KI-Gesetz: Verordnung über künstliche Intelligenz der Europäischen Union

Nach dem Aufkommen verschiedener künstlicher Intelligenzen wie den beliebten ChatGPT oder Claude und nach vielen Monaten der Debatte hat das Europäische Parlament das Gesetz über künstliche Intelligenz verabschiedet, das harmonisierte Vorschriften für künstliche Intelligenz festlegt, um die Sicherheit und die Achtung der Grundrechte zu gewährleisten und gleichzeitig Innovationen zu fördern.

Das Ziel des Gesetzes über künstliche Intelligenz ist die Schaffung eines einheitlichen Rechtsrahmens, insbesondere in Bezug auf die Entwicklung, Vermarktung und Nutzung von künstlicher Intelligenz im Einklang mit den Werten der Europäischen Union (im Folgenden „EU“). Mit anderen Worten, die Regulierung des Inverkehrbringens und der Inbetriebnahme bestimmter KI-Systeme, da die EU weltweit führend bei der Entwicklung einer sicheren, vertrauenswürdigen und ethischen KI sein möchte.

Es ist hervorzuheben, dass das Gesetz über künstliche Intelligenz Anwendung findet auf:

1. Anbieter, die KI-Systeme in der Union in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle für allgemeine Zwecke in der Union in Verkehr bringen, unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland niedergelassen oder ansässig sind;
2. Betreiber von KI-Systemen, die in der Union niedergelassen oder ansässig sind;
3. Anbieter und Betreiber von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn die vom KI-System generierten Ausgabeinformationen in der Union verwendet werden.
4. Importeure und Händler von KI-Systemen;
5. Hersteller von Produkten, die ein KI-System zusammen mit ihrem Produkt und unter ihrem eigenen Namen oder ihrer Marke in Verkehr bringen oder in Betrieb nehmen;
6. Bevollmächtigte von Anbietern, die nicht in der Union niedergelassen sind;
7. betroffene Personen, die in der Union ansässig sind.

Neben einer Reihe weiterer in Artikel 2 des Gesetzes entwickelter Fälle findet es keine Anwendung auf KI-Systeme, die ausschließlich für militärische Zwecke entwickelt oder verwendet werden; noch auf Behörden von Drittländern oder internationale Organisationen, wenn diese Behörden oder Organisationen KI-Systeme im Rahmen internationaler Abkommen zur Strafverfolgung und justiziellen Zusammenarbeit mit der Union oder mit einem oder mehreren Mitgliedstaaten verwenden.

Zum ersten Mal wird der Begriff „System der künstlichen Intelligenz (KI-System)“ rechtlich definiert: „ein maschinenbasiertes System, das für den Betrieb mit unterschiedlichen Autonomiegraden konzipiert ist, das nach dem Einsatz Anpassungsfähigkeit zeigen kann und das für explizite oder implizite Ziele aus den empfangenen Eingabeinformationen ableitet, wie Ausgabeinformationen wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert werden, die physische oder virtuelle Umgebungen beeinflussen können“.

Im Gesetzestext werden auch eine Reihe von Definitionen der Hauptakteure in der Wertschöpfungskette der KI gegeben, wie z. B. Anbieter, Händler, Importeure oder Nutzer von KI-Systemen, unter anderem.

In Bezug auf die Regulierung des Themas folgt das Gesetz über künstliche Intelligenz einem risikobasierten Ansatz. Dazu unterscheidet es zwischen KI-Systemen, die Folgendes darstellen:

1. Verbotene KI-Praktiken: Solche, die Grundrechte verletzen, wie die schädliche Manipulation von Personen oder schutzbedürftigen Gruppen.
2. Hochrisiko-KI-Systeme: Im europäischen Markt erlaubt mit obligatorischen Anforderungen und Konformitätsbewertung ex ante.
3. KI-Systeme mit begrenztem Risiko: Weniger strenge Anforderungen.
4. KI-Systeme mit geringem oder minimalem Risiko: Keine speziellen Vorschriften.

Die verbotenen KI-Praktiken sind solche, die unter anderem Grundrechte verletzen. Zum Beispiel Praktiken, die ein großes Potenzial haben, Menschen durch unterschwellige Techniken, die ihr Bewusstsein überschreiten, zu manipulieren oder die die Schwachstellen bestimmter schutzbedürftiger Gruppen, wie Minderjährige oder Menschen mit Behinderungen, ausnutzen, um deren Verhalten erheblich zu verändern, sodass ihnen oder anderen Personen wahrscheinlich physische oder psychische Schäden entstehen.

