AI Act erklärt: Risikoklassen, verbotene KI Praktiken und Grundlagen der KI-Verordnung
17.10.2024 | J. Morelli / S. Horsch – Online Redaktion, FORUM VERLAG HERKERT GMBH
Der AI Act schafft einen einheitlichen Rechtsrahmen für künstliche Intelligenz in der Europäischen Union. Im Mittelpunkt steht ein risikobasierter Ansatz: Je größer die möglichen Auswirkungen eines KI-Systems auf Sicherheit, Gesundheit und Grundrechte sind, desto strenger sind die Anforderungen. Dieser Beitrag erklärt die Risikoklassen und ordnet ein, welche Anwendungen verboten oder besonders reguliert sind.
Inhaltsverzeichnis
- Was ist der AI Act?
-
Die Risikoklassen des AI Acts im Überblick
- Was bedeutet der AI Act für generative KI und große Sprachmodelle?
- Was sollten Unternehmen jetzt tun?
- Fazit: Risikoeinstufung ist der Ausgangspunkt für KI-Compliance
Hinweis
Konkrete Pflichten, Fristen, KI-Kennzeichnungsvorgaben und Maßnahmen für Unternehmen erläutert der Beitrag „EU AI Act: Pflichten, Fristen und Umsetzung für Unternehmen“.
Was ist der AI Act?
Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Er richtet sich – abhängig vom jeweiligen Fall – insbesondere an Anbieter, Betreiber, Einführer, Händler, Bevollmächtigte und bestimmte Produkthersteller von KI-Systemen sowie an Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Ziel der Verordnung ist es, die Entwicklung und Nutzung menschenzentrierter und vertrauenswürdiger KI zu fördern und gleichzeitig ein hohes Schutzniveau für Gesundheit, Sicherheit, Grundrechte, Demokratie, Rechtsstaatlichkeit und Umwelt zu gewährleisten. Sie soll zudem den Binnenmarkt stärken und Innovation unterstützen.
Welche Anforderungen gelten, hängt insbesondere von der Rolle des Unternehmens, der Art des KI-Systems oder KI-Modells und dessen beabsichtigtem Verwendungszweck ab.
Welche Ziele verfolgt der AI Act?
Die Europäische Kommission legte den ersten Entwurf für eine KI-Verordnung im Jahr 2021 vor. Der AI Act verfolgt einen risikobasierten Ansatz: Je höher die möglichen Auswirkungen einer KI-Anwendung auf Gesundheit, Sicherheit oder Grundrechte sind, desto umfangreicher können die gesetzlichen Anforderungen sein.
Der AI Act enthält keine identischen Pflichten für sämtliche KI-Systeme. Konkrete Anforderungen – etwa zu Risikomanagement, Daten-Governance, Transparenz, menschlicher Aufsicht oder Genauigkeit – gelten vor allem für bestimmte Kategorien, insbesondere für Hochrisiko-KI-Systeme.
Menschliche Aufsicht ist insbesondere bei Hochrisiko-KI-Systemen eine ausdrückliche Anforderung. Sie soll gewährleisten, dass natürliche Personen die Funktionsweise und Ergebnisse eines Systems angemessen überwachen und erforderlichenfalls eingreifen können.
Veranstaltungsempfehlung
Welche Pflichten auf die Betroffenen des Unternehmen und verantwortliche Mitarbeiter zukommen, erfahren Sie in dem 3-tägigen Online-Live-Lehrgang „KI-MANAGER/IN“. Werden Sie jetzt zu einem KI-Experten und bringen Ihre Karriere und Ihr Unternehmen auf ein neues Level – jetzt anmelden!
Die Risikoklassen des AI Acts im Überblick
Der Begriff „Risikoklassen“ dient als vereinfachende Orientierung. Der AI Act enthält insbesondere Vorschriften zu verbotenen KI-Praktiken, Hochrisiko-KI-Systemen und bestimmten Transparenzpflichten.
