei Selbstüberwachung in großem Maßstab zum Einsatz kommt und sie eine signifikante Allgemeingültigkeit aufweisen, die es ihnen ermöglicht, eine Vielzahl von unterschiedlichen Aufgaben kompetent zu erfüllen. Das AI-Gesetz legt strengere Vorschriften (z.B. Modellauswertungen, Risikominderungspläne, Vorfallberichterstattung und verbesserte Cybersicherheitsmaßnahmen) für Modelle fest, die „systemische Risiken“ darstellen.

3. Ein Governance-Programm entwerfen und Schritte zur Compliance unternehmen

Nachdem die Anwendbarkeit und die Inventarisierung der KI-Systeme abgeschlossen sind, sollte Ihre Organisation eine Lückenanalyse gegenüber den bestehenden Compliance-Maßnahmen durchführen. Von dort aus können die erforderlichen Schritte identifiziert werden. Die Erstellung funktionsübergreifender Handbücher für Klassifizierung, Transparenz und Aufsicht wird sich auszahlen, während das Gesetz in Kraft tritt und die Durchsetzung beginnt. Beispiele für die Schritte, die Organisationen zur Compliance-Vorbereitung unternehmen sollten, sind:

• Interne Governance: Einrichten interner KI-Governance-Ausschüsse zur Nachverfolgung von Anwendungsfällen, Aktualisierung von Risikoregister sowie Einbindung von Rechts-, Compliance- und Sicherheitsteams.
• Risikodokumentation und technische Kontrollen: Detaillierte Dokumentation für KI-Systeme, insbesondere für solche, die als hochriskant eingestuft sind, aufrechterhalten. Technische Kontrollen implementieren und regelmäßige Risikoanalysen gemäß den Anforderungen des AI-Gesetzes durchführen.
• Mechanismen zur menschlichen Aufsicht: Sicherstellen, dass qualifiziertes Personal in der Lage ist, automatisierte Entscheidungsprozesse zu verstehen, zu überwachen und, wo nötig, zu überschreiben, um den Anforderungen des AI-Gesetzes an die menschliche Aufsicht gerecht zu werden.
• Drittanbieteraufsicht und KI-Kompetenz: Einbindung von Anbietern, Partnern und Auftragnehmern, um sicherzustellen, dass sie angemessene Ebenen der KI-Governance und -Kompetenz aufrechterhalten, insbesondere wenn ihre Tools oder Dienstleistungen entweder unter das AI-Gesetz fallen oder in Ihre eigenen KI-Systeme oder GPAI integriert sind.
• Schulungs- und Sensibilisierungsprogramme: Implementierung eines unternehmensweiten KI-Sch Schulungsprogramms mit erweiterten Modulen, die auf Mitarbeiter zugeschnitten sind, die direkt an der KI-Entwicklung, -Einführung oder -Überwachung beteiligt sind.
• Cyber-Bereitschaft: Obwohl das Gesetz keine spezifischen Datenschutzmaßnahmen vorschreibt, bietet diese Übung eine gute Gelegenheit, die Daten- und Cybersicherheitspraktiken Ihrer Organisation zu überprüfen und zu aktualisieren. Organisationen haben möglicherweise bestehende Verpflichtungen hinsichtlich der EU-Datenschutzprinzipien wie Datenminimierung, Zweckbindung und rechtmäßige Datenbeschaffung, insbesondere beim Umgang mit Daten von EU-Bürgern. Die Hinzufügung von KI zu den Produkten und Dienstleistungen kann zusätzliche Komplexität mit sich bringen, da möglicherweise zusätzliche Sicherheitsmaßnahmen erforderlich sind, um gegen Angriffe, Manipulationen und unbefugten Zugriff, insbesondere bei hochriskanten Systemen, vorzugehen.

4. Den Blick auf die USA (und andere Jurisdiktionen) richten

Die USA haben noch keine nationale KI-Regulierung, die mit dem AI-Gesetz vergleichbar ist; das bedeutet jedoch nicht, dass Unternehmen die Entwicklungen auf heimischer Ebene ignorieren können. Sowohl die Biden- als auch die Trump-Administration haben Exekutivverfügungen zu KI erlassen, jedoch befindet sich die Bundesgesetzgebung noch in den Anfängen. Es gibt jedoch viel Aktivität auf staatlicher Ebene. Ein robustes Compliance-Programm sollte die aufkommenden bundesstaatlichen und staatlichen Gesetze verfolgen und berücksichtigen, wie sie mit dem AI-Gesetz interagieren.

Ein bemerkenswertes Beispiel für ein US-Bundesstaatsgesetz ist das Colorado Artificial Intelligence Act, das 2024 verabschiedet wurde und 2026 in Kraft treten soll. Ähnlich wie das AI-Gesetz verfolgt es einen risikobasierten Ansatz und legt Verpflichtungen für Entwickler und Betreiber hochriskanter KI-Systeme fest. Es gibt jedoch auch wesentliche Unterschiede zum AI-Gesetz, wie die Tatsache, dass das Colorado-Gesetz in seinem Anwendungsbereich eingeschränkter ist und hochriskant allgemeiner definiert, anstatt spezifische Anwendungen als hochriskant zu kodifizieren.

Organisationen sollten auch andere Märkte im Auge behalten, da zusätzliche Jurisdiktionen dem Beispiel der EU folgen könnten, um KI zu regulieren.

Fazit

Die Vorbereitung sollte jetzt beginnen, da das Inkrafttreten am 2. August 2025 schnell näher rückt. Diese Schritte werden den internen Fachleuten helfen, diese rechtlichen Anforderungen zu operationalisieren und die Einhaltung zu gewährleisten, selbst in einem sich schnell verändernden rechtlichen Umfeld.