KI-Verordnung 2023: Ein Überblick

Die KI-Verordnung der EU: Ein strategischer Kompass für Ihr Unternehmen

Die Verordnung über künstliche Intelligenz (kurz: KI-Verordnung oder AI Act) ist das weltweit erste umfassende Gesetz zur Regulierung von KI. Für Unternehmen in der Europäischen Union – und darüber hinaus – ist sie weit mehr als eine weitere regulatorische Vorschrift. Sie ist ein strategischer Rahmen, der die Entwicklung, den Einsatz und die Vermarktung von KI-Systemen fundamental prägen wird. Dieses Dokument dient Ihnen als umfassender Leitfaden, um die Komplexität der Verordnung zu meistern und sie in einen strategischen Vorteil für Ihr Unternehmen zu verwandeln.

Was ist die EU-KI-Verordnung (AI Act)?

Die KI-Verordnung ist ein Gesetzesrahmen der Europäischen Kommission, der darauf abzielt, einen einheitlichen und harmonisierten Rechtsrahmen für künstliche Intelligenz innerhalb des EU-Binnenmarktes zu schaffen. Sie folgt einem klaren Ziel: die Chancen der KI zu nutzen und gleichzeitig die Risiken für die Gesundheit, die Sicherheit und die Grundrechte der Bürger zu minimieren.

Ziele und Kernprinzipien der Verordnung

Die Verordnung verfolgt vier zentrale Ziele:

1. Sicherheit und Schutz der Grundrechte: Sicherstellen, dass in der EU eingesetzte KI-Systeme sicher sind und im Einklang mit den Werten der Union stehen.
2. Rechtssicherheit: Schaffung klarer Regeln für Unternehmen, um Investitionen und Innovationen in KI zu fördern.
3. Stärkung von Governance und Durchsetzung: Effektive Überwachung der Einhaltung der Vorschriften in allen Mitgliedsstaaten.
4. Förderung eines Binnenmarktes für KI: Verhinderung einer Fragmentierung des Marktes durch unterschiedliche nationale Regelungen.

Das Kernprinzip ist dabei die Schaffung von Vertrauen ("Trustworthy AI"), das als Grundlage für eine breite Akzeptanz und erfolgreiche Skalierung von KI-Technologien in Wirtschaft und Gesellschaft gesehen wird.

Der risikobasierte Ansatz: Das Herzstück der Regulierung

Die KI-Verordnung klassifiziert KI-Systeme nicht nach ihrer Technologie, sondern nach dem Risiko, das von ihrer Anwendung ausgeht. Dieser risikobasierte Ansatz ist das entscheidende Konzept, das jedes Unternehmen verstehen muss, um seine Betroffenheit und seine Pflichten korrekt einordnen zu können. Je höher das potenzielle Risiko, desto strenger sind die regulatorischen Anforderungen.

Stufe 1: Unannehmbares Risiko – Verbotene KI-Anwendungen

Systeme, deren Einsatz den Werten der EU und den Grundrechten fundamental widerspricht, werden vollständig verboten. Dazu gehören unter anderem:

• Social Scoring: Die Bewertung von Personen auf Basis ihres sozialen Verhaltens oder persönlicher Merkmale durch staatliche Stellen.
• Subliminale Beeinflussung: KI-Systeme, die Menschen unbewusst manipulieren, um sie zu potenziell schädlichem Verhalten zu verleiten.
• Ausnutzung von Schwachstellen: Systeme, die gezielt die Verletzlichkeit bestimmter Personengruppen (z.B. aufgrund von Alter oder Behinderung) ausnutzen.
• Echtzeit-Fernidentifizierung im öffentlichen Raum: Der Einsatz von biometrischer Gesichtserkennung in Echtzeit zu Strafverfolgungszwecken ist, mit eng definierten Ausnahmen, verboten.

Stufe 2: Hohes Risiko – Die entscheidende Kategorie für Unternehmen

Dies ist die relevanteste Kategorie für die meisten Unternehmen. Systeme, die ein hohes Risiko für die Gesundheit, Sicherheit oder die Grundrechte von Personen darstellen, unterliegen strengen und umfassenden Anforderungen, bevor und während sie auf dem Markt sind.

Wann ist ein KI-System ein Hochrisiko-System?

