Pflichten und Herausforderungen des EU AI Acts für Unternehmen und Berater

Die schrittweise Einführung des EU AI Acts

Die Umsetzung des EU AI Acts erfolgt schrittweise, um Unternehmen ausreichend Zeit zur Anpassung an die neuen Regelungen zu geben:

• 2. August 2024: Der EU AI Act tritt offiziell in Kraft. Dies ist der erste Stichtag, der die Grundlage für die Einhaltung zukünftiger Vorschriften schafft.
• 2. Februar 2025: Verbot bestimmter Hochrisiko-KI-Praktiken, wie etwa Social Scoring. Unternehmen müssen ab diesem Zeitpunkt nachweisen, dass Mitarbeiter, die mit KI-Systemen arbeiten, über die notwendigen Kompetenzen verfügen.
• 2. August 2026: Erste vollständige Wirksamkeit der Regelungen für Hochrisiko-KI-Systeme, einschließlich technischer Anforderungen und Sicherheitsstandards.
• 2. August 2027: Endgültige Umsetzung der Regelungen für Hochrisiko-KI-Systeme gemäß den Anhängen I und II der Verordnung. Alle Pflichten müssen spätestens zu diesem Zeitpunkt erfüllt sein.

Die Kernprinzipien des EU AI Acts

Der EU AI Act basiert auf einem risikobasierten Ansatz, der KI-Systeme in vier Kategorien einteilt:

• Inakzeptables Risiko
  Systeme, die gegen Grundrechte verstoßen oder durch manipulative Praktiken schaden, sind verboten. Beispiele sind Social Scoring oder emotionale Manipulation.
• Hohes Risiko
  Dazu zählen Anwendungen, die in sensiblen Bereichen wie Gesundheit, Strafverfolgung oder Personalwesen eingesetzt werden. Diese Systeme unterliegen strengen Prüfungen, Risikoanalysen und Überwachungsanforderungen. Anbieter und Nutzer müssen Compliance-Maßnahmen wie die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) sicherstellen.
• Begrenztes Risiko
  Systeme wie Chatbots, die nur begrenzte Risiken bergen, unterliegen Transparenzanforderungen. Nutzer müssen informiert werden, wenn sie mit einer KI interagieren.
• Minimales Risiko
  KI-Systeme, die keine signifikanten Risiken darstellen, erfordern keine besonderen regulatorischen Maßnahmen.

Pflichten für Unternehmen

Unternehmen, die KI-Systeme entwickeln oder nutzen, sind verpflichtet, umfangreiche Maßnahmen zu ergreifen, um den Anforderungen des EU AI Acts gerecht zu werden:

1. Technische und organisatorische Anforderungen

• Anbieter müssen umfangreiche technische Dokumentationen und Sicherheitsstandards einhalten. Hochrisiko-KI-Systeme erfordern etwa Maßnahmen zur Vermeidung von Diskriminierung und zur Sicherstellung menschlicher Kontrolle.
• Nutzer von Hochrisiko-Systemen tragen die Verantwortung für korrekte Datenverwendung und Dokumentation, einschließlich der Speicherung von Logdateien und der Schulung ihrer Mitarbeiter.

2. Nachweis von KI-Kompetenzen

Ab Februar 2025 müssen Unternehmen nachweisen, dass ihre Mitarbeiter über die nötigen Kenntnisse und Fähigkeiten verfügen, um KI sicher und effizient einzusetzen.

