EU KI

Das KI (Gesetz der Europäischen Union über künstliche Intelligenz) ist ein umfassender Rechtsrahmen, der die Entwicklung, das Inverkehrbringen, den Einsatz und die Nutzung von Systemen der künstlichen Intelligenz innerhalb der EU regelt. Es gilt unabhängig davon, wo der Anbieter ansässig ist, was bedeutet, dass auch Organisationen außerhalb der EU in den Anwendungsbereich fallen können, wenn ihre KI auf dem EU-Markt in Verkehr gebracht werden oder ihre Ergebnisse dort genutzt werden. 

Im Kern führt die Verordnung ein risikobasiertes Governance-Modell ein, was bedeutet, dass die Verpflichtungen vom Ausmaß des Risikos abhängen, das ein KI für Gesundheit, Sicherheit und Grundrechte darstellt. Sie deckt das gesamteÖkosystem ab, einschließlich Anbietern, Betreibern, Importeuren, Händlern und Herstellern, die KI Produkte integrieren. 

Das KI führt zudem Vorschriften für Allzweck KI GPAI) ein, darunter auch Grundmodelle, wobei für GPAI-Modelle, die als systemisches Risiko eingestuft werden, zusätzliche Verpflichtungen gelten. 

Anpassung an den EU-Rechtsrahmen 

Das EU KI ergänzt andere wichtige digitale Rechtsvorschriften der EU, darunter: 

• DSGVO (Datenschutz und Privatsphäre) 

• EU-Gesetz über digitale Dienste (Verantwortlichkeit von Plattformen) 

• EU-Gesetz über digitale Märkte (Wettbewerb und Fairness) 

• EU-NIS2-Richtlinie (Cybersicherheitsresilienz) 

• EU-Datengesetz (Datenzugriff und -austausch) 

Zusammen bilden diese Vorschriften einen einheitlichen Rahmen für die digitale Governance, dessen Schwerpunkte auf Vertrauen, Transparenz, Cybersicherheit und verantwortungsvoller Innovation liegen. 

Zeitplan für die schrittweise Umsetzung 

Das EU KI ist ein kürzlich verabschiedeter Rechtsrahmen, der schrittweise eingeführt wird, wobei die Anforderungen nach und nach in Kraft treten. 

Inkrafttreten (August 2024): Die Verordnung tritt offiziell in Kraft, womit die schrittweise Umsetzungsphase beginnt.  

Sechs Monate (Februar 2025): Es gelten verbotene KI sowie Verpflichtungen KI für Organisationen, die KI entwickeln oder einsetzen.  

Zwölf Monate (August 2025): Die Verpflichtungen für KI für allgemeine Zwecke treten in Kraft, einschließlich der Anforderungen an Governance und Transparenz.  

24 Monate (August 2026): Die meisten verbleibenden Bestimmungen treten für alle regulierten KI in Kraft.  

36 Monate (August 2027): Bestimmte Anforderungen an KI mit hohem Risiko gelten in vollem Umfang, womit die Einführung der Verpflichtungen abgeschlossen ist. 

Auswirkungen auf kritische Sektoren und öffentliche Dienstleistungen 

Das KI ist besonders wichtig für Sektoren, in denen KI Einfluss auf Sicherheit, Grundrechte und wesentliche Dienste hat. Zu diesen Sektoren zählen das Gesundheitswesen, der Verkehrssektor, die Energiewirtschaft, Finanzdienstleistungen, die öffentliche Verwaltung und kritische Infrastrukturen. 

In diesen Umgebungen stärkt die Verordnung die Rechenschaftspflicht, indem sie ein strukturiertes Risikomanagement, eine umfassende Dokumentation, menschliche Aufsicht und eine kontinuierliche Überwachung vorschreibt. Diese Maßnahmen tragen dazu bei, dass KI Entscheidungen in missionskritischen Umgebungen transparent, nachvollziehbar und zuverlässig bleiben. 

Abstimmung auf Governance- und Sicherheitspraktiken 

Das KI orientiert sich eng an bewährten Praktiken im Bereich der Unternehmenssicherheit und -führung. Für Organisationen, die bereits auf „Secure-by-Design“-Entwicklung, strukturierte Dokumentation und kontinuierliche Überwachung setzen, werden viele der darin enthaltenen Anforderungen vertraut sein. 