Ein System wird als hochriskant eingestuft, wenn es zwei Bedingungen erfüllt: Es fällt in einen der in Anhang III der Verordnung gelisteten Sektoren UND es stellt ein hohes Risiko dar. Zu den wichtigsten Sektoren gehören:

• Biometrische Identifizierung und Kategorisierung von natürlichen Personen.
• Management und Betrieb kritischer Infrastrukturen (z.B. Wasser-, Gas- und Stromversorgung).
• Bildung und berufliche Bildung (z.B. bei der Bewertung von Prüfungen oder der Zulassung zu Bildungseinrichtungen).
• Beschäftigung, Personalmanagement und Zugang zu Selbstständigkeit (z.B. KI-Systeme zum Sortieren von Bewerbungen, für Beförderungsentscheidungen).
• Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen (z.B. bei der Kreditwürdigkeitsprüfung).
• Strafverfolgung, Justiz und demokratische Prozesse.

Zusätzlich gelten Produkte, die unter bestehende EU-Sicherheitsvorschriften fallen und eine Sicherheitskomponente beinhalten, die auf KI basiert (z.B. in Spielzeug, Luftfahrt, Fahrzeugen oder medizinischen Geräten), ebenfalls als Hochrisiko-Systeme.

Stufe 3: Begrenztes Risiko – Die Pflicht zur Transparenz

Bei KI-Systemen mit einem begrenzten Risiko steht die Transparenz im Vordergrund. Nutzer müssen erkennen können, dass sie mit einer Maschine interagieren, damit sie eine informierte Entscheidung treffen können.

Was bedeutet Transparenzpflicht?

Konkret bedeutet dies, dass Anwendungen wie die folgenden klar gekennzeichnet sein müssen:

• Chatbots: Nutzer müssen darüber informiert werden, dass sie mit einem KI-System kommunizieren.
• Deepfakes: KI-generierte oder manipulierte Audio-, Bild- oder Videoinhalte (sog. "Deepfakes") müssen als solche erkennbar gemacht werden.
• KI-generierte Texte: Wenn Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Kontrolle veröffentlicht werden, muss ihre künstliche Herkunft offengelegt werden.

Stufe 4: Minimales Risiko – Der Großteil der KI-Anwendungen

Die überwiegende Mehrheit der heute genutzten KI-Systeme fällt in diese Kategorie. Beispiele hierfür sind KI-gestützte Spamfilter, Bestandsverwaltungssysteme in Unternehmen oder KI in Videospielen. Für diese Systeme gibt es keine neuen Verpflichtungen unter dem AI Act. Unternehmen können sich jedoch freiwillig zu höheren Standards und Verhaltenskodizes verpflichten.

Ihre Pflichten als Unternehmen: Ein detaillierter Leitfaden

Die KI-Verordnung definiert klare Verantwortlichkeiten für die verschiedenen Akteure in der Wertschöpfungskette. Es ist entscheidend, Ihre Rolle korrekt zu identifizieren, da sich daraus spezifische Pflichten ableiten. Die wichtigsten Rollen sind der "Anbieter" (Provider), der ein KI-System entwickelt und auf den Markt bringt, und der "Anwender" (Deployer), der ein KI-System unter seiner eigenen Autorität einsetzt.

Pflichten für Anbieter (Provider) von Hochrisiko-KI

Anbieter tragen die Hauptlast der regulatorischen Anforderungen. Bevor sie ein Hochrisiko-System in der EU in Verkehr bringen dürfen, müssen sie ein umfassendes Compliance-Framework etablieren. Dies beinhaltet:

1. Einrichtung eines Risikomanagementsystems: Ein kontinuierlicher Prozess zur Identifizierung, Analyse und Minimierung von Risiken während des gesamten Lebenszyklus des Systems.
2. Sicherstellung von Datenqualität und Data Governance: Die zum Training und Testen verwendeten Datensätze müssen relevant, repräsentativ, fehlerfrei und vollständig sein, um Verzerrungen (Bias) zu vermeiden.
3. Erstellung einer Technischen Dokumentation: Eine lückenlose Dokumentation, die nachweist, dass das System die Anforderungen der Verordnung erfüllt. Sie muss vor dem Inverkehrbringen erstellt und den Behörden auf Anfrage vorgelegt werden.
4. Implementierung von Aufzeichnungspflichten: Das System muss während seines Betriebs automatisch Ereignisprotokolle (Logs) erstellen, um die Rückverfolgbarkeit der Ergebnisse zu gewährleisten.
5. Gewährleistung von Transparenz: Dem Anwender müssen klare und verständliche Gebrauchsanweisungen zur Verfügung gestellt werden, die über die Fähigkeiten, Grenzen und korrekte Nutzung des Systems informieren.
6. Ermöglichung menschlicher Aufsicht: Das System muss so konzipiert sein, dass es von Menschen effektiv überwacht, gesteuert und notfalls gestoppt werden kann.
7. Sicherstellung von Genauigkeit, Robustheit und Cybersicherheit: Das System muss über den gesamten Lebenszyklus hinweg ein angemessenes Maß an Genauigkeit und Widerstandsfähigkeit gegenüber Fehlern und Angriffen aufweisen.

