Regulierte Intelligenz?

Der AI Act ist das erste weltweit staatenübergreifende Regelwerk zur Regulierung der Entwicklung und des Einsatzes von künstlicher Intelligenz (KI). Die EU ist Vorreiterin.

Das Gesetz über die KI ist mit 1. August 2024 in Kraft getreten und soll – entgegen der landläufigen Meinung – nicht eine Einschränkung zur Nutzung der KI darstellen, sondern durch einen risikobasierten Ansatz die vertrauenswürdige Nutzung der KI-Systeme fördern. 

Zunächst ist zu klären, was ein KI-System im gesetzlichen Sinn ist. Art. 3 des AI Act definiert es ursprünglich wie folgt: „An AI system is a machinebased system designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments.“ Also einfach heruntergebrochen: maschinenbasierte Systeme, die lernfähig sind und autonom durch Schlussfolgerungen bestimmte Ergebnisse hervorbringen können.

Es ist der weltweit erste Rechtsakt, der konkrete Regelungen für den Einsatz von KI enthält.

Etappenweise Einführung
Wie gesagt, ist der AI Act faktisch der welt-weit erste Rechtsakt, der konkrete Regelungen für den Einsatz von KI enthält. Um die Unternehmerinnen und Unternehmer jedoch nicht zu übervorteilen und die noch in den Kinderschuhen steckende KI zu etablieren, verfolgt die EU hinsichtlich der einzelnen Bestimmungen des Rechtsaktes einen gestuften Geltungsansatz:

• Seit 2. Februar 2025 gelten die Regelungen für verbotene KI-Systeme. Deren Nutzung ist einzustellen.
• Seit 2. Februar 2025 sollen Mitarbeiterinnen und Mitarbeiter über eingesetzte KI-Systeme geschult werden (Transparenz und Dokumentation).
• Ab 2. August 2026 gelten die übrigen Verpflichtungen des AI Act (z. B. Trans-parenzpflichten – Hinweispflichten).

Bemerkenswert ist, dass die Frist für Hochrisiko-KI-Systeme verlängert wurde, und zwar auf eine Übergangsfrist von 36 Monaten, also bis 2. August 2027.

Risikobasierter Ansatz
Grundsätzlich war es die Intention des EU-Gesetzgebers, die Entwicklung und Innovation der KI-Systeme zu forcieren, hierfür jedoch einen Rahmen für die Entwicklerinnen und Entwickler (Anbieterinnen und Anbieter) vorzugeben. Die Nutzerinnen und Nutzer sowie die Endkundinnen und -kunden, die KI-generierte Ergebnisse verarbeiten dürfen, sollen nicht übervorteilt und plötzlich mit „Fake News“ überhäuft werden.

Der AI Act knüpft daher an einem risikobasierten Ansatz an.

Die EU hat die damit verbundenen Risiken gesetzlich definiert und versucht, diese in einen ethischen, auf den Menschen ausgerichteten Rahmen zu gießen. Der AI Act knüpft daher an einem risikobasierten Ansatz für die jeweilige KI-Anwendung an und legt sowohl der Anbieterin bzw. dem Anbieter als auch der Betreiberin bzw. dem Betreiber des KI-Systems unterschiedliche Verpflichtungen auf. Die risikobasierte Kategorisierung lässt sich wie folgt zusammenfassen:

• Unannehmbares Risiko: Manche Nutzungsarten von KI werden als unannehmbar gesehen, die Verwendung dieser Systeme ist in der EU verboten. Exemplarisch gehören die kognitive Verhaltensmanipulation, vorausschauende Polizeiarbeit („Predictive Policing“), Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie Sozialkreditsysteme dazu. Biometrische Fernidentifizierungssysteme wie Gesichtserkennung werden mit einigen begrenzten Ausnahmen ebenfalls verboten. Darauf wurde in der Vortragsreihe „Recht einfach“ näher eingegangen.
• Hohes Risiko: Eine ganze Reihe von Hochrisiko-KI-Systemen wird zugelassen, muss aber eine Vielzahl an Anforderungen und Verpflichtungen erfüllen, um zulässig eingesetzt zu werden. Exemplarisch gehören zu High-Risk-Systemen jene, die KI bei Sicherheitseinrichtungen in Fahrzeugen, Spielzeugen, Zügen, Liften einsetzen bzw. auch Systeme im Einsatz des Personalmanagements, Kreditwürdigkeitsprüfung etc.
• Begrenztes Risiko: Für das begrenzte Risiko (klassischer Einsatzzweck für den Bereich der Werbung und Marktkommunikation, bei Werbebildern oder -texten) werden nur sehr geringe Transparenzpflichten gelten, beispiels-weise die Transparenzverpflichtung bzw. Offenlegung, dass die Inhalte KI-generiert sind, sodass Nutzerinnen und Nutzer im Klaren über den Einsatz der KI sind.
• Minimales oder kein Risiko: Die Mehrheit der KI-Systeme (etwa Videospiele oder Spamfilter) birgt keine Risiken, kann deshalb weiterhin genutzt werden und wird durch das KI-Gesetz der EU nicht beschränkt.

Wie beim begrenzten Risiko faktisch vorausgesetzt, wird mit dem risikobasierten Ansatz im AI Act die Transparenz verfolgt, sodass eine Nutzerin oder ein Nutzer nicht auf Fake News hereinfallen kann. Grundsätzlich gilt die Transparenzpflicht dahingehend, dass künstlich erzeugte oder bearbeitete Inhalte, wie Bilder, Audios oder Videos, eindeutig als solche gekennzeichnet werden müssen, wobei es auch hier wieder eine Ausnahme gibt. Wenn ein Mensch nach der Generierung der Erzeugnisse (begrenztes Risiko) das Ganze redaktionell überprüft, entfällt die Kennzeichnungspflicht. Aktuell wird es simpler sein, einmal mehr als einmal zu wenig auf den Einsatz der KI hinzuweisen.

Seit 2. Februar 2025 sollen Mitarbeiterinnen und Mitarbeiter über eingesetzte KI-Systeme geschult werden.

Aufgrund des umfangreichen und doch noch in den Kinderschuhen steckenden Themas empfehle ich, beim Einsatz von KI zunächst Vorsicht walten zu lassen, da die Strafen des AI Act nicht unerheblich sind – besser einmal zu viel als zu wenig nachfragen!