Die Verordnung unterstreicht die Bedeutung einer nachweisbaren Einhaltung der Vorschriften, indem sie den Nachweis verlangt, dass KI gemäß den regulatorischen Erwartungen entwickelt, getestet, eingesetzt und überwacht werden. Dies trägt zu einem stärkeren Management rechtlicher, operativer und Reputationsrisiken bei. 

Transparenz im Betrieb durch Risikoklassifizierung 

Eines der charakteristischen Merkmale des KI ist sein strukturiertes Rahmenwerk zur Risikoeinstufung. KI werden in die Risikokategorien „inakzeptabel“, „hoch“, „begrenzt“ oder „minimal“ eingeteilt, wobei jeder Stufe entsprechende Verpflichtungen zugeordnet sind. 

Dieses Klassifizierungssystem unterstützt fundierte Entscheidungen in den Bereichen Beschaffung, Unternehmensführung, Entwicklung und Bereitstellung und verringert gleichzeitig das Risiko von Compliance-Lücken oder Durchsetzungsmaßnahmen. 

KI mit inakzeptablem Risiko 

KI mit inakzeptablem Risiko sind gemäß dem EU KI verboten, da sie als unvereinbar mit den Grundrechten der EU gelten und ein inakzeptables Risikoniveau aufweisen. 

Beispiele hierfür sind: 

• Soziale Bewertungssysteme, die zu einer ungerechtfertigten oder diskriminierenden Behandlung von Personen führen  

• Bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen, vorbehaltlich begrenzter, eng definierter Ausnahmen im Rahmen der Strafverfolgung  

• KI , die das Verhalten in einer Weise beeinflussen, die erheblichen Schaden verursacht oder wahrscheinlich verursachen wird, oder die Schwachstellen von Einzelpersonen oder bestimmten Gruppen ausnutzen  

• Das gezielte Sammeln von Gesichtsbildern aus dem Internet oder von Videoüberwachungskameras zum Aufbau oder zur Erweiterung von Gesichtserkennungsdatenbanken 

KI mit hohem Risiko 

KI mit hohem Risiko sind weiterhin zulässig, unterliegen jedoch umfangreichen regulatorischen Anforderungen gemäß dem EU KI . 

Beispiele hierfür sind KI in folgenden Bereichen: 

• Kritische Infrastruktur  

• Beschäftigung und Personalmanagement  

• Ausbildung und Studierendenbewertung  

• Gesundheitswesen und Medizinprodukte  

• Bonitätsprüfung und Zugang zu grundlegenden Dienstleistungen  

• Strafverfolgung  

• Grenzverwaltung  

• Rechtspflege  

Diese Systeme unterliegen strengen Auflagen, darunter Risikomanagementsysteme, Anforderungen an die Datenverwaltung, technische Dokumentation, Protokollierung und Aufbewahrung von Aufzeichnungen, Transparenz und Informationsbereitstellung für Nutzer, menschliche Überwachung, Genauigkeit, Robustheit sowie Anforderungen an die Cybersicherheit. 

KI mit begrenztem Risiko 

KI mit begrenztem Risiko unterliegen gemäß dem EU KI in erster Linie Transparenzpflichten. 

Beispiele hierfür sind: 

• Chatbots, die direkt mit Einzelpersonen interagieren  

• KI , die Inhalte erzeugen oder bearbeiten, deren Offenlegung erforderlich ist  

• Systeme zur Simulation menschlicher Interaktion  

Zu den Anforderungen gehören: 

• Informationen für Personen, die mit KI interagieren  

• Offenlegung von KI oder bearbeiteten Inhalten, sofern erforderlich  

• Sicherstellen, dass Ergebnisse gegebenenfalls eindeutig als KI erkennbar sind 

KI mit minimalem oder keinem Risiko 

KI mit minimalem oder keinem Risiko unterliegen keinen verbindlichen Verpflichtungen gemäß dem EU KI . 

Diese Systeme gelten als Systeme, die ein minimales oder gar kein Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen, und fallen daher nicht unter die spezifischen Compliance-Anforderungen des Gesetzes. 

Beispiele hierfür sind: 

• Spamfilter und Tools zum Sortieren von E-Mails  

• KI Videospiele und Unterhaltungsfunktionen  

• Grundlegende Instrumente zur Bestands- oder Logistikoptimierung  

• Einfache Empfehlungs- oder Personalisierungssysteme  

Auch wenn dies nicht durch das KI geregelt ist, können Organisationen dennoch freiwillige Governance-Maßnahmen anwenden, darunter Transparenzpraktiken, interne Tests und Cybersicherheitskontrollen. Je nach Anwendungskontext können weiterhin andere Rechtsrahmen wie die DSGVO gelten. 