Daneben bestehen eigenständige Regelungen für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI). KI-Anwendungen, die weder verboten noch als hochriskant eingestuft sind, können weiterhin anderen Rechtsvorschriften unterliegen, beispielsweise dem Datenschutz-, Arbeits-, Urheber-, Verbraucher- oder Produktsicherheitsrecht
1. Verbotene KI-Praktiken: unvertretbares Risiko
Der AI Act verbietet bestimmte KI-Praktiken, wenn sie als mit den Werten der Europäischen Union unvereinbar oder besonders grundrechtsgefährdend eingestuft werden. Dazu gehören – jeweils vorbehaltlich der gesetzlichen Tatbestandsvoraussetzungen und Ausnahmen – insbesondere:
- manipulative oder täuschende KI-Praktiken, die Menschen zu erheblich nachteiligen Entscheidungen veranlassen können,
- KI-Praktiken, die die Schutzbedürftigkeit von Personen oder Gruppen ausnutzen,
- Soziale Wertung,
- KI-gestützte Risikobewertungen natürlicher Personen zur Vorhersage von Straftaten,
- das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsaufnahmen zum Aufbau oder zur Erweiterung von Gesichtserkennungsdatenbanken,
- bestimmte biometrische Kategorisierungssysteme sowie
- Systeme zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.
Der Einsatz von Echtzeit-Fernidentifizierungssystemen durch Strafverfolgungsbehörden in öffentlich zugänglichen Räumen ist grundsätzlich verboten. Der AI Act erlaubt ihn nur in eng begrenzten Ausnahmefällen und unter besonderen Voraussetzungen.
Unternehmen sollten vor allem biometrische, verhaltensbezogene oder personenbezogene Bewertungs- und Entscheidungssysteme sorgfältighin prüfen, ob eine verbotene KI-Praxis vorliegen kann.
2. Hochrisiko-KI: strenge Anforderungen vor und während des Einsatzes
Ein KI-System kann insbesondere dann als hochriskant gelten, wenn es als Sicherheitsbauteil eines Produkts eingesetzt wird oder selbst ein Produkt ist, das unter bestimmte europäische Produktsicherheitsvorschriften fällt und einer Konformitätsbewertung durch eine benannte Stelle unterliegt.
Darüber hinaus nennt Anhang III des AI Act bestimmte KI-Systems in besonders sensiblen Einsatzbereichen. Dazu zählen – unter den jeweils gesetzlich definierten Voraussetzungen – bestimmte Systeme in den Bereichen:
- Biometrie,
- Betrieb und Verwaltung kritischer Infrastruktur,
- allgemeine und berufliche Bildung,
- Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit,
- Zugang zu und Inanspruchnahme von wesentlichen privaten und öffentlichen Dienstleistungen,
- Strafverfolgung,
- Migration, Asyl und Grenzkontrolle,
- Rechtspflege sowie demokratische Prozesse.
Nicht jede KI-Anwendung in einem dieser Bereiche ist automatisch hochriskant. Entscheidend sind die gesetzlichen Voraussetzungen, der konkrete Verwendungszweck und mögliche Ausnahmen.
3. Transparenzpflichten: KI muss in bestimmten Fällen erkennbar sein
Für bestimmte KI-Systeme und KI-generierte Inhalte gelten Transparenzpflichten. So müssen natürliche Personen in bestimmten Fällen darüber informiert werden, dass sie mit einem KI-System interagieren.
Darüber hinaus können Anbieter verpflichtet sein, bestimmte künstlich erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte maschinenlesbar als solche zu kennzeichnen. Betreiber müssen in bestimmten Fällen offenlegen, dass Inhalte künstlich erzeugt oder manipuliert wurden, insbesondere bei Deepfakes.
Für bestimmte KI-generierte oder KI-manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, gelten ebenfalls besondere Offenlegungspflichten. Dabei bestehen gesetzliche Ausnahmen, beispielsweise für bestimmte redaktionell verantwortete oder menschlich überprüfte Inhalte.
→ Eine allgemeine Pflicht, jeden mit KI erstellten Inhalt sichtbar zu kennzeichnen, enthält der AI Act nicht. Ob und in welcher Form eine Transparenzpflicht besteht, hängt vom KI-System, der Rolle des Unternehmens und dem konkreten Verwendungszweck ab.
