Die KI-Verordnung (EU AI Act) ist eine bahnbrechende Regelung, die von der Europäischen Union eingeführt wurde, um die Entwicklung und Nutzung von Technologien der künstlichen Intelligenz zu regeln.
Inhaltsverzeichnis
Was ist das EU-KI-Gesetz?
Das EU-KI-Gesetz ist ein umfassender regulatorischer Rahmen, der regelt, wie Künstliche Intelligenz (KI)-Systeme innerhalb der Europäischen Union entwickelt, auf den Markt gebracht und genutzt werden. Es gilt sowohl für KI-Anbieter als auch für Anwender und legt klare rechtliche Verpflichtungen fest, basierend darauf, wie KI-Systeme Einzelpersonen, Gesellschaft und Grundrechte beeinflussen. Das Gesetz fördert Innovation, während es Gesundheit, Sicherheit und Grundrechte schützt, indem es Anforderungen an Transparenz, Risikomanagement, menschliche Aufsicht, Datenverwaltung und Cybersicherheit im gesamten Lebenszyklus der KI festlegt.
Risikokategorien des EU-KI-Gesetzes
Das EU-KI-Gesetz verwendet einen risikobasierten Ansatz, was bedeutet, dass KI-Systeme je nach dem Risiko, das sie für Einzelpersonen und die Gesellschaft darstellen, reguliert werden. Je höher das potenzielle Risiko, desto strenger sind die Verpflichtungen für Anbieter und Anwender.
- Verbotene Praktiken
KI-Systeme, die ein inakzeptables Risiko darstellen, sind vollständig verboten. Dazu gehören kognitive Verhaltensmanipulation, soziales Scoring durch öffentliche Behörden, wahlloses Scraping von Gesichtsbildern und biometrische Inferenz sensibler Attribute wie politische Überzeugungen oder sexuelle Orientierung. - Hochrisiko-KI-Systeme
Hochrisiko-Systeme werden in sensiblen oder regulierten Bereichen eingesetzt, wie z.B. in kritischer Infrastruktur, Beschäftigung und Personalwesen, Kreditwürdigkeitsbewertungen, Bildung, Gesundheitswesen, Strafverfolgung, Grenzkontrolle und Justizverwaltung. Diese Systeme müssen strenge Anforderungen erfüllen, einschließlich Risikomanagementprozesse, hochwertige Trainingsdaten, technische Dokumentation, menschliche Aufsicht, Cybersicherheitsmaßnahmen und CE-Kennzeichnung, bevor sie auf den Markt gebracht werden. - Allgemein verwendbare KI-Modelle (GPAI)
Diese Kategorie umfasst groß angelegte Modelle wie große Sprachmodelle (LLMs). Anbieter müssen Transparenzverpflichtungen erfüllen, Urheberrechtsregeln respektieren, Trainingspraktiken dokumentieren und Maßnahmen zur Bewältigung systemischer Risiken umsetzen, insbesondere für leistungsfähigere oder weit verbreitete Modelle. - Begrenzte Risiko-KI-Systeme
Diese Systeme unterliegen hauptsächlich Transparenzverpflichtungen. Nutzer müssen informiert werden, wenn sie mit KI-generierten Inhalten interagieren, wie z.B. Chatbots oder Deepfakes, es sei denn, es gilt eine Ausnahme. - Minimale oder risikolose KI-Systeme
KI-Anwendungen, die wenig bis kein Risiko darstellen, wie KI-gestützte Videospiele oder Spam-Filter, sind weitgehend von der Regulierung durch das KI-Gesetz ausgenommen.
Verstöße gegen das KI-Gesetz können zu Geldstrafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist.
EU-KI-Gesetz und KI-Kompetenz
Seit dem 2. Februar 2025 müssen Anbieter und Anwender sicherstellen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen. Schulungen werden empfohlen, sind aber nicht verpflichtend.
Wichtige Überlegungen umfassen die Rolle des Unternehmens, allgemeines Verständnis von KI, verbundene Risiken und maßgeschneiderte Kompetenzmaßnahmen basierend auf technischem Wissen und Kontext.
