Mit dem AI Act wird ein umfassender Rechtsrahmen für KI-Systeme geschaffen und die Nichteinhaltung streng geahndet, warnen Martina Gavalec und Oliver Werner von CMS.
Im Juni 2023 hat das Europäische Parlament seine Verhandlungsposition zum Vorschlag der Europäischen Kommission für eine Verordnung zur Festlegung harmonisierter Regeln für künstliche Intelligenz (KI), den AI Act, angenommen. Ziel ist es, bis Anfang 2024 eine Einigung über eine endgültige Fassung des Textes zu erzielen. Nach seiner Verabschiedung wird der AI Act der erste umfassende Rechtsrahmen für KI-Systeme in der Europäischen Union sein und für eine Vielzahl von Sektoren relevant sein. Martina Gavalec und Oliver Werner von CMS beantworten die wichtigsten Fragen, die sich Unternehmen derzeit zu diesem Thema stellen.
Warum ist der AI Act aus Sicht der EU wichtig und was sind die wesentlichen Inhalte?
Martina Gavalec: Die Europäische Union will mit dem AI Act sicherstellen, dass die in der EU eingesetzten KI-Systeme sicher, transparent, nachvollziehbar, diskriminierungsfrei und umweltfreundlich sind. Der aktuelle Entwurf legt Compliance-Regeln für die Entwicklung, Vermarktung und Nutzung von KI-Systemen in allen Geschäftsbereichen und Branchen fest. Dabei wird ein risikobasierter Ansatz zur Einstufung von KI-Systemen verfolgt. Vereinfacht ausgedrückt: Je höher das Risiko, das von einem KI-System ausgeht, desto strenger sind die Compliance-Verpflichtungen für Unternehmen. Die Nichteinhaltung dieser Verpflichtungen wird streng geahndet. Die derzeit vorgesehenen Bußgelder liegen sogar noch über den hohen Bußgeldern der Datenschutz-Grundverordnung (DSGVO). Wir erwarten daher, dass der AI Act spürbare Auswirkungen auf Unternehmen haben wird, die KI herstellen, vertreiben und nutzen.
Wie ist der Stand des Gesetzgebungsverfahrens und wann ist mit der Verabschiedung des AI Act zu rechnen?
Oliver Werner: Der AI Act wurde ursprünglich von der Europäischen Kommission im April 2021 vorgeschlagen und vom Europäischen Rat im darauffolgenden Jahr angenommen. Anschließend nahm das Europäische Parlament seine Verhandlungsposition im Juni 2023 auf. Nun werden die Europäische Kommission, der Ministerrat und das Parlament die letzten Details aushandeln, bevor die Richtlinie in Kraft treten kann. Diese Trilog-Verhandlung – so werden Verhandlungen zwischen drei Parteien genannt – steht kurz vor dem Abschluss. Wir rechnen also damit, dass die Verordnung Ende dieses Jahres oder Anfang 2024 verkündet wird. Somit befindet sich die Verordnung in der allerletzten Phase des Gesetzgebungsverfahrens. Aber auch wenn sie noch nicht ausverhandelt ist, sind die Konturen der Vorschriften für Unternehmen gut erkennbar. Es lohnt sich daher bereits jetzt, sich mit dem AI Act vertraut zu machen.
Sie sprachen vorhin von einem risikobasierten Ansatz. Können Sie uns das noch genauer erklären?
Gavalec: Mit dem AI Act wird der sogenannte risikobasierte Ansatz eingeführt, der KI-Systeme in vier Risikokategorien einteilt: KI-Systeme mit minimalem Risiko, mit geringem Risiko, mit hohem Risiko und verbotene KI-Systeme. Je höher das Risiko ist, desto mehr Maßnahmen zur Risikoprävention gibt es. Bei KI-Systemen mit geringerem Risiko liegt der Schwerpunkt auf Transparenzpflichten. Mit diesen soll sichergestellt werden, dass die Nutzerinnen und Nutzer wissen, dass sie mit einer KI-Anwendung und nicht mit einem Menschen interagieren. Die meisten Anforderungen des AI Act gelten für KI-Systeme mit hohem Risiko. Gemäß dem übergreifenden Ansatz werden KI-Systeme mit hohem Risiko vor dem Inverkehrbringen oder der Verwendung einer Konformitätsbewertung unterzogen. Die Verpflichtungen, die für hochriskante KI-Systeme gelten, werden den Entwicklern, Importeuren, Händlern und Nutzern solcher Systeme auferlegt. Die höchste Risikokategorie führt zu einem vollständigen Verbot des Einsatzes von KI-Systemen.