Pflichten für Anwender (Deployer) von Hochrisiko-KI

Ein weit verbreiteter Irrtum ist, dass nur die Hersteller von KI in der Pflicht stehen. Die KI-Verordnung nimmt ausdrücklich auch die Unternehmen in die Verantwortung, die Hochrisiko-Systeme einsetzen (z.B. ein Unternehmen, das eine KI-Software zur Bewerberauswahl nutzt).

Warum auch reine Nutzer in der Verantwortung stehen

Anwender stehen an der Schnittstelle zum Menschen und zur konkreten Anwendung. Ihre Pflichten sollen sicherstellen, dass das System in der Praxis korrekt und sicher verwendet wird. Dazu gehören:

• Sorgfältige Nutzung gemäß Gebrauchsanweisung: Der Anwender muss die vom Anbieter bereitgestellten Instruktionen befolgen.
• Sicherstellung der menschlichen Aufsicht: Der Anwender muss Personal benennen, schulen und befähigen, die KI-Systeme kompetent zu überwachen.
• Kontrolle der Input-Daten: Soweit der Anwender Kontrolle über die Eingabedaten hat, muss er deren Relevanz und Eignung sicherstellen.
• Informations- und Meldepflichten: Anwender müssen die Anbieter oder Händler über schwerwiegende Vorfälle oder Fehlfunktionen informieren und Aufzeichnungen über den Einsatz führen.

Sonderfall Foundation Models: Was Anbieter von Allzweck-KI wissen müssen

Als Reaktion auf die rasante Entwicklung von Modellen wie GPT-4 wurden spezifische Regeln für sogenannte Foundation Models oder General Purpose AI (GPAI) in die Verordnung aufgenommen.

Was sind Foundation Models und General Purpose AI (GPAI)?

Dies sind Modelle, die für eine breite Palette von nachgelagerten Aufgaben trainiert werden und von vielen anderen Systemen als Basis genutzt werden können. Sie stellen eine besondere Herausforderung dar, da ihre vielfältigen Anwendungsmöglichkeiten schwer vorhersehbar sind.

Spezifische Transparenz- und Dokumentationspflichten für GPAI

Alle Anbieter von Foundation Models müssen unter anderem technische Dokumentationen bereitstellen, Informationen für nachgelagerte Anbieter zur Verfügung stellen und eine Richtlinie zur Einhaltung des EU-Urheberrechts vorweisen.

Verschärfte Anforderungen für Modelle mit systemischem Risiko

Besonders leistungsfähige Foundation Models, die als Modelle mit "systemischem Risiko" eingestuft werden, unterliegen noch strengeren Pflichten. Dazu gehören die Durchführung von Modell-Evaluierungen, die Bewertung und Minderung potenzieller Risiken sowie die Meldung schwerwiegender Vorfälle.

Der Weg zur Compliance: Ein praktischer 5-Phasen-Fahrplan

Die Umsetzung der KI-Verordnung ist ein strategisches Projekt, kein einmaliger IT-Check. Wir empfehlen ein strukturiertes Vorgehen in fünf Phasen, um Compliance systematisch zu erreichen und Risiken zu minimieren.

1. Phase 1: Inventarisierung & Klassifizierung: Verschaffen Sie sich einen vollständigen Überblick. Welche KI-Systeme (einschließlich KI-Komponenten in Standardsoftware) nutzen, entwickeln oder planen Sie? Klassifizieren Sie jedes System gemäß dem risikobasierten Ansatz der Verordnung.
2. Phase 2: Detaillierte Risiko- und Betroffenheitsanalyse: Führen Sie für alle Systeme, die potenziell in die Hochrisiko-Kategorie fallen, eine tiefgehende Analyse durch. Identifizieren Sie Ihre Rolle (Anbieter, Anwender, etc.) und leiten Sie die spezifischen Pflichten ab.
3. Phase 3: Aufbau der KI-Governance & Implementierung der Pflichten: Benennen Sie klare Verantwortlichkeiten (z.B. einen KI-Beauftragten). Passen Sie interne Prozesse an, um die Anforderungen an Risikomanagement, Dokumentation und Aufsicht zu erfüllen. Dies ist der aufwendigste, aber wichtigste Schritt.
4. Phase 4: Konformitätsbewertung & CE-Kennzeichnung: Für Anbieter von Hochrisiko-Systemen folgt der formale Nachweis der Konformität, der in der Regel durch eine interne Kontrolle erfolgt und mit der Ausstellung einer EU-Konformitätserklärung und der Anbringung des CE-Zeichens abgeschlossen wird.
5. Phase 5: Marktüberwachung & kontinuierliche Anpassung: Compliance ist ein fortlaufender Prozess. Richten Sie ein System zur Überwachung Ihrer KI-Systeme im Betrieb ein, um auf Vorfälle reagieren und die Konformität bei wesentlichen Änderungen sicherstellen zu können.

