EU KI-Verordnung: Eine Zusammenfassung

Was ist die EU KI-Verordnung (AI Act)? Eine strategische Einordnung

Die EU KI-Verordnung, international als AI Act bekannt, ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Es handelt sich hierbei nicht um eine technische Spezifikation, sondern um einen risikobasierten Rechtsrahmen. Das Ziel ist es, einen Binnenmarkt für sichere und vertrauenswürdige KI zu schaffen und gleichzeitig die Grundrechte und die Sicherheit der EU-Bürger zu schützen. Für Ihr Unternehmen bedeutet dies eine fundamentale Verschiebung: Der Einsatz von KI ist fortan untrennbar mit strategischem Risikomanagement und nachweisbarer Sorgfaltspflicht verbunden.

Die Kernziele: Mehr als nur Regulierung

Die Intention des Gesetzgebers geht über die reine Risikovermeidung hinaus. Die zentralen strategischen Ziele, die Sie für Ihre Positionierung kennen müssen, sind:

• Sicherheit und Grundrechtsschutz: Gewährleistung, dass in der EU eingesetzte KI-Systeme sicher sind und die Grundrechte nicht verletzen.
• Rechtssicherheit: Schaffung klarer Regeln für Unternehmen und Investoren, um Innovation und Investitionen in KI zu fördern.
• Harmonisierter Binnenmarkt: Vermeidung eines regulatorischen Flickenteppichs durch einheitliche Regeln für alle EU-Mitgliedstaaten.
• Stärkung von Governance und Durchsetzung: Etablierung klarer Aufsichtsstrukturen und wirksamer Sanktionen.

Für wen gilt der AI Act? Der Anwendungsbereich

Die Verordnung ist bewusst breit gefasst, um Schutzlücken zu vermeiden. Sie gilt für praktisch alle Akteure in der Wertschöpfungskette:

• Anbieter (Provider): Jedes Unternehmen, das ein KI-System entwickelt und unter eigenem Namen oder eigener Marke auf den Markt bringt.
• Anwender (Deployer): Jedes Unternehmen oder jede Organisation, die ein KI-System unter eigener Verantwortung einsetzt (z.B. zur Mitarbeiterauswahl oder Kreditwürdigkeitsprüfung).
• Importeure und Händler: Akteure, die KI-Systeme aus Drittländern in die EU einführen oder vertreiben.

Entscheidend ist der extraterritoriale Effekt: Selbst wenn Ihr Unternehmen seinen Sitz außerhalb der EU hat, unterliegen Sie dem AI Act, sobald das von Ihnen bereitgestellte oder genutzte KI-System Ergebnisse erzeugt, die für Personen in der EU bestimmt sind.

Das Herzstück des AI Acts: Der risikobasierte Ansatz erklärt

Der strategische Kern der Verordnung ist die Einteilung von KI-Systemen in vier Risikoklassen. Ihre erste und wichtigste Aufgabe ist die korrekte Zuordnung Ihrer Systeme zu einer dieser Kategorien, da sich daraus alle weiteren Pflichten ableiten.

Kategorie 1: Inakzeptable Risiken – Die roten Linien der EU

Systeme in dieser Kategorie stellen eine klare Bedrohung für die Grundrechte und die Sicherheit dar und sind daher grundsätzlich verboten. Dazu gehören:

• KI-Systeme zur unterschwelligen Verhaltensmanipulation, die zu physischem oder psychischem Schaden führen können.
• Systeme für "Social Scoring" durch staatliche Stellen, also die Bewertung von Bürgern anhand ihres sozialen Verhaltens.
• Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken (mit eng definierten Ausnahmen).

Kategorie 2: Hohe Risiken (High-Risk) – Das Zentrum der Compliance-Pflichten

Dies ist die relevanteste Kategorie für die meisten Unternehmen. Ein KI-System gilt als hochriskant, wenn es in einem der in Anhang III der Verordnung gelisteten Bereiche eingesetzt wird und ein signifikantes Risiko für Gesundheit, Sicherheit oder Grundrechte birgt. Hierunter fallen unter anderem:

• Systeme in kritischen Infrastrukturen (z.B. Steuerung des Wasser- oder Stromnetzes).
• KI in der Personalverwaltung (z.B. für Bewerber-Screening oder Beförderungsentscheidungen).
• Systeme zur Bewertung der Kreditwürdigkeit von natürlichen Personen.
• KI-Komponenten in Medizinprodukten.
• Systeme in der Justiz und Strafverfolgung.