3. Transparenz und Kennzeichnungspflichten

• Transparenzanforderungen für Hochrisiko-KI-Systeme
  Hochrisiko-KI-Systeme unterliegen strengen Transparenzvorschriften, die darauf abzielen, eine verantwortungsvolle Nutzung zu gewährleisten. Dazu gehört die Verpflichtung, eine transparente Funktionsweise sicherzustellen, sodass Betreiber die Ausgaben des Systems interpretieren und nutzen können. Anbieter müssen zudem eine detaillierte technische Dokumentation bereitstellen. Diese enthält Informationen über die Zweckbestimmung des Systems, die verwendeten Trainingsdaten, die Funktionsweise der Algorithmen und die erwartete Leistungsfähigkeit. Diese Dokumentation ist auf Anfrage den Marktüberwachungsbehörden zugänglich zu machen.
  Zusätzlich müssen Anbieter eine EU-Konformitätserklärung erstellen, die bestätigt, dass das System den Anforderungen des EU AI Acts entspricht. Diese Erklärung wird in einer Sprache verfasst, die den Behörden des betreffenden Mitgliedstaates verständlich ist, und enthält die in Anhang V der Verordnung definierten Informationen. Nicht produktbezogene Hochrisiko-KI-Systeme müssen außerdem in einer öffentlich zugänglichen EU-Datenbank registriert werden, um Transparenz für Behörden und die Öffentlichkeit zu schaffen.
• Transparenzanforderungen für KI-Systeme mit begrenztem Risiko
  Für Systeme wie Chatbots besteht eine Kennzeichnungspflicht. Nutzer müssen klar darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Kennzeichnung entfällt nur, wenn der KI-Charakter aus dem Kontext eindeutig ersichtlich ist.
• Kennzeichnungspflichten für Deepfakes
  Besondere Regeln gelten für Inhalte, die mit KI erstellt oder manipuliert wurden und realistisch Personen, Objekte oder Orte darstellen. Solche Deepfakes müssen deutlich gekennzeichnet werden, etwa durch einen Code, ein Wasserzeichen oder einen Hinweis im Beitrag des Nutzers. Ziel ist es, Missbrauch zu verhindern und Transparenz zu gewährleisten.
• Transparenzanforderungen für allgemeine KI-Modelle
  Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind verpflichtet, eine technische Dokumentation bereitzustellen. Diese Dokumentation unterstützt nachgelagerte Anbieter bei der Integration der Modelle in spezifische Anwendungen. Darüber hinaus müssen sie Strategien entwickeln, die sicherstellen, dass Urheberrechte gewahrt und Rechtsvorbehalte respektiert werden.

4. Integration mit der DSGVO

Die parallele Anwendung der DSGVO und des EU AI Acts stellt sicher, dass personenbezogene Daten auch bei der Nutzung von KI-Systemen geschützt bleiben. Unternehmen müssen sicherstellen, dass sowohl die Verarbeitung als auch die Speicherung personenbezogener Daten den geltenden Vorschriften entsprechen.

Was Berater beachten müssen

Berater, die Unternehmen bei der Integration und Nutzung von KI-Systemen unterstützen, stehen vor spezifischen Herausforderungen:

• Fundierte Kenntnisse der Verordnung
  Berater müssen ein tiefgehendes Verständnis der Regelungen besitzen, insbesondere für Hochrisiko-Anwendungen. Dazu gehören Kenntnisse über technische Anforderungen und Rechtsrahmen wie die DSGVO.
• Vertragsgestaltung
  Die Erstellung und Pflege von Auftragsverarbeitungsverträgen (AVV) ist unerlässlich, insbesondere wenn personenbezogene Daten der Kunden verarbeitet werden.
• Schulungen und Sensibilisierung
  Berater sollten Unternehmen dabei unterstützen, die KI-Kompetenz ihrer Mitarbeiter auszubauen. Dies umfasst die Durchführung von Schulungen zu rechtlichen und ethischen Fragestellungen.
• Risikomanagement und Monitoring
  Eine wesentliche Aufgabe ist die Unterstützung bei der Risikoanalyse und der Einhaltung der Dokumentationspflichten, etwa durch die Erstellung von DSFAs für Hochrisiko-Anwendungen.

Fazit: Eine gemeinsame Verantwortung

Der EU AI Act stellt Unternehmen und Berater vor die Aufgabe, nicht nur gesetzliche Anforderungen zu erfüllen, sondern auch Vertrauen in KI-Systeme zu schaffen. Die Einführung einer umfassenden KI-Strategie und die frühzeitige Einbindung von Experten sind entscheidend, um rechtliche Risiken zu minimieren und gleichzeitig Innovationen voranzutreiben.

Die nächste Phase des KI-Einsatzes wird maßgeblich von der Fähigkeit abhängen, ethische, transparente und sichere Anwendungen zu schaffen. Unternehmen und Berater können sich so einen Wettbewerbsvorteil sichern und gleichzeitig einen Beitrag zur Förderung vertrauenswürdiger KI leisten.

Haftungsausschluss

Die in diesem Blogbeitrag bereitgestellten Informationen dienen ausschließlich der allgemeinen Orientierung und stellen keine rechtliche Beratung dar. Der Autor übernimmt keinerlei Haftung für die Richtigkeit, Vollständigkeit oder Aktualität der gemachten Angaben. Verbindlich sind ausschließlich der Text des EU AI Acts und die jeweilige nationale Gesetzgebung, die die Verordnung umsetzt. Für rechtliche Fragen oder konkrete Einzelfallprüfungen wird empfohlen, sich an qualifizierte Rechtsberater zu wenden.