Die aktuellen Vorgaben zur Kennzeichnung, zu Fristen und zur Umsetzung erklärt der Beitrag „EU AI Act: Pflichten, Fristen und Umsetzung für Unternehmen“.
4. Geringes oder kein besonderes Risiko
Viele KI-Anwendungen fallen nicht in die Kategorien verbotene Praktik oder Hochrisiko-KI. Für sie können dennoch allgemeine Rechtsvorschriften gelten, etwa aus Datenschutz-, Urheber-, Arbeits- oder Produktsicherheitsrecht. Unternehmen sollten deshalb auch bei alltäglichen KI-Tools den Anwendungsfall, die verarbeiteten Daten und mögliche Auswirkungen auf Betroffene bewerten.
Was bedeutet der AI Act für generative KI und große Sprachmodelle?
Generative KI wie Text-, Bild-, Audio- oder Videogeneratoren ist nicht pauschal einer einzigen Risikoklasse zugeordnet. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck können eigene Pflichten gelten, etwa zu technischer Dokumentation, Informationen für nachgelagerte Anbieter und einer Strategie zur Einhaltung des Urheberrechts. Je nach Einsatz können außerdem Transparenzpflichten ausgelöst werden.
Für Unternehmen, die solche Systeme einsetzen, ist daher vor allem wichtig, den konkreten Verwendungszweck zu prüfen:
- Werden personenbezogene Daten verarbeitet?
- Werden Ergebnisse veröffentlicht?
- Werden Entscheidungen mit erheblichen Folgen für Menschen vorbereitet oder getroffen?
Die Antworten bestimmen, welche weiteren Vorgaben beachtet werden müssen.
Was sollten Unternehmen jetzt tun?
Für eine erste Einordnung empfiehlt sich ein strukturierter Überblick über alle eingesetzten KI-Systeme. Unternehmen sollten insbesondere erfassen, wer das System nutzt, welchen Zweck es erfüllt, welche Daten verarbeitet werden und ob Entscheidungen oder Bewertungen von Personen betroffen sind:
- KI-Systeme und ihre Einsatzbereiche inventarisieren.
- Die eigene Rolle bestimmen: Betreiber, Anbieter, Einführer, Händler oder Produkthersteller.
- Den Einsatzfall auf verbotene Praktiken, Hochrisiko-Merkmale und Transparenzpflichten prüfen.
- Zuständigkeiten, menschliche Aufsicht und interne Freigabeprozesse festlegen.
- Relevante Mitarbeitende im sicheren und verantwortungsvollen Umgang mit KI qualifizieren.
Veranstaltungsempfehlung
Sie suchen nach einer passgenauen und nur auf Ihre Bedürfnisse ausgerichtete Weiterbildung? Kein Problem die Inhouse-Schulungen der AKADEMIE HERKERT machen Sie in kürzester Zeit zum Prompt-Experten, KI-Ass und Zukunftsträger für Ihr Unternehmen. Jetzt informieren!
Fazit: Risikoeinstufung ist der Ausgangspunkt für KI-Compliance
Der EU AI Act verbietet einzelne besonders risikoreiche Anwendungen und stellt für Hochrisiko-KI hohe Anforderungen. Für Unternehmen ist die Risikoeinstufung deshalb der erste Schritt zu einem rechtskonformen KI-Einsatz. Erst wenn Verwendungszweck, Unternehmensrolle und Risikopotenzial geklärt sind, lassen sich die erforderlichen Maßnahmen zuverlässig bestimmen.
Quellen: https://www.europarl.europa.eu/topics/en/article/20230601STO93804/eu-ai-act-first-regulation-on-artificial-intelligence, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02001L0095-20100101, https://www.lto.de/recht/nachrichten/n/kuenstliche-intelligenz-ki-eu-parlament-risiken/, https://www.tagesschau.de/ausland/eu-parlament-ki-gesetz-100.html, https://www.zdf.de/nachrichten/politik/ausland/ai-act-ki-eu-parlament-gesetz-100.html