Im Gegensatz dazu sind Hochrisiko-KI-Praktiken auf dem europäischen Markt erlaubt, sofern sie bestimmte obligatorische Anforderungen erfüllen und einer Ex-ante-Konformitätsbewertung unterzogen werden. Es ist hervorzuheben, dass für KI-Anbieter die Pflicht zur Implementierung von Risikomanagementsystemen im Zusammenhang mit Hochrisiko-KI-Systemen geregelt ist.

Das Risikomanagementsystem besteht aus einem kontinuierlichen Prozess, der während des gesamten Lebenszyklus eines Hochrisiko-KI-Systems durchgeführt wird und systematische regelmäßige Aktualisierungen erfordert, um relevante Risiken von KI-Systemen für Gesundheit, Sicherheit und Grundrechte zu erkennen und zu mindern. Es umfasst die folgenden Schritte:

• die Identifizierung und Analyse bekannter und vorhersehbarer Risiken, die mit jedem Hochrisiko-KI-System verbunden sind;
• die Schätzung und Bewertung der Risiken, die entstehen könnten, wenn das betreffende Hochrisiko-KI-System bestimmungsgemäß und bei vernünftigerweise vorhersehbarem Missbrauch verwendet wird;
• die Bewertung weiterer Risiken, die sich aus der Analyse der mit dem in Artikel 61 genannten Überwachungssystem nach dem Inverkehrbringen gesammelten Daten ergeben könnten;
• die Ergreifung geeigneter Risikomanagementmaßnahmen gemäß den nachfolgenden Absätzen.

Im Bereich des Schutzes personenbezogener Daten wird den Nutzern von Hochrisiko-KI-Systemen die Pflicht auferlegt, gegebenenfalls eine Datenschutz-Folgenabschätzung gemäß Artikel 35 der DSGVO durchzuführen.

Das Europäische KI-Büro wird das Zentrum der KI-Expertise in der gesamten Europäischen Union sein. Es wird eine Schlüsselrolle bei der Umsetzung des Gesetzes spielen, insbesondere für KI für allgemeine Zwecke, die Entwicklung und Nutzung vertrauenswürdiger KI sowie die internationale Zusammenarbeit fördern. Das KI-Büro wurde in der Europäischen Kommission als Kompetenzzentrum für KI eingerichtet und bildet die Grundlage eines einzigen europäischen KI-Governance-Systems.

Zusätzlich benennt oder errichtet jeder Mitgliedstaat mindestens eine benennende Behörde, die für die Festlegung und Durchführung der erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung der Konformitätsbewertungsstellen sowie für deren Überwachung zuständig ist.

Spanien war das erste Land der Europäischen Union, das die Spanische Agentur für die Überwachung von Künstlicher Intelligenz (AESIA) gegründet hat, deren Sitz in A Coruña sein wird.

Schließlich sieht das KI-Gesetz auf der Ebene der Sanktionen Verwaltungsstrafen unterschiedlicher Höhe vor (bis zu 35.000.000 EUR oder, wenn der Zuwiderhandelnde ein Unternehmen ist, bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, falls dieser Betrag höher ist), abhängig von der Schwere des Verstoßes. Die Mitgliedstaaten müssen das Sanktionssystem, einschließlich der Verwaltungsstrafen, festlegen und alle erforderlichen Maßnahmen ergreifen, um deren korrekte und wirksame Anwendung zu gewährleisten.

Die Verordnung wurde bereits angenommen und veröffentlicht (Verordnung (EU) 2024/1689) und befindet sich in voller schrittweiser Anwendung gemäß dem oben genannten Zeitplan. Der aktuelle Fokus liegt auf der Ausarbeitung von Verhaltenskodizes, harmonisierten Normen und Leitlinien der Kommission und des Europäischen KI-Büros sowie auf der Einrichtung nationaler Behörden wie der AESIA.

Das KI-Gesetz der EU stellt einen bedeutenden Schritt zur Schaffung eines klaren Regulierungsrahmens dar, mit dem Ziel, eine sichere und ethische KI zu etablieren. Zum Zeitpunkt seines Inkrafttretens wird es Anbieter und Nutzer von KI-Systemen in der Europäischen Union betreffen, den Schutz von Daten und Grundrechten gewährleisten und das Vertrauen in künstliche Intelligenzen fördern.