Das bringt das KI-Gesetz der EU
Nach tagelangem Ringen hat sich die EU nun mit dem AI Act auf ein Gesetz für künstliche Intelligenz (KI) geeinigt. Doch was bringt der AI Act konkret?
Foto: PantherMedia / mdisk2514@gmail.com
Der AI Act soll den Einsatz und die Rechte von auf künstlicher Intelligenz beruhenden Diensten und Anwendungen reglementieren. Am Freitagabend (8. Dezember) erzielten die Unterhändler des Parlaments und des Rates eine vorläufige Einigung über das Gesetz über künstliche Intelligenz. Der AI Act soll im staatlichen Kontext sicherstellen, dass die Grundrechte, die Demokratie, die Rechtsstaatlichkeit und die ökologische Nachhaltigkeit vor möglichen Risiken des Einsatzes von KI geschützt werden, während gleichzeitig die Innovation gefördert und Europa zu einem Vorreiter in diesem Bereich gemacht wird. Die Vorschriften legen Verpflichtungen für künstliche Intelligenz fest, die sich nach den potenziellen Risiken und dem Ausmaß ihrer Auswirkungen richten.
Das bedeutet in der Praxis, dass biometrische Kategorisierungssysteme, die sensible Merkmale verwenden (z. B. politische, religiöse oder philosophische Überzeugungen oder sexuelle Orientierung) ebenso wenig eingesetzt werden dürfen wie das generelle, ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsanlagen zur Erstellung von Gesichtserkennungsdatenbanken.
EU: Showdown in Brüssel für neues Gesetz zu KI
Im Bereich der Arbeit und in sozialen Umfeldern darf keine Emotionserkennung durch KI sowie deren Auswertung verwendet werden. Zudem darf kein Social Scoring auf der Grundlage von Sozialverhalten oder persönlichen Merkmalen erstellt werden. Ebenfalls nicht zulässig laut des AI Acts werden KI-Systeme sein, die das menschliche Verhalten manipulieren, um den freien Willen des Menschen zu umgehen sowie Anwendungen, die eingesetzt werden, um die Schwächen von Menschen (aufgrund ihres Alters, einer Behinderung, ihrer sozialen oder wirtschaftlichen Lage) auszunutzen.
KI darf für Strafverfolgung genutzt werden
Doch im Rahmen der Strafverfolgung sieht der AI Act auch Ausnahmen vor. Die Verhandlungsführer einigten sich auf eine Reihe von Sicherheitsvorkehrungen und engen Ausnahmen für den Einsatz biometrischer Identifizierungssysteme (RBI) in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, vorbehaltlich einer vorherigen richterlichen Genehmigung und für streng definierte Listen von Straftaten. Die „Post-Remote-RBI“ würde ausschließlich bei der gezielten Suche nach einer Person eingesetzt, die verurteilt wurde oder im Verdacht steht, eine schwere Straftat begangen zu haben.
Die „Echtzeit-RBI“, also die Nutzung biometrischer KI in einer Livesituation, würde strengen Bedingungen unterliegen und ihr Einsatz wäre zeitlich und örtlich begrenzt, und zwar für Zwecke wie die gezielte Suche nach Opfern von Verbrechen (Entführung, Menschenhandel, sexuelle Ausbeutung). Darüber hinaus wäre sie zur Abwehr einer konkreten und gegenwärtigen terroristischen Bedrohung oder für die Lokalisierung oder Identifizierung einer Person, die im Verdacht steht, eine der in der Verordnung genannten Straftaten begangen zu haben, zulässig.
Besondere KI-Regelungen im Hochrisikobereich
Für KI-Systeme, die als hochriskant eingestuft werden (aufgrund ihres erheblichen Schadenspotenzials für Gesundheit, Sicherheit, Grundrechte, Umwelt, Demokratie und Rechtsstaatlichkeit), wurden klare Verpflichtungen vereinbart. Den Abgeordneten gelang es, unter anderem eine obligatorische Folgenabschätzung für die Grundrechte einzuführen, die auch für den Versicherungs- und Bankensektor gilt. KI-Systeme, die zur Beeinflussung des Wahlergebnisses und des Wählerverhaltens eingesetzt werden, werden ebenfalls als hochriskant eingestuft. Die Bürgerinnen und Bürger haben das Recht, sich über KI-Systeme zu beschweren und Erklärungen zu Entscheidungen zu erhalten, die auf KI-Systemen mit hohem Risiko beruhen und ihre Rechte beeinträchtigen.
KI-Tools: 22 Werkzeuge, die nicht nur Ingenieuren die Arbeit erleichtern
Zusätzlich sollen kleinere und mittelständische Unternehmen gefördert werden, sodass sie ohne unangemessenen Druck von Branchenriesen, die die Wertschöpfungskette kontrollieren, entwickeln können. Zu diesem Zweck fördert die Vereinbarung sogenannte regulatorische Sandkästen und Praxistests, die von nationalen Behörden eingerichtet werden, um innovative KI zu entwickeln und zu trainieren, bevor sie auf den Markt gebracht wird.
Die Nichteinhaltung der Vorschriften kann zu Geldbußen führen, die je nach Verstoß und Größe des Unternehmens zwischen 35 Mio. € oder 7 % des weltweiten Umsatzes und 7,5 Mio. € oder 1,5 % des Umsatzes liegen.
Unterschiedliche Reaktionen auf KI-Regelung
Der Branchenverband Bitkom sieht den AI Act eher kritisch, wie sein Hauptgeschäftsführer Bernhard Rohleder formuliert: „Die Einigung zum AI Act ist ein politischer Schaufenstererfolg zulasten von Wirtschaft und Gesellschaft.“ Der erzielte Kompromiss schieße insbesondere bei der Regulierung generativer KI über das Ziel hinaus und greife tief in die Technologie ein. „Die EU bindet damit den Unternehmen einen regulatorischen Klotz ans Bein. Das Risiko ist groß, dass europäische Unternehmen durch nicht praxistaugliche Vorhaben der rasanten technologischen Entwicklung künftig nicht folgen können“, so Rohleder.
„Deutschlands größtes Risiko bei KI ist das Risiko der verpassten Chance“
Aus der Sicht des TÜV Verbands ist die Regelung eher positiv zu bewerten. „Die Europäische Union ist mit der Einigung auf den AI Act der erste Wirtschaftsraum der Welt, der ein Ökosystem für sichere und vertrauenswürdige KI schafft“, erläutert Joachim Bühler, Geschäftsführer des TÜV-Verbands. Er sieht weiter in der Verordnung die Chance, dass so ein rechtssicherer Raum für alle Beteiligten an dieser Technologie geschaffen wird. Auch von rechtlicher Seite findet der AI Act Zuspruch. Wie die internationale Wirtschaftskanzlei CMS die Regulierung bewertet, fasst Markus Kaulartz, Rechtsanwalt und Partner, ebendort zusammen: „Die Befürchtung ist, dass KI-Anbieter künftig einen Bogen um die EU-Regulierung machen. Das Gegenteil wird aber der Fall sein: Wie so häufig wird auch diese EU-Verordnung eine Blaupause für die weltweite Regulierung sein.“
Die Kanzlei prognostiziert, dass sich mittelfristig nur solche Anbieter durchsetzen werden, die in ihren Produkten und Anwendungen Compliance-by-Design berücksichtigen, also solche, die schon direkt auf die gesetzlichen Rahmenbedingungen hin entwickelt werden.