Für diese Systeme gelten die strengsten Anforderungen, die im nächsten Kapitel detailliert werden.

Kategorie 3: Begrenzte Risiken – Die Pflicht zur Transparenz

Systeme mit begrenztem Risiko unterliegen spezifischen Transparenzpflichten. Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren. Dies betrifft:

• Chatbots: Nutzer müssen wissen, dass sie nicht mit einem Menschen kommunizieren.
• Deepfakes: Manipulierte Bild-, Audio- oder Videoinhalte müssen als solche gekennzeichnet werden.
• KI-generierte Texte: Wenn Texte zu Themen von öffentlichem Interesse ohne menschliche Redaktion veröffentlicht werden, muss ihre künstliche Herkunft offengelegt werden.

Kategorie 4: Minimale bis keine Risiken – Der Freiraum für Innovation

Die große Mehrheit der KI-Anwendungen fällt in diese Kategorie. Beispiele sind KI-gestützte Spamfilter, Empfehlungsalgorithmen in Online-Shops oder KI in Videospielen. Für diese Systeme gibt es keine neuen regulatorischen Pflichten. Die EU ermutigt hier die freiwillige Anwendung von Verhaltenskodizes.

High-Risk AI-Systeme: Ihre detaillierten Pflichten als Anbieter und Anwender

Wenn Sie ein Hochrisiko-System entwickeln oder einsetzen, stehen Sie im Fokus des AI Acts. Die Pflichten sind umfangreich und erfordern eine systematische Implementierung in Ihre Geschäftsprozesse. Es wird klar zwischen den Pflichten der Anbieter und denen der Anwender unterschieden.

Pflichten für Anbieter (Hersteller)

Als Entwickler eines Hochrisiko-Systems müssen Sie vor dem Inverkehrbringen die folgenden Anforderungen erfüllen:

1. Risikomanagementsystem: Implementierung eines kontinuierlichen Prozesses zur Identifizierung, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus des Systems.
2. Daten und Data Governance: Verwendung von qualitativ hochwertigen Trainings-, Validierungs- und Testdatensätzen, um Verzerrungen (Bias) zu minimieren.
3. Technische Dokumentation: Erstellung und Pflege einer umfassenden Dokumentation, die den Aufbau, die Funktionsweise und den Zweck des Systems nachvollziehbar macht.
4. Protokollierung (Logging): Automatische Aufzeichnung von Ereignissen während des Betriebs des Systems, um die Nachverfolgbarkeit zu gewährleisten.
5. Transparenz und Gebrauchsanweisung: Bereitstellung klarer Informationen für den Anwender, damit dieser die Ergebnisse des Systems verstehen und interpretieren kann.
6. Menschliche Aufsicht: Gestaltung des Systems in einer Weise, die eine wirksame menschliche Kontrolle und Überwachung ermöglicht.
7. Genauigkeit, Robustheit und Cybersicherheit: Sicherstellung, dass das System über den gesamten Lebenszyklus hinweg widerstandsfähig und sicher ist.
8. Konformitätsbewertung: Durchführung einer Bewertung (in vielen Fällen durch eine benannte Stelle), um die Einhaltung der Anforderungen nachzuweisen, und Anbringung einer CE-Kennzeichnung.

Pflichten für Anwender (Deployer)

Auch als reiner Nutzer eines Hochrisiko-Systems treffen Sie erhebliche Sorgfaltspflichten:

• Gebrauchsanweisung befolgen: Einsatz des Systems ausschließlich im Rahmen der vom Anbieter vorgesehenen Zweckbestimmung.
• Menschliche Aufsicht sicherstellen: Benennung kompetenter Personen, die den Betrieb des Systems überwachen und bei Bedarf eingreifen können.
• Eingangsdaten kontrollieren: Sicherstellung, dass die dem System zugeführten Daten für den Zweck relevant sind.
• Überwachungspflicht: Beobachtung des Systembetriebs und Meldung von schwerwiegenden Vorfällen und Fehlfunktionen an den Anbieter und die Behörden.
• Datenschutz-Folgenabschätzung: Sofern personenbezogene Daten verarbeitet werden, ist häufig eine DSFA gemäß DSGVO durchzuführen.

