Zuletzt aktualisiert am:
Der Gesetzentwurf PL 2338/2023 ist Brasiliens vorgeschlagener Rechtsrahmen für künstliche Intelligenz. Er klassifiziert KI-Systeme nach Risikostufen, gewährt Rechte auf Erklärung sowie menschliche Überprüfung und schafft ein nationales Aufsichtssystem, das von der Datenschutzbehörde koordiniert wird. Der Senat hat den Entwurf im Dezember 2024 angenommen, und da er sich derzeit noch in der Abgeordnetenkammer befindet, ist er noch kein geltendes Recht.
Ist der Gesetzentwurf PL 2338/2023 in Brasilien bereits Gesetz?
Nein. Der Bundessenat hat den Entwurf im Dezember 2024 angenommen, und er wird derzeit in der Abgeordnetenkammer geprüft. Er muss dort verabschiedet werden und die Zustimmung des Präsidenten erhalten, bevor er in Kraft treten kann; der Text kann sich im Laufe des Verfahrens noch wesentlich ändern. Jede Compliance-Planung sollte die vom Senat verabschiedete Fassung als die wahrscheinlichste Form des endgültigen Gesetzes betrachten, nicht als eine bereits feststehende Verpflichtung. Organisationen, die sich selbst als konform mit einem brasilianischen KI-Gesetz bezeichnen, beschreiben etwas, das es noch gar nicht gibt.
Wie klassifiziert der Gesetzentwurf KI-Systeme?
Der Entwurf sieht drei Stufen vor. Systeme mit unvertretbarem Risiko sind gänzlich verboten; dies betrifft Anwendungen, die als unvereinbar mit den Grundrechten eingestuft werden. Auf Systemen mit hohem Risiko lastet die eigentliche Compliance-Verantwortung, einschließlich algorithmischer Folgenabschätzungen, Dokumentationspflichten, menschlicher Aufsicht und Protokollierung. Alles andere fällt in eine allgemeine Kategorie mit geringeren Transparenzpflichten. Die Struktur orientiert sich eng an der KI-Verordnung der EU (EU AI Act), sodass Organisationen, die sich bereits auf das EU-Regelwerk vorbereiten, die meisten Mechanismen wiedererkennen werden, auch wenn sich die Klassifizierungslisten und die damit verbundenen Rechte unterscheiden.
Wer würde die Einhaltung überwachen?
Mit dem Gesetzentwurf wird das Nationale System für die Regulierung und Governance von KI geschaffen, im Portugiesischen als SIA abgekürzt. Die Nationale Datenschutzbehörde (ANPD) koordiniert dieses System, und sektorale Regulierungsbehörden wirken in ihren jeweiligen Bereichen mit – darunter die Zentralbank für Finanzdienstleistungen sowie die Gesundheits- und Telekommunikationsbehörden. Dies ist für die Abgrenzung von Bedeutung: Eine brasilianische Bank müsste sich sowohl vor dem von der ANPD koordinierten System als auch vor ihrer eigenen Aufsichtsbehörde verantworten. Dies entspricht dem Muster, wonach die KI-Governance in den meisten Ländern letztlich zwischen einer horizontalen Behörde und sektorspezifischen Aufsichtsinstanzen aufgeteilt ist.
Welche Rechte werden dem Einzelnen eingeräumt?
Der Gesetzentwurf schafft einen bürgerrechtlichen Rahmen für KI-gestützte Entscheidungen. Personen, die von einem KI-System betroffen sind, haben das Recht, über den Einsatz der KI informiert zu werden, eine Erklärung für die Entscheidung zu erhalten, diese anzufechten und eine menschliche Überprüfung zu verlangen, sofern die Entscheidung erhebliche rechtliche oder vergleichbare Auswirkungen hat. Zudem regelt er die Haftung für Schäden, die durch Hochrisiko-Systeme verursacht werden, was die praktische Beweislast auf die Betreiber verlagert, die nachweisen müssen, dass ihre Kontrollmechanismen angemessen waren.
Welche Sanktionen sind vorgesehen?
Die administrativen Sanktionen reichen von Verwarnungen bis hin zur vorübergehenden Stilllegung des Systems. Geldbußen sind auf 50 Millionen Reais pro Verstoß gedeckelt, bei juristischen Personen des privaten Rechts auf 2 Prozent ihres in Brasilien bzw. von ihrer Unternehmensgruppe im letzten Geschäftsjahr erzielten Umsatzes (ohne Steuern). Die umsatzabhängige Obergrenze folgt dem Muster des brasilianischen Datenschutzgesetzes, sodass Unternehmen, die bereits das Risiko im Rahmen der LGPD kalkulieren, denselben Ansatz anwenden können.
Praxisbeispiel:
Eine brasilianische Privatkundenbank setzt ein Machine-Learning-Modell ein, um Konsumentenkreditanträge zu prüfen. Gemäß dem vom Senat verabschiedeten Text handelt es sich hierbei um ein Hochrisikosystem. Daher würde die Bank vor der Einführung eine algorithmische Folgenabschätzung durchführen, die Trainingsdaten und Leistungsmerkmale dokumentieren sowie Aufzeichnungen führen, die für eine aufsichtsrechtliche Prüfung angemessen sind. Ein abgelehnter Antragsteller hätte das Recht zu erfahren, dass ein KI-System eingesetzt wurde, eine Erklärung über die Grundlagen der Entscheidung zu erhalten und eine menschliche Überprüfung zu verlangen. Da es sich um ein Finanzinstitut handelt, würde die Bank eine Aufsicht sowohl durch die von der ANPD koordinierte SIA als auch durch die Zentralbank erwarten. Da der Gesetzentwurf noch dem Abgeordnetenhaus vorliegt, baut die Bank diese Kapazitäten bereits jetzt auf, datiert ihre Verpflichtungen jedoch ab dem Zeitpunkt des Inkrafttretens.