Umsetzung in Unternehmen
Die Umsetzung des EU-KI-Gesetzes erfordert, dass Organisationen regulatorische Verpflichtungen in betriebliche Kontrollen übersetzen. Audits spielen eine entscheidende Rolle in diesem Prozess, indem sie Unternehmen helfen zu verstehen, wie KI-Systeme genutzt werden, wo Risiken bestehen und welche Maßnahmen zur Einhaltung erforderlich sind.
Diese Audits sollen:
- KI-Systeme gemäß den Risikokategorien des Gesetzes identifizieren und klassifizieren
- Bestimmen, ob die Organisation als Anbieter, Anwender oder beides agiert
- Überprüfen, wie KI-Systeme Daten verarbeiten und Ergebnisse generieren
- Lücken in Transparenz, menschlicher Aufsicht, Cybersicherheit und Risikomanagement identifizieren
- Pläne zur Behebung, Governance-Strukturen und interne Kontrollen für die Einhaltung informieren
In der Praxis bilden diese Bewertungen die Grundlage für KI-Governance-Programme und ermöglichen es Organisationen, Compliance-Bemühungen basierend auf Risiko und regulatorischer Exposition zu priorisieren.
EU KI-Gesetz Zeitplan
Das EU KI-Gesetz folgt einem gestaffelten Implementierungszeitplan, der Organisationen Zeit gibt, ihre KI-Governance-, Risikomanagement- und Compliance-Programme anzupassen. Wichtige Meilensteine umfassen den Zeitpunkt des Inkrafttretens, die Anwendung spezifischer Verpflichtungen und den Zeitpunkt, zu dem eine vollständige Einhaltung erforderlich ist.
Wichtige Daten des EU KI-Gesetzes
Datum
Meilenstein
August 2024
Das EU KI-Gesetz tritt in Kraft und wird offiziell EU-Recht.
Februar 2025
Verbotene KI-Praktiken treten in Kraft und werden verboten. Nationale Behörden für die Durchsetzung werden ernannt.
August 2025
Regeln für allgemeine KI-Modelle (GPAI) und zugehörige Governance-Verpflichtungen beginnen zu gelten.
August 2026 |
Das KI-Gesetz ist vollständig anwendbar. Compliance-Pflichten gelten für alle KI-Risikokategorien, einschließlich Hochrisikosystemen.
August 2027
Hochrisiko-KI-Systeme in regulierten Produkten müssen vollständig den Anforderungen des EU KI-Gesetzes entsprechen.
Dieser gestaffelte Ansatz soll Innovation mit rechtlicher Sicherheit ausbalancieren und es Organisationen ermöglichen, Governance-, technische Schutzmaßnahmen und Aufsichtsmechanismen schrittweise anhand des KI-Risikos umzusetzen.
Was ist künstliche Intelligenz (KI)?
Künstliche Intelligenz (KI) ist ein Bereich der Informatik, der menschliche kognitive Fähigkeiten nachahmt, indem Eingabedaten identifiziert und sortiert werden. Diese Intelligenz kann auf programmierten Workflows basieren oder mit maschinellem Lernen erstellt werden.
Beim maschinellen Lernen werden Trainingsdaten verwendet, um der KI beizubringen, Muster zu erkennen und Vorhersagen zu treffen. Das EU AI Act definiert ein KI-System als ein maschinenbasiertes System, das mit unterschiedlichen Autonomiegraden arbeitet und Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert.
Beispiele für KI-Systeme unter dem EU AI Act umfassen Emotionserkennung, Gesichtserkennung, Kandidatenauswahl, Justizverwaltung, Gesundheitswesen (z.B. Symptomanalyse), Kundendienst, Chatbots und generative KI.
Generative KI, wie ChatGPT, bezieht sich auf KI-Systeme, die autonom Ergebnisse basierend auf Eingabedaten mithilfe von maschinellem Lernen und großen Sprachmodellen (LLMs) erzeugen. Diese Systeme können Fehler machen und "halluzinieren" – wahrscheinliche, aber ungenaue Aussagen erfinden.