Sonderfall General Purpose AI (GPAI) und Foundation Models

Angesichts der rasanten Entwicklung von Modellen wie GPT-4 oder Llama wurden spezifische Regeln für Allzweck-KI (GPAI) geschaffen. Hier wird ein zweistufiger Ansatz verfolgt.

Die Basis-Transparenzpflichten für alle GPAI-Modelle

Alle Anbieter von GPAI-Modellen müssen eine detaillierte technische Dokumentation bereitstellen und Informationen für die nachgelagerten Anwender zur Verfügung stellen, damit diese ihre eigenen Compliance-Pflichten erfüllen können.

Verschärfte Regeln für GPAI-Modelle mit "systemischem Risiko"

Die leistungsstärksten Modelle, die ein systemisches Risiko darstellen (definiert durch die für das Training verwendete Rechenleistung), unterliegen strengeren Pflichten. Dazu gehören:

• Durchführung standardisierter Modell-Evaluierungen.
• Bewertung und Minderung potenzieller systemischer Risiken.
• Meldung von schwerwiegenden Vorfällen an das AI Office.
• Gewährleistung eines hohen Niveaus an Cybersicherheit.

Der Fahrplan zur Compliance: Ein strategischer Zeitplan für Ihr Unternehmen

Der AI Act tritt schrittweise in Kraft. Dieser Zeitplan ist für Ihre strategische Planung von entscheidender Bedeutung:

• Ende 2024 (6 Monate nach Veröffentlichung): Die Verbote für KI-Systeme mit inakzeptablem Risiko werden wirksam.
• Mitte 2025 (12 Monate nach Veröffentlichung): Die Regeln für General Purpose AI (GPAI) treten in Kraft.
• Mitte 2026 (24 Monate nach Veröffentlichung): Die vollständigen Anforderungen für Hochrisiko-Systeme werden für die meisten Systeme anwendbar. Dies ist die wichtigste Deadline für die meisten Unternehmen.
• Mitte 2027 (36 Monate nach Veröffentlichung): Die Pflichten für bestimmte Hochrisiko-Systeme, die bereits anderen EU-Harmonisierungsvorschriften unterliegen, werden wirksam.

Governance, Sanktionen und Durchsetzung: Was bei Verstößen droht

Die Einhaltung des AI Acts wird durch ein neues, mehrstufiges Governance-System sichergestellt und mit erheblichen Bußgeldern durchgesetzt.

Die Rolle des neuen European AI Office

Auf EU-Ebene wird ein neues "AI Office" innerhalb der Europäischen Kommission eingerichtet. Dessen Hauptaufgaben sind die Überwachung der GPAI-Modelle, die Koordination zwischen den nationalen Behörden und die Entwicklung von Standards.

Die gestaffelten Bußgelder: Eine Übersicht

Die Sanktionen sind bewusst abschreckend gestaltet und übertreffen teilweise die der DSGVO. Sie sind nach der Schwere des Verstoßes gestaffelt:

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes: Für den Einsatz verbotener KI-Systeme.
• Bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes: Für die Nichteinhaltung der Pflichten für Hochrisiko-Systeme.
• Bis zu 7,5 Mio. € oder 1,5 % des weltweiten Jahresumsatzes: Für die Bereitstellung falscher Informationen an Behörden.

Strategische Vorbereitung: So machen Sie Ihr Unternehmen AI-Act-konform

Compliance mit dem AI Act ist kein einmaliges Projekt, sondern erfordert einen kontinuierlichen, strategischen Ansatz. Wir empfehlen das folgende Vorgehen:

1. Phase 1: Bestandsaufnahme und Klassifizierung. Identifizieren Sie alle KI-Systeme, die in Ihrem Unternehmen im Einsatz sind oder deren Einsatz geplant ist. Klassifizieren Sie jedes System gemäß dem risikobasierten Ansatz des AI Acts.
2. Phase 2: Durchführung einer Lückenanalyse (Gap Analysis). Bewerten Sie für jedes Hochrisiko-System, inwieweit die bestehenden Prozesse (z.B. Dokumentation, Risikomanagement, Datenqualität) die neuen Anforderungen bereits erfüllen und wo Handlungsbedarf besteht.
3. Phase 3: Aufbau interner Governance-Strukturen. Benennen Sie klare Verantwortlichkeiten (z.B. einen AI-Compliance-Beauftragten). Schaffen Sie Prozesse für Risikomanagement, Dokumentation und Meldung von Vorfällen.
4. Phase 4: Anpassung der Prozesse und Systeme. Setzen Sie die technischen und organisatorischen Maßnahmen um, die in der Gap Analysis identifiziert wurden. Schulen Sie Ihre Mitarbeiter, insbesondere die Anwender von Hochrisiko-Systemen.

