AI Act – wie wird der Umgang mit KI geregelt?

Künstliche Intelligenz (KI) wurde mit ChatGPT für jeden zugänglich gemacht. Seitdem rücken die vielfältigen Möglichkeiten von KI immer mehr ins Bewusstsein und die Diskussionen rund um die Risiken von KI werden lauter.

Um die Menschen vor den möglichen Risiken zu schützen, hat die Europäische Union mit dem sogenannten AI Act (Artifical Intelligence Act = Gesetz über künstliche Intelligenz) einen ersten rechtlichen Rahmen für Entwicklung, Einsatz und Nutzung von KI geschaffen. Die EU-Verordnung zur KI ist weltweit die erste umfassende Regulation von KI und wurde im Mai 2024 von den 27 EU-Mitgliedsstaaten verabschiedet. Doch für wen gilt sie und was besagt sie?

Für wen gilt die KI-Verordnung?

• Der AI Act betrifft in erster Linie Unternehmen und Institutionen, die KI-Systeme innerhalb der EU entwickeln, verkaufen oder zugänglich machen.
• Zudem trifft der AI Act gewerbliche Nutzer von KI-Systemen innerhalb der EU.
• Privatpersonen haben keine besonderen Pflichten.
• Ausnahmen gelten für KI-Systeme, die für militärische Zwecke eingesetzt werden.

Welche Regelungen sieht der AI Act vor?

Die Verordnung will dafür sorgen, dass KI-Systeme sicher, transparent, zuverlässig und verantwortungsbewusst verwendet werden. So werden im AI Act zum Beispiel Anforderungen bezüglich Transparenz, Datenqualität, Dokumentationspflichten und Aufsicht des KI-Systems durch Menschen festgelegt. Dadurch sollen die Risiken für Gesundheit, Sicherheit oder Grundrechte reduziert werden.

Im AI Act werden KI-Systeme in verschiedene Risikogruppen eingestuft, die jeweils unterschiedlichen Anforderungen und Regelungen unterliegen:

KI-Risikogruppe 1: Geringes Risiko

Die KI-Systeme dieser Gruppe stellen kein unannehmbares oder hohes Risiko dar. Solche KI-Systeme können problemlos unter Einhaltung von Transparenz- und Informationspflichten entwickelt und genutzt werden. Beispielsweise muss transparent gemacht werden, dass ein KI-System hinter eine Telefon-Hotline steckt, wenn das nicht erkennbar ist. Auch „Deep Fakes“, also die Manipulation von Audios, Videos oder Bildern von echten Personen und Orten, müssen transparent gemacht werden. Zu dieser Kategorie gehören beispielsweise:

• Spam-Filter
• Chatbots
• KI in Video-Spielen
• Suchalgorithmen

KI-Risikogruppe 2: Hohes Risiko

Die KI-Systeme der Risikogruppe 2 können eine erhebliche Gefahr für Gesundheit, Sicherheit oder Grundrechte sein. Die Anbieter solcher Hochrisiko-KI-Systeme müssen eine „Konformitätserklärung“ abgeben, um die Einhaltung der Vorgaben der KI-Verordnung zu garantieren. Zudem müssen sie entsprechende Qualitäts- und Risikomanagementsysteme einführen. Zu dieser Kategorie gehören:

• Kritische Infrastruktur, z. B. KI-Sicherheitskomponenten im Straßenverkehr oder in der Energiewirtschaft (Wasser-, Gas-, Wärme- und Stromversorgung)
• Allgemeine und berufliche Bildung oder Beschäftigung, z. B. KI zur Bewertung von Lernergebnissen oder Steuerung von Lernprozessen
• Gesundheits- oder Bankwesen, z. B. KI-Systeme fürs Scoring zur Kreditvergabe oder für die Risikobewertung bei Kranken- oder Lebensversicherungen
• Private und öffentlichen Dienstleistungen und Sozialleistungen, z. B. KI-Systeme zur Beurteilung von möglichen Unterstützungsleistungen

KI-Risikogruppe 3: Unannehmbares Risiko

Die KI-Modelle dieser Kategorie stellen eine Bedrohung für die Menschen dar und sind laut AI-Act in der EU verboten. Dazu gehören folgende KI-Einsatzbereiche:

• Social Scoring, z. B. es dürfen keine Social Media Daten ausgewertet werden, um zu entscheiden, ob eine Person kreditwürdig ist
• Gefahr durch unterschwellige Beeinflussung, z. B. gezielte Manipulationen von Inhalten in sozialen Medien usw., um politische oder kommerzielle Ziele zu verfolgen
• Ausnutzung menschlicher Schwächen und Schutzbedürftigkeit, z. B. sprachgesteuertes Spielzeug, das risikoreiches Verhalten bei Kindern unterstützt
• Biometrische Echtzeit-Identifizierung in öffentlichen Räumen, z. B. Gesichtserkennung durch ungezieltes Filtern von Fotos/Videos aus dem Internet und von Überwachungskameras, wenn sie nicht zur Terrorabwehr o. Ä. dient

Wie geht es mit der KI-Verordnung in der EU weiter?

Nach Veröffentlichung im Amtsblatt der EU und einer weiteren 20-Tage-Frist tritt die KI-Verordnung voraussichtlich bald in Kraft. Danach kommt es zu folgenden Schritten:

1. Die EU-Mitgliedsstaaten müssen innerhalb von 12 Monaten entsprechende Aufsichtsbehörden zur Überwachung gründen und aufgedeckte Verstöße gegen die Verordnung mit Sanktionen gegenüber den Entwicklern oder Betreibern belegen.
2. Das Verbot für KI-Systeme mit einem unannehmbaren Risiko gilt nach 6 Monate.
3. Die Regelungen für KI-Systeme mit allgemeinem Verwendungszweck wie ChatGPT gelten nach 12 Monaten.
4. Andere Regelungen des AI Act sollen in der gesamten EU nach zwei Jahren komplett Anwendung finden.
5. Für manche Hochrisiko-KI Systeme, die schon anderen EU-Regeln unterworfen sind, gilt eine Übergangsfrist von 3 Jahren.
6. Die EU-Kommission wird jedes Jahr prüfen, ob es Anpassungen geben muss. Denn der AI Act soll aktuelle Entwicklungen immer sofort aufgreifen.

Was hältst Du vom AI Act? Sind die Regelungen ausreichend? Wo siehst Du die größte Gefahr von künstlicher Intelligenz?