Datenschutz
Die Nutzung von KI-Systemen, die personenbezogene Daten verarbeiten, muss der DSGVO entsprechen und Maßnahmen zur Verhinderung von Datenverlust umsetzen. Bußgelder bei Verstößen können bis zu 4 % des weltweiten Umsatzes oder 20 Millionen Euro betragen.
Unternehmen müssen eine rechtmäßige Verarbeitung sicherstellen, das Prinzip der Datenminimierung, Genauigkeit und Vertraulichkeit respektieren und Informationspflichten erfüllen.
Automatisierte Entscheidungen mit rechtlichen Auswirkungen müssen menschliches Ermessen einbeziehen. Technische und organisatorische Maßnahmen (TOM) wie Verschlüsselung und Pseudonymisierung sind unerlässlich.
Eine Datenschutz-Folgenabschätzung ist für risikoreiche Verarbeitungen erforderlich.
Schutz von Geschäftsgeheimnissen
Geschäftsgeheimnisse müssen vor unrechtmäßiger Aneignung und Offenlegung geschützt werden. Anforderungen umfassen Vertraulichkeitsmaßnahmen, Zugriffsbeschränkungen und NDAs.
KI-Systeme, Trainingsdaten und Ausgaben können Geschäftsgeheimnisse darstellen. Unternehmen müssen die Nutzung von Eingaben regeln und Drittanbieterbedingungen überprüfen, um Offenlegungsrisiken zu vermeiden.
Was sind die urheberrechtlichen Implikationen von KI?
Urheberrechtsfragen entstehen sowohl auf der Eingabe- als auch auf der Ausgabeseite von KI-Systemen. Die Nutzung geschützten Inhalts für das Training steht unter rechtlicher Prüfung.
KI-generierte Werke genießen nach geltendem Recht keinen Urheberrechtsschutz, da sie keine menschlichen Schöpfungen sind. Dies bedeutet, dass solche Ausgaben gemeinfrei sind.
Auf wen findet das EU-KI-Gesetz Anwendung?
Das EU-KI-Gesetz gilt weitgehend für Organisationen, die an der Entwicklung, Verbreitung oder Nutzung von KI-Systemen beteiligt sind, die den EU-Markt betreffen, unabhängig davon, wo die Organisation ihren Sitz hat.
Verantwortliche Parteien umfassen:
- KI-Anbieter, wie Unternehmen, die KI-Systeme oder allgemein verwendbare KI-Modelle auf den EU-Markt bringen
- KI-Anwender, einschließlich Organisationen, die KI-Systeme in Geschäftsabläufen, Entscheidungsfindung oder kundenorientierten Diensten nutzen
- Importeure und Distributoren, die KI-Systeme in die EU-Lieferkette einbringen
- Produkthersteller, die KI in regulierte Produkte oder Dienstleistungen integrieren
Innerhalb von Organisationen fällt die Verantwortung typischerweise auf:
- Die Geschäftsführung, die für Governance und Risikoaufsicht verantwortlich ist
- Rechts- und Compliance-Teams, die regulatorische Verpflichtungen verwalten
- IT-, Sicherheits- und Datenteams, die für die Implementierung, Überwachung und Schutzmaßnahmen verantwortlich sind
Das Gesetz hält diese Parteien durch Durchsetzungsmechanismen verantwortlich, einschließlich Geldstrafen, Marktbeschränkungen und Haftung für Nichteinhaltung oder durch KI-Systeme verursachte Schäden.
Was sollte in den Nutzungsbedingungen von KI-Systemen überprüft werden?
Unternehmen müssen die Nutzungsbedingungen von Drittanbieter-KI-Systemen überprüfen, wobei der Fokus auf folgenden Punkten liegt:
- Anwendbares Recht und Gerichtsstand
- Speicherung und Nutzung von Eingaben für das Training
- Rechte an Ausgaben
- Schadloshaltung gegen Urheberrechtsansprüche
- Gewährleistung und Haftungsbeschränkungen
Welche Richtlinien sollten Unternehmen für die Einhaltung des EU-AI-Gesetzes befolgen?