Häufige strategische Fehler bei der Vorbereitung und wie Sie sie vermeiden

Aus unserer Beratungspraxis kristallisieren sich drei zentrale Fehler heraus, die den Erfolg Ihrer Compliance-Strategie gefährden können.

Fehler 1: Den AI Act als reines IT- oder Rechtsthema zu betrachten

Die Konsequenz: Isolierte Insellösungen, mangelnde Akzeptanz im Business und übersehene Risiken. Die Gegenmaßnahme: Etablieren Sie ein interdisziplinäres Team aus IT, Recht, dem jeweiligen Fachbereich und dem Management. Compliance ist eine Führungsaufgabe.

Fehler 2: Den extraterritorialen Anwendungsbereich zu unterschätzen

Die Konsequenz: Unerwartete rechtliche Konsequenzen und Bußgelder für Nicht-EU-Unternehmen, die den europäischen Markt bedienen. Die Gegenmaßnahme: Analysieren Sie Ihren Kundenstamm und Ihre Datenflüsse präzise. Wenn Sie Dienstleistungen für EU-Bürger erbringen, gehen Sie von einer Anwendbarkeit des AI Acts aus.

Fehler 3: Fehlende oder mangelhafte Datengovernance

Die Konsequenz: Hochrisiko-Systeme, die auf verzerrten Daten trainiert wurden, können nicht konform sein und führen zu diskriminierenden Ergebnissen und Reputationsschäden. Die Gegenmaßnahme: Betrachten Sie die Sicherstellung hoher Datenqualität als strategische Daueraufgabe und als Fundament für vertrauenswürdige KI.

Jenseits des AI Acts: Zusammenspiel mit der DSGVO und Ausblick

Der AI Act existiert nicht im luftleeren Raum. Insbesondere die Verbindung zur Datenschutz-Grundverordnung (DSGVO) ist von strategischer Bedeutung.

AI Act vs. DSGVO: Wo liegen die Überschneidungen?

Während die DSGVO den Schutz personenbezogener Daten regelt, fokussiert der AI Act auf die Sicherheit von Produkten und Systemen. Es gibt jedoch klare Synergien: Die Anforderungen des AI Acts an Datenqualität und die Vermeidung von Bias unterstützen direkt die Grundsätze der DSGVO wie Fairness und Datenminimierung. Eine Datenschutz-Folgenabschätzung nach DSGVO ist oft eine hervorragende Grundlage für die Risikoanalyse nach dem AI Act.

Die Zukunft: AI Liability Directive und weitere Entwicklungen

Parallel zum AI Act arbeitet die EU an der KI-Haftungsrichtlinie (AI Liability Directive). Diese wird es für Geschädigte einfacher machen, bei durch KI verursachten Schäden Schadensersatz zu fordern. Dies erhöht den Druck auf Unternehmen zusätzlich, robuste und sichere KI-Systeme zu implementieren. Der Trend ist klar: Die regulatorischen Anforderungen an den KI-Einsatz werden weiter zunehmen.

Ihr nächster Schritt: Von der Compliance zur strategischen Chance

Sie haben nun das notwendige Wissen, um die Komplexität des EU AI Acts zu verstehen und die Relevanz für Ihr Unternehmen einzuordnen. Die reine Einhaltung der Vorschriften ist jedoch nur die Mindestanforderung. Die wahre Chance liegt darin, die Prinzipien des AI Acts – Sicherheit, Transparenz und Vertrauenswürdigkeit – zum Kern Ihrer KI-Strategie zu machen. Unternehmen, denen dies gelingt, werden nicht nur rechtliche Risiken minimieren, sondern auch das Vertrauen ihrer Kunden gewinnen und sich einen entscheidenden Wettbewerbsvorteil im Zeitalter der Künstlichen Intelligenz sichern. Der entscheidende Schritt ist nun, dieses Wissen in einen konkreten, auf Ihr Unternehmen zugeschnittenen Fahrplan zu übersetzen. Lassen Sie uns in einem unverbindlichen Gespräch Ihre spezifischen Potenziale identifizieren und die ersten Schritte zur Etablierung einer robusten und zukunftssicheren KI-Governance definieren.