Im April 2021 stellte die Europäische Kommission ihren mit Spannung erwarteten, wegweisenden Verordnungsentwurf zur Regulierung künstlicher Intelligenz vor. Allgemein als Gesetz über künstliche Intelligenz (das „KI-Gesetz“ bzw. „AI Act“) bezeichnet, stellt dies den weltweit ersten umfassenden Versuch dar, eine horizontale Regulierung von KI-Systemen zu implementieren. Das KI-Gesetz soll die mit KI und ihren spezifischen Anwendungen verbundenen schädlichen Risiken bekämpfen und gleichzeitig verantwortungsvolle Innovationen in diesem Bereich fördern. Nach seiner Verabschiedung wird dieses Instrument die Methoden dauerhaft neu definieren, mit denen Unternehmen Technologien der künstlichen Intelligenz entwickeln, einführen, pflegen und nutzen.

‍

Hauptmerkmale des KI-Gesetzes

Definition eines „Systems der künstlichen Intelligenz“ (KI-System):

Die Kommission hat eine weit gefasste Definition eines KI-Systems vorgeschlagen, die sich auf softwarebasierte Technologien erstreckt, die eine Reihe von breit definierten KI-Ansätzen und -Techniken umfassen: „maschinelles Lernen“, „logik- und wissensbasierte“ Systeme sowie „statistische Ansätze“.

Risikobasierter Ansatz:

Die Verordnung wird einen risikobasierten Pyramidenansatz zur Bewältigung von KI-Risiken verfolgen – indem sie die Anforderungen und Pflichten der Marktteilnehmer im Verhältnis zu dem von ihren KI-Systemen ausgehenden Risikoniveau anpasst. Die vier Risikokategorien werden im Folgenden näher erläutert.

1. Unannehmbares Risiko. An der Spitze dieser Pyramide steht eine Kategorie von KI-Anwendungsfällen, von denen angenommen wird, dass sie ein unannehmbares Risiko für die Nutzer und die Gesellschaft als Ganzes darstellen und die dementsprechend gänzlich verboten sind. Die Liste der verbotenen Systeme umfasst unter anderem KI-Technologien, die unterschwellige Beeinflussung, biometrische Echtzeit-Identifizierung, Social Scoring durch Behörden oder die Ausnutzung schutzbedürftiger sozialer Gruppen beinhalten.

2. Hohes Risiko. Obwohl zulässig, werden für eine Vielzahl von KI-Systemen mit hohem Risiko, die die Sicherheit einer Person oder deren Grundrechte beeinträchtigen können, erhöhte Anforderungen vorgeschlagen. Zu den Anwendungen in dieser Kategorie gehören Systeme in den Bereichen Infrastruktur, Bildung, Beschäftigung, Strafverfolgung sowie solche, die eine Sicherheitskomponente eines Produkts darstellen, das bereits den EU-Vorschriften zur Gesundheit und Sicherheit am Arbeitsplatz unterliegt. Die spezifischen Vorschriften für Hochrisikosysteme verlangen von Organisationen unter anderem Folgendes:

• Einrichtung von Risikomanagementsystemen, um sicherzustellen, dass eine angemessene Risikobewertung in Bezug auf ein bestimmtes System durchgeführt wird;

• Erstellung einer umfassenden technischen Dokumentation für ihre Systeme;

• Unterziehung ihrer Anwendungen einer Konformitätsbewertung vor der Inbetriebnahme;

• Aufrechterhaltung qualitativ hochwertiger Data-Governance- und Datenmanagement-Verfahren und

• Gewährleistung, dass das System hohen Standards in Bezug auf Robustheit, Cybersicherheit und Genauigkeit entspricht.

3. Begrenztes Risiko. Anwendungen, die nicht explizit verboten oder als hochriskant eingestuft sind, bleiben weitgehend unreguliert. Systeme mit begrenztem Risiko unterliegen weniger strengen Transparenzregeln, die lediglich erfordern, dass die Nutzer darüber informiert werden, dass sie mit einem KI-Tool interagieren.

4. Minimales Risiko. Zwar bestehen keine spezifischen Anforderungen für Anwendungen, die in keine andere Kategorie passen und daher ein minimales Risiko darstellen, es wird jedoch empfohlen, dass Unternehmen bei allen KI-Systemen einen ethisch fundierten Ansatz verfolgen, unabhängig vom Grad des damit verbundenen Risikos. In der Tat fungiert Artikel 69 des KI-Gesetzes als Auffangregelung, die Anbieter und Nutzer von KI-Systemen mit geringerem Risiko dazu ermutigt, auf freiwilliger und proportionaler Basis dieselben Standards wie ihre Pendants im Hochrisikobereich einzuhalten.

Wer ist für die Einhaltung verantwortlich und was sind die Folgen bei Verstößen:

Für die einzelnen Marktteilnehmer gelten unterschiedliche Pflichten, je nachdem, welche Rolle sie im KI-Lebenszyklus einnehmen. Das KI-Gesetz unterscheidet zwischen „Anbietern“, „Nutzern“, „Importeuren“ und „Händlern“ und erlegt jedem unterschiedliche Pflichten auf. Die Strafen im aktuellen Entwurf des EU-KI-Gesetzes sind hoch. Geldbußen für die schwerwiegendsten Verstöße können bis zu 6 Prozent des Jahresumsatzes betragen.