Umsetzung der Vorgaben KI EU KI  

Die Einhaltung des KI beginnt in der Regel mit einer umfassenden Bestandsaufnahme der KI , einschließlich intern entwickelter Lösungen, integrierter KI und Tools von Drittanbietern. Jedes System wird entsprechend seinem Verwendungszweck, seinen Auswirkungen auf die Nutzer und seiner regulatorischen Risikokategorie klassifiziert. 

Eine funktionsübergreifende Steuerung unter Einbeziehung der Bereiche Recht, Cybersicherheit, Technik, Datenschutz, Beschaffung und Geschäftsleitung trägt dazu bei, klare Verantwortlichkeiten über den gesamten KI hinweg festzulegen. 

Viele Organisationen richten ihre Governance-Maßnahmen an anerkannten Normen aus, wie beispielsweise ISO/IEC 42001 für KI , ISO/IEC 27001 für Informationssicherheit und ISO/IEC 23894 für KI . 

Testen, Validierung und Dokumentation 

Die Tests im Rahmen des KI sollen streng und wiederholbar sein. Zu den Validierungsmaßnahmen können Leistungstests, Robustheitsbewertungen, gegebenenfalls Fairness-Bewertungen sowie Tests der Widerstandsfähigkeit gegenüber feindlichen Angriffen gehören. 

Eine umfassende Dokumentation unterstützt Konformitätsbewertungen und die behördliche Aufsicht. Zu den typischen Unterlagen zählen technische Dokumentationen, Systembeschreibungen, Modellinformationen, Unterlagen zur Datenverwaltung, Prüfnachweise sowie Aufzeichnungen über laufende Überwachungsmaßnahmen. 

Die Sorgfaltspflicht gegenüber Lieferanten trägt ebenfalls zur Einhaltung von Vorschriften bei, indem sie die Transparenz hinsichtlich der Leistungsfähigkeit von Modellen, ihrer Grenzen und der Governance-Praktiken verbessert. 

Beschaffung, Betrieb und Sicherheit 

Die Beschaffung stellt eine zentrale Governance-Funktion im Rahmen des KI dar. Bei der Bewertung von Anbietern werden in der Regel die Leistungsfähigkeit der Modelle, der Verwendungszweck, die Qualität der Dokumentation, die Protokollierung, die Erklärbarkeit, die Überprüfbarkeit sowie Sicherheitskontrollen berücksichtigt. 

Die operative Überwachung umfasst die kontinuierliche Überwachung auf Leistungsabweichungen, betriebliche Anomalien und Cybersicherheitsrisiken. Zu den unterstützenden Kontrollmaßnahmen zählen in der Regel Verschlüsselung, Zugriffsmanagement, sichere Bereitstellungsverfahren, Prozesse zur Reaktion auf Vorfälle sowie die fortlaufende Überwachung der Compliance. 

KI  

Das KI verpflichtet Organisationen dazu, Maßnahmen zu ergreifen, die ein angemessenes Maß an KI bei den Mitarbeitern fördern, die an der Entwicklung, dem Einsatz oder der Überwachung von KI beteiligt sind. Die Schulungen sollten die operativen Zuständigkeiten, die Anforderungen an die Governance sowie das mit jedem KI verbundene Risikoniveau widerspiegeln. 

Das KI sollte eher als sich weiterentwickelnder Regulierungsrahmen denn als einmalige Umsetzungsmaßnahme betrachtet werden. Um die Einhaltung der Vorschriften zu gewährleisten, ist eine kontinuierliche Beobachtung der regulatorischen Entwicklungen, neuer Standards und der von den europäischen Behörden herausgegebenen Leitlinien erforderlich. 

Eine ausgereifte Compliance-Strategie integriert Governance, Cybersicherheit, Beschaffung, Dokumentation und operative Aufsicht in einen durchgängigen Lebenszyklus. Dieser Ansatz gewährleistet die Einhaltung gesetzlicher Vorschriften und ermöglicht gleichzeitig verantwortungsvolle Innovation, operative Widerstandsfähigkeit sowie KI vertrauenswürdigen KI in der öffentlichen Verwaltung, bei kritischen Infrastrukturen und in anderen stark regulierten Sektoren.