Künstliche Intelligenz

Artificial Intelligence Act - das müssen Unternehmen wissen

Künstliche Intelligenz (KI) ist zu einem zentralen Bestandteil der digitalen Wirtschaft geworden. Ob in der Fertigung, im Gesundheitswesen oder im Finanzsektor – KI treibt Innovationen voran und schafft neue Möglichkeiten. Die Europäische Union hat mit dem Artificial Intelligence Act (AI Act) dazu einen rechtlichen Rahmen verabschiedet mit dem Ziel, vertrauenswürdige KI und verantwortungsvolle KI-Innovationen in Europa zu fördern. Basierend auf einen risikobasierten Ansatz ist die Verordnung seit dem 1. August 2024 in Kraft getreten. Die EU-Mitgliedsstaaten sind nun in der Verpflichtung, den AI Act ins nationale Recht einzubinden. Die Konkretisierung der rechtlichen Anforderungen erfolgt aktuell noch an diversen Stellen. KI-entwickelnde wie auch KI-nutzende Unternehmen sollten sich trotzdem jetzt schon auf die Umsetzung vorbereiten. Dafür gilt es, sich früh mit den komplexen Anforderungen des AI Acts auseinanderzusetzen.

Neue Transparenzpflichten ab August 2026

Unternehmen sind ab dem 2. August 2026 verpflichtet, in bestimmten Fällen klar kenntlich zu machen, wenn Inhalte mithilfe von Künstlicher Intelligenz (KI) erstellt oder wesentlich verändert wurden. Die neuen Transparenzpflichten ergeben sich aus dem AI Act und sollen Verbraucherinnen und Verbrauchern eine bessere Einschätzung der Herkunft und Authentizität von Inhalten ermöglichen.
Betroffen sind insbesondere KI-generierte Texte, Bilder, Audio- und Videoinhalte, die für echte oder von Menschen erstellte Inhalte gehalten werden könnten. Die Regelungen gelten nicht nur für Hochrisiko-KI, sondern können auch KI-Anwendungen mit geringerem Risiko betreffen, beispielsweise Bild- und Videogenerierungsprogramme.
→ Leitfaden zur Kennzeichnung KI-generierter Inhalte der Wettbewerbszentrale finden Sie hier.

Warum gibt es den AI Act?

Der AI Act wurde eingeführt, um die potenziellen Risiken, die mit dem Einsatz von Künstlicher Intelligenz verbunden sind, zu minimieren. Es gibt Bedenken, dass KI-Systeme diskriminieren könnten,
  • z. B. wenn sie auf voreingenommenen Datensätzen basieren (KI Bias),
  • Nutzer manipulieren oder täuschen
  • oder verwendet werden könnten, um Menschen unrechtmäßig zu überwachen.
Dabei ist der AI Act eine sektorübergreifende Verordnung, die sicherstellt, dass KI die mit EU Bürgerinnen und Bürgern agiert deren Sicherheit, Gesundheit und Grundrechte wahrt und im Einklang mit europäischen Werten eingesetzt wird.

Wann tritt der AI-Act in Kraft?

Die EU-Staaten haben die Verordnung am 13.Juni 2024 verabschiedet und die Verordnung ist seit dem 01. August 2024 in Kraft. Grundsätzlich findet sie erst nach einer Übergangszeit von 24 Monaten – voraussichtlich August 2026 – Anwendung.
Einige Vorschriften sind aber bereits früher anwendbar:
  • KI-Systeme mit inakzeptablem Risiko sind nach sechs Monaten verboten (Februar 2025)
  • Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck greifen nach 12 Monaten (August 2025)

Wer ist vom AI-Act betroffen?

Diese Akteure sind vom AI-Act betroffen:
  • Anbieter (auch aus Drittländern), die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen
  • Nutzer von KI-Systemen, die sich innerhalb der EU befinden
  • Anbieter und Nutzer von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
Ausnahmen, die nicht vom AI-Act betroffen sind:
  • KI-Systeme für ausschließlich militärische Zwecke
  • Internationale Organisationen die KI-Systeme im Bereich der Strafverfolgung in Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat nutzen
  • Forschungs- und Entwicklungsaktivitäten zu KI-Systemen
  • Open-Source-Software unterliegt im Allgemeinen nicht der Regulierung, es sei denn, sie wird aufgrund ihrer Anwendung als verbotenes oder hochriskantes KI-System eingestuft

Wie wird KI im Rahmen des AI-Act definiert?

KI-Systeme müssen laut AI-Act mit einer der gängigen KI-Techniken entwickelt worden sein und
„[…] im Hinblick auf eine Reihe von Zielen, die vom Menschen festgelegt werden, Ergebnisse wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen hervorbringen [können], die das Umfeld beeinflussen, mit dem sie interagieren.“

Ist meine KI vom AI-Act betroffen?