Wie wird KI eingesetzt und welche KI-Systeme fallen unter die Compliance-Regelung des AI Act?
Werner: Der AI Act deckt ein breites Spektrum von KI-Systemen und Anwendungen ab. Er definiert KI allgemein als ein System, das – unabhängig davon, ob es softwarebasiert oder in Hardware-Geräte integriert ist – dazu bestimmt ist, Aufgaben auszuführen, für die normalerweise menschliche Intelligenz erforderlich wäre. Dies umfasst KI-Anwendungen für Planung, Lernen, logisches Denken, Problemlösung, Wahrnehmung, Verarbeitung natürlicher Sprache und verschiedene andere kognitive Funktionen. Diese Definition soll allumfassend sein und maschinelles Lernen, regelbasierte Systeme, statistische Ansätze sowie Such- und Optimierungstechniken einschließen. Die Nutzung der künstlichen Intelligenz zur Bewältigung einer Vielzahl gesellschaftlicher Probleme und zur Verbesserung unserer Lebensqualität bietet zahlreiche Vorteile. KI kann es öffentlichen und privaten Einrichtungen ermöglichen, ihre Dienstleistungen in vielen Bereichen zu verbessern, zum Beispiel im Gesundheitswesen, in der medizinischen Forschung, in der Automobilindustrie, im Personalwesen, in der Fertigung, im Bank- und Finanzwesen, in der Landwirtschaft, im Bildungswesen, im Hotel- und Freizeitbereich und im Marketing. Ein sehr aktuelles Beispiel für den Beitrag der KI zur Gesellschaft ist die Covid-19-Krise, bei der durch die Analyse von Viren durch KI-Systeme wesentliche Fortschritte gelangen und somit Impfstoffe in weniger als einem Jahr entwickelt werden konnten.
Für welche Unternehmen gilt der AI Act?
Werner: Generell ist der Geltungsbereich des AI Act sehr weit gefasst und bezieht sowohl Unternehmen mit Sitz in der EU als auch welche außerhalb der EU ein. Der AI Act soll sicherstellen, dass KI-Technologien verantwortungsvoll und sicher eingesetzt werden. Verpflichtet sind in erster Linie die Anbieter, die ein KI-System mit der Absicht entwickeln, es in der EU in Verkehr zu bringen oder es unter ihrem eigenen Namen oder ihrer eigenen Marke in Betrieb zu nehmen. Die Pflichten erstrecken sich jedoch auch auf die Nutzer, das heißt auf jede natürliche oder juristische Person, die ein KI-System unter ihrer Aufsicht verwendet. Sie gelten auch für Importeure und Händler, um zu verhindern, dass außerhalb der EU hergestellte gefährliche KI-Produkte in die EU gelangen.
Zusammenfassend: Warum soll man sich bereits jetzt mit dem AI Act beschäftigen?
Gavalec: Der AI Act wird der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz sein und Auswirkungen auf alle Wirtschaftsbereiche haben – und das über die Grenzen der EU hinaus. Wir gehen davon aus, dass eine Mehrheit der in Europa eingesetzten KI-Anwendungen – unabhängig vom Standort ihrer Entwickler – unter die Verordnung fallen wird. Unternehmen, die KI-Systeme mit hohem Risiko einsetzen, müssen vor der Markteinführung Compliance-Anforderungen erfüllen. Dazu zählen Konformitätsbewertung in Bezug auf die Qualität der Datensätze, Aufzeichnungen, Transparenz, menschliche Aufsicht und Cybersicherheit. Der AI Act sieht für bestimmte KI-Geschäftspraktiken, wie zum Beispiel automatische Gesichtserkennung, strenge Regeln vor, wenn diese in der EU eingesetzt werden sollen. Bei Nichteinhaltung drohen erheblichen Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes oder bis zu 30 Millionen Euro. Es ist daher ratsam, sich bereits jetzt mit den Compliance-Anforderungen des AI Act auseinanderzusetzen, um diese bei Inkrafttreten erfüllen zu können.
Information
Der Artikel wurde finanziert von CMS Reich-Rohrwig Hainz Rechtsanwälte GmbH.