Sanktionen und Haftung: Warum Nicht-Konformität keine Option ist

Die KI-Verordnung sieht empfindliche Bußgelder für Verstöße vor, die in ihrer Höhe teilweise sogar die der Datenschutz-Grundverordnung (DSGVO) übersteigen.

Die Struktur der Bußgelder: Eine Übersicht

• Bis zu 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes für den Einsatz verbotener KI-Systeme.
• Bis zu 15 Mio. Euro oder 3% des weltweiten Jahresumsatzes für Verstöße gegen die Pflichten für Hochrisiko-Systeme.
• Bis zu 7,5 Mio. Euro oder 1,5% des weltweiten Jahresumsatzes für die Bereitstellung falscher Informationen an Behörden.

Diese Zahlen signalisieren klar: Die Einhaltung der Verordnung wird mit großem Nachdruck verfolgt werden.

Das Zusammenspiel mit der DSGVO: Wo sich KI-Verordnung und Datenschutz treffen

Die KI-Verordnung und die DSGVO sind zwei separate, aber eng miteinander verknüpfte Regelwerke. Während die DSGVO den Schutz personenbezogener Daten regelt, fokussiert die KI-Verordnung auf die Sicherheit von Produkten und den Schutz von Grundrechten im Allgemeinen.

Gemeinsamkeiten und Unterschiede

Es gibt erhebliche Überschneidungen, insbesondere bei den Themen Datenqualität, Transparenz und Risikobewertung. Die Pflicht zur Nutzung hochwertiger, unverzerrter Trainingsdaten in der KI-Verordnung spiegelt das Prinzip der Datenrichtigkeit aus der DSGVO wider. Unternehmen, die bereits starke DSGVO-Compliance-Prozesse etabliert haben, verfügen über eine exzellente Grundlage für die Umsetzung der KI-Verordnung.

Ausblick und nächste Schritte: Die KI-Verordnung als Wettbewerbsvorteil

Die KI-Verordnung ist mehr als eine Bürde. Sie ist eine Chance, sich im globalen Wettbewerb zu differenzieren. Ein nachweislich konformes und vertrauenswürdiges KI-System ist ein starkes Verkaufsargument.

Der Zeitplan: Wann werden welche Regeln scharf geschaltet?

Nach der finalen Verabschiedung gibt es gestaffelte Übergangsfristen. Die Verbote für KI-Systeme mit unannehmbarem Risiko werden voraussichtlich bereits 6 Monate nach Inkrafttreten wirksam. Die umfassenden Regeln für Hochrisiko-Systeme müssen in der Regel nach 24 Monaten vollständig umgesetzt sein. Jetzt ist der entscheidende Zeitpunkt, um mit der Vorbereitung zu beginnen.

Wie Sie die Regulierung als Gütesiegel für "Trustworthy AI" nutzen

Unternehmen, die die Anforderungen der KI-Verordnung frühzeitig und umfassend umsetzen, positionieren sich als Vorreiter für ethische und sichere KI. Dieses "Made in Europe"-Gütesiegel kann das Vertrauen von Kunden, Partnern und Investoren stärken und so zu einem entscheidenden Vorteil in einem Markt werden, in dem Zuverlässigkeit und Sicherheit immer wichtiger werden.

Ihr nächster Schritt: Von der Information zur strategischen Umsetzung

Sie haben nun ein fundiertes Verständnis der weitreichenden Implikationen der KI-Verordnung erlangt. Der entscheidende Schritt liegt nun in der Übersetzung dieses Wissens in einen konkreten, auf Ihr Unternehmen zugeschnittenen Fahrplan. Die Zeit des Abwartens ist vorbei. Eine proaktive Auseinandersetzung mit den Anforderungen ist unerlässlich, um Risiken zu managen und die strategischen Chancen zu ergreifen, die sich aus diesem neuen Regulierungsrahmen ergeben. Beginnen Sie jetzt mit der Inventarisierung und Analyse Ihrer KI-Systeme. Wir empfehlen, die Verantwortung klar zu definieren und die Umsetzung als strategisches, abteilungsübergreifendes Projekt zu behandeln.