‍

Der aktuelle Stand der Dinge

Seit seiner Veröffentlichung hat das Gesetz substanzielle Kommentare von anderen gesetzgebenden Organen der Europäischen Union und interessierten Dritten erhalten. Einige der wichtigsten noch offenen Punkte werden im Folgenden näher erläutert.

Definition eines „Systems der künstlichen Intelligenz“:

Die Festlegung dessen, was ein „KI-System“ ausmacht, ist für die Zuweisung der Verantwortung im Rahmen des KI-Gesetzes von entscheidender Bedeutung. Der breite Definitionsbereich von Artikel 3 Absatz 1, der versucht, das Konzept zu definieren, war Gegenstand heftiger Kontroversen unter den Akteuren der Branche. Ein von der tschechischen Präsidentschaft des Europäischen Rates vorgelegter Kompromissänderungsvorschlag hat versucht, die durch die weite Definition entstandenen Unklarheiten zu beseitigen. Diese engere Definition schließt traditionelle Softwaresysteme aus dem Anwendungsbereich der Verordnung aus, indem zwei zusätzliche Anforderungen eingeführt werden: (1) dass die Systeme durch Techniken des maschinellen Lernens und wissensbasierte Ansätze entwickelt werden und (2) dass es sich bei den Zielanwendungen um „generative Systeme“ handelt, die die Umgebungen, mit denen sie interagieren, beeinflussen.

Verteilung der Verantwortlichkeiten zwischen KI-„Anbietern“ und -„Nutzern“:

Das KI-Gesetz erlegt die Compliance-Verpflichtungen weitgehend den Anbietern (d. h. denjenigen, die ein bestimmtes KI-System entwickeln) auf, im Gegensatz zu den Nutzern. Industrieverbände haben argumentiert, dass sich diese Top-down-Verteilung der Verantwortung in Fällen als problematisch erweisen könnte, in denen KI-Dienste nachgelagert für unvorhersehbare Zwecke genutzt werden und es schwierig sein kann, genau festzustellen, wer der Anbieter ist.

Allgemeine KI-Systeme (General-purpose AI):

Die Einstufung einer Anwendung als allgemeines KI-System hängt von ihrer Fähigkeit ab, mehrere Aufgaben in einer Vielzahl von Kontexten auszuführen. Im Mai dieses Jahres kündigten die EU-Gesetzgeber ihre Absicht an, die Anforderungen des EU-KI-Gesetzes auf alle Allzweck-KI-Systeme auszuweiten, selbst bei Anwendungen mit geringem Risiko. Dies hat sich als umstritten erwiesen, da Gegner argumentieren, dass dies eine grundlegende Abkehr von dem risikobasierten Ansatz darstellt, der das Herzstück des Vorschlags bildet, und Innovationen zu ersticken droht. Im September dieses Jahres schlug der Rat einen Kompromiss vor, indem er für allgemeine KI-Systeme ein umfassendes Risikobewertungsverfahren forderte, wodurch allgemeine KI-Systeme mit geringem Risiko von den strengeren Anforderungen des KI-Gesetzes ausgenommen würden, was allgemein positiv aufgenommen wurde.

Verbindliche Grundprinzipien:

Eine Empfehlung zur Einführung verbindlicher Grundprinzipien der Fairness, Transparenz und Rechenschaftspflicht für alle KI-Systeme (unabhängig vom Risikoniveau) wurde von Mitgliedern des Europäischen Parlaments (MdEP) eingebracht und steht noch vor einer endgültigen Entscheidung.

Standards:

Parallel zum Gesetzgebungsverfahren hat die Kommission die europäischen Normungsorganisationen CEN und CENELEC aufgefordert, technische Standards für das Benchmarking der Einhaltung des KI-Gesetzes zu entwickeln. Obwohl die von diesen Gremien entwickelten Standards freiwillig sein werden, genießen Organisationen, die nachweisen, dass ihre Systeme diese erfüllen, die Vermutung der Konformität mit dem KI-Gesetz.

Die Herausforderung

Das KI-Gesetz befindet sich noch im komplexen Gesetzgebungsverfahren der EU. Viele Organisationen haben sich jedoch bereits auf das KI-Gesetz vorbereitet. Mit der zunehmenden Reife dieses Bereichs bringt das Ergreifen proaktiver Schritte – wie die Implementierung von Risikomanagementsystemen und die Durchführung detaillierter technischer Prüfungen – klare Vorteile für die Organisationen mit sich, unabhängig von einer regulatorischen Verpflichtung hierzu.

Es gibt immer noch viele Herausforderungen im Prozess. Die Rolle zu verstehen, die ein Marktteilnehmer im Ökosystem spielt, die Komplexität bei der Festlegung von Risikoniveaus zu bewältigen und anschließend die Anwendbarkeit der relevanten Verpflichtungen im Rahmen des KI-Gesetzes zu bestimmen sowie diese einzuhalten, stellt zweifellos eine Belastung für die in diesem Bereich tätigen Akteure dar. Die Enzai-Plattform wurde genau unter diesem Gesichtspunkt entwickelt und kann Organisationen dabei helfen, sich in diesem Bereich schnell und effizient zurechtzufinden, damit sie sich auf die Entwicklung zukunftssicherer KI-Technologien konzentrieren können.

Enzai ist die führende Plattform für Enterprise-KI-Governance, die speziell entwickelt wurde, um Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die für die Verwaltung der Governance agentischer KI, die Pflege eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU-KI-Gesetz erforderlich ist. Durch die Automatisierung komplexer Arbeitsabläufe versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST beizubehalten.