Interne KI-Richtlinien helfen, die Nutzung von KI-Systemen durch Mitarbeiter zu regeln. Diese können umfassen:
- Beschreibungen und Genehmigungen von KI-Systemen
- Anweisungen für den Umgang mit Eingaben und Ausgaben
- Einhaltung von Vertraulichkeit und Datenschutz
- Cybersicherheitsmaßnahmen und Transparenzpflichten
Zusammenfassung des EU AI Act
Das EU AI Act wird ab dem 2. August 2026 weitgehend angewendet und muss von Unternehmen, die KI nutzen, umgesetzt werden. Es regelt KI-Anbieter und -Anwender durch einen risikobasierten Ansatz: Je höher das gesellschaftliche Schadensrisiko, desto strenger die Regeln.
- Die Einhaltung der DSGVO ist bei der Verarbeitung personenbezogener Daten mit KI-Systemen obligatorisch.
- KI-Systeme müssen vor unbefugtem Zugriff und Cyberangriffen geschützt werden.
- Geschäftsgeheimnisse müssen bei der Nutzung von KI-Systemen geschützt werden.
- Urheberrechtsfragen auf der Eingabe- und Ausgabeseite unterliegen rechtlicher Prüfung.
- Unternehmen haften für Mängel an Produkten und Dienstleistungen, die durch KI verursacht werden.
- Die Nutzungsbedingungen von Drittanbieter-KI-Systemen müssen sorgfältig überprüft werden.
- Die KI-Kompetenz der Mitarbeiter sollte durch interne Richtlinien gefördert werden.
Wie unterstützt Trend Micro die Einhaltung des EU AI Act?
Die Einhaltung des EU AI Act erfordert mehr als nur das Verständnis der Regeln – es erfordert aktive Governance, Risikomanagement und klare Verantwortlichkeit über Ihre KI-Systeme hinweg. Von Urheberrecht und Haftung bis hin zu Nutzungsbedingungen und internen Richtlinien müssen Unternehmen sicherstellen, dass jeder Aspekt des KI-Einsatzes den sich entwickelnden gesetzlichen Standards entspricht.
Um dies zu unterstützen, können Unternehmen fortschrittliche Tools nutzen, die die Einhaltung vereinfachen und das Risiko von Cyberbedrohungen verringern, indem sie die Cyber Risk Exposure Management-Plattform von Trend Micro verwenden, die Ihnen hilft, Schwachstellen zu identifizieren, KI-bezogene Risiken zu managen und Vertrauen in Ihre digitalen Operationen zu bewahren.
Häufig gestellte Fragen (FAQs)
Was ist der EU AI Act?
Der EU AI Act ist eine Regelung zur Steuerung von künstlichen Intelligenzsystemen, um Sicherheit, Transparenz und Schutz der Grundrechte zu gewährleisten.
Wann tritt der EU AI Act in Kraft?
Der EU AI Act tritt 2024 in Kraft, mit vollständiger Anwendung ab 2026 in allen EU-Mitgliedstaaten.
Auf wen findet der EU AI Act Anwendung?
Der EU AI Act gilt für Anbieter, Benutzer und Importeure von KI-Systemen, die innerhalb der Europäischen Union operieren oder auf den EU-Markt abzielen.
Wann wurde der EU AI Act verabschiedet?
Der EU AI Act wurde 2024 vom Europäischen Parlament nach umfangreichen Verhandlungen und Konsultationen mit den Interessengruppen verabschiedet.
Wie kann man den EU AI Act einhalten?
Um das Gesetz einzuhalten, müssen Organisationen KI-Systeme nach Risiko klassifizieren, Transparenz gewährleisten, Konformitätsbewertungen durchführen und Dokumentationen aufrechterhalten.
Welche Strafen gibt es bei Nichteinhaltung des EU-KI-Gesetzes?
- Nichteinhaltung des EU-KI-Gesetzes kann Geldstrafen bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes verursachen.