„Ich halte den AI-Act nicht für eine Innovationsbremse“

Herr Müller, was sind die Hauptziele des AI-Act – und wie werden sie voraussichtlich die Nutzung von KI in Unternehmen beeinflussen?

Bei dem AI-Act geht es in erster Linie um die Regulierung des Umgangs mit KI-Systemen. Als weltweit erstes umfassendes Regelwerk versucht der AI-Act, einen Rahmen für die Verwendung von KI-Systemen sowohl mit Blick auf Produktsicherheit als auch unter Berücksichtigung der Grundrechte zu setzen. Der Leitgedanke des AI-Act ist es, einheitliche Regeln für die Entwicklung sicherer KI zu setzen. Gleichzeitig steht aber auch der Schutz der „Betroffenen“ von Künstlicher Intelligenz im Fokus.

Primär sind von dem AI-Act die Anbieter von KI-Systemen betroffen, allerdings begründet der AI-Act auch gewisse Pflichten für Verwender von solchen Systemen, die ihren Sitz in der EU haben, die bei der Nutzung von KI-Systemen beachtet werden müssen.

Welche Arten von KI-Systemen fallen unter den Anwendungsbereich des AI-Act, und welche Anforderungen müssen Unternehmen erfüllen, um die Compliance sicherzustellen?

Es fallen zunächst alle Arten von KI-Systemen in den Anwendungsbereich des AI-Acts. Die Anforderungen an Unternehmen, die solche KI-Systeme nutzen, sind aber abhängig von der Art des KI-Systems. Der AI-Act wählt also gewissermaßen einen risikobasierten Ansatz.

So werden beispielsweise bestimmte KI-Anwendungen gänzlich verboten, wie etwa Social-Scoring-KI-Systeme, KI-Systeme zur Analyse persönlicher Merkmale oder biometrische Echtzeit-Fernidentifikationssysteme. So genannte Hochrisiko-KI-Systeme werden bestimmten Regulierungen unterworfen. Bei deren Verwendung treffen auch den Betreibern besondere Sorgfaltspflichten. Dies betrifft Systeme in den Bereichen Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung, Inanspruchnahme grundlegender Dienste und Leistungen (privat und öffentlich), Gefahrenabwehr und Strafverfolgung, Migration/Asyl und Rechtspflege. Schließlich stellt der AI-Act aber auch bestimmte Pflichten für die Nutzung von KI-Systemen mit allgemeinem Verwendungszweck auf.

Das heißt?

Gerade bei Hochrisiko-KI-Systemen, die in einer EU-Datenbank zu registrieren sind, verlangt der AI-Act von den Betreibern, dass geeignete technische und organisatorische Maßnahmen ergriffen werden, um das KI-System bei der Nutzung in ausreichendem Maße zu überwachen. Zudem bestehen Aufbewahrungspflichten hinsichtlich der Protokolle der KI-Systeme sowie Informationspflichten gegenüber Arbeitnehmern.

Bei der Nutzung bestimmter KI-Systemen gelten auch Transparenzpflichten, so dass offengelegt werden muss, dass die Inhalte künstlich erzeugt wurden.

Welche Rolle spielen Datenschutz und Datenschutzbestimmungen im Kontext des AI-Act, und wie können Unternehmen sicherstellen, dass sie die Datenschutzanforderungen einhalten?

Die datenschutzrechtlichen Vorschriften sind unabhängig von dem AI-Act bei der Verwendung von KI-Systemen zu berücksichtigen. Daher müssen die Unternehmen – wie bisher – dafür sorgen, dass personenbezogene Daten auch von KI-Systemen nur in den Grenzen der Datenschutz-Grundverordnung verarbeitet werden. Bei der Einführung von KI-Systemen sollte daher der Datenschutzbeauftragte auf jeden Fall einbezogen werden, da hier zumindest Änderungen der Datenschutzerklärung zu erwarten sein dürften.

Viele Stimmen kritisieren die Regulierung und sehen durch den AI-Act als Innovationsbremse für die europäische Wirtschaft. Andere Stimmen sprechen sogar von Wettbewerbsvorteilen, da es nun einen einheitlichen Rahmen gibt, der vielleicht sogar weltweit beispielgebend sein kann. Auf welcher Seite stehen Sie?

Ich halte den AI-Act nicht für eine Innovationsbremse. Gleichwohl wäre es wohl auch zu viel des Guten, von einem Wettbewerbsvorteil oder gar einer weltweiten Pionierleistung zu sprechen. Innovationen könnten – wohl beschränkt auf die EU – sicher gefördert werden. Hierfür sieht der AI-Act auch gewisse Anreize vor. Andererseits ist nicht zu erwarten, dass die maßgebliche Industrie in den Vereinigten Staaten und Asien die Vorgaben des AI-Act auch außerhalb der EU umsetzen wird. Auch, weil einige Staaten an einer solchen Regulierung sicher kein Interesse haben dürften.

Welche Empfehlungen haben Sie für Unternehmen, um sich auf die Umsetzung des AI-Act vorzubereiten und sicherzustellen, dass sie auch zukünftig von KI-Technologien profitieren können?

Es ist besonders wichtig, dass die Unternehmen die von ihnen eingesetzten KI-Systeme genau kennen, sodass immer eine enge Abstimmung mit Hersteller zu empfehlen ist, den weitaus weitergehender Pflichten nach dem AI-Act treffen. Zudem sollte eine rechtliche Bewertung der eigenen Pflichten erfolgen und nicht zuletzt die datenschutzrechtliche Komponente beurteilt werden.                                                                                                             

Die Fragen stellte Lara Willberg

AI-Act
Die IHK hat eine Reihe von Informationen rund um den AI-Act zusammengestellt.