Das Gesetz ist darauf ausgelegt, nur KI-Systeme mit hohem Risiko für die Allgemeinheit strengen Vorschriften zu unterlegen oder zu verbieten. Die meisten KI-Systeme fallen jedoch nicht unter diese Kategorie. Für sie gibt es keine Vorschriften oder nur Transparenzpflichten. Um zu bestimmen, welche Vorschriften für welche KI-Systeme gelten, wurden vier Risikoklassen gebildet.

Welche Risikoklassen gibt es?

Der AI Act legt besondere Anforderungen für unterschiedliche Arten von KI fest, abhängig von ihrem Risikopotenzial. Kurz um gilt: je höher das Risiko, desto strenger die Anforderungen. Unternehmen müssen ihre KI-Systeme nach den klassifizierten Risiken einordnen, um entsprechende Maßnahmen zu ergreifen.

Pflichten für Anbieter von Hochrisiko-KI

Die umfangreichsten Pflichten müssen Unternehmen erfüllen, die als Anbieter von Hochrisiko-KI definiert werden. Unter Abschnitt II des AI Acts finden Unternehmen die technischen, sicherheitsrelevanten und organisatorischen Pflichten, die im Falle von Nicht-Einhaltung zu hohen Bußgeldern führen können.

Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?

Unter KI-Modellen mit allgemeinem Verwendungszweck (General Purpose Artifical Intelligence, GPAI) versteht man KI-Systeme, die eine Vielzahl von Funktionen ausführen und sich an verschiedene Aufgaben anpassen können. Ein populäres Beispiel hierfür ist ChatGPT von Open AI. Das KI-Modell kann Audio- und Textdaten verarbeiten, Texte und Bilder generieren und viele weitere Aufgaben bewältigen. Da GPAI stark an wirtschaftlicher und gesellschaftlicher Relevanz gewinnen, gelten für sie gesonderte Risikokategorien. Diese richten sich nicht der jeweiligen Anwendungen, sondern der Funktion des zugrunde liegenden Basismodells.
Für normale GPAI gilt:
  • Zusätzliche technische Dokumentation
  • Detaillierte Aufstellung über die Verwendung urheberrechtlich geschützter Trainingsdaten
  • Anforderungen zur Kennzeichnung generierter Inhalte
Für GPAI mit erheblichen Auswirkungen, worunter man „sehr leistungsstarke“ Basismodelle, die systemische Risiken bergen können, versteht, gilt zusätzlich:
  • Pflichten in Bezug auf die Überwachung schwerwiegender Vorfälle
  • Modellbewertung
  • Angriffstests

Wie hoch fallen Sanktionen für Verstöße aus?

Die Strafen für Verstöße gegen die Vorschriften werden entsprechend der Größe und dem Geschäftszweck des Unternehmens festgelegt.
  • Anwendung verbotener KI-Systeme: Bis 35 Mio. Euroder 7 Prozent des Umsatzes.
  • Verstöße gegen Verpflichtungen des AI-Acts: Bis 15 Millionen EUR oder 3 Prozent des Umsatzes.
  • Angabe falscher Informationen: Bis 7,5 Millionen Euro oder 1,5 Prozent des Umsatzes.

Wer ist für die Durchsetzung des AI-Acts zuständig?

Jedes EU-Land muss bis August 2025 eine nationale KI-Aufsichtsbehörde benennen. Diese Behörde hat neben der entsprechenden Überwachungsfunktion zusätzlich die Aufgabe, Innovation und Wettbewerb zu fördern. In Deutschland sind für diese Rolle die Bundesnetzagentur, die Datenschutzbehörden oder auch eine neu zu gründende Behörde im Gespräch.
Auf EU-Ebene werden die nationalen Aufsichtsbehörden im Ausschuss für künstliche Intelligenz vertreten. Zusätzlich befasst sich das Amt für künstliche Intelligenz (AI-Office) mit der Überwachung, Beaufsichtigung und Durchsetzung der Anforderungen des AI-Acts an KI-Modelle mit allgemeinem Verwendungszweck (GPAI).

Welche Unterstützung gibt es für KMU und Startups?

Um europäische Start-ups und KMU bei der Entwicklung von AI-Act konformen KI-System zu unterstützen, sollen sog. KI-Reallaboren entstehen. Sie sollen eine Möglichkeit bieten, KI-Systeme unabhängig und unter Regulierungsaufsicht zu entwickeln und zu testen, bevor sie auf den Markt kommen. Die KI-Reallabore sollen alle relevanten Akteure – öffentliche und private, einschließlich notifizierter Stellen, Normungsorganisationen und Forschungseinrichtungen – einbeziehen und für KMU und Startups grundsätzlich kostenfrei sein.

Weiterführende Quellen