EU AI Act – erste Regelungen ab Februar 2025 gültig

Künstliche Intelligenz ist nützlich, keine Frage. Sie kann Aufgaben automatisieren und so effizienter gestalten und sogar menschliche Fehler vermeiden. Ihre Nutzung ist aber auch risikobehaftet. Nicht umsonst gibt es seit ihrem Einsatz zahlreiche Diskussionen rund um KI und Ethik und auch der Schutz vor Manipulation durch KI ist ein großes Thema. Umso mehr, je weiter die künstliche Intelligenz in unseren Alltag vorrückt. Auch Regierungen nehmen die Risiken des KI-Einsatzes ernst und geben gewisse Regeln im Umgang vor. Der EU AI Act, welcher ab dem 02. Februar 2025 gültig wird, erweitert diese. Was genau das Gesetz aussagt und was Unternehmen ab dem kommenden Jahr im Umgang im KI beachten müssen, erklären wir Dir im Artikel.

KI wurde von Menschen erschaffen, um Aufgaben effizienter zu gestalten und neue Möglichkeiten zu eröffnen. Nicht aber, um Menschen zu schaden. Da Künstliche Intelligenz aber grundsätzlich das Potenzial dazu hat, sei es durch die Verwendung von Daten aus vorurteilsbehafteten Quellen oder zum Beispiel durch die Nutzung oder Manipulation von urheberrechtlich geschützten Inhalten, braucht es Gesetze, die den Umgang mit ihr einschränken. Solche möchte die EU flächendeckend umsetzen und hat dazu schon im Juli dieses Jahres den EU AI Act veröffentlicht. Die darin enthaltenen Bestimmungen werden in verschiedenen Phasen mit unterschiedlichen Deadlines umgesetzt. Die erste Änderung tritt zum 2. Februar 2025 in Kraft. Den vollständigen Gesetzestext zum EU Artificial Intelligence Act findest Du auch auf einer eigenen Website. Hier kannst Du auch direkt in einem kurzen Selbsttest erfahren, inwieweit das Gesetz Dich und Dein Unternehmen betreffen wird.

Für wen gilt der EU AI Act?

Der EU AI Act gilt dabei für alle Unternehmen innerhalb der EU, die mit KI arbeiten. Trifft das auf Dein Unternehmen zu, solltest Du Dir die folgenden Bestimmungen einmal genauer ansehen. Eine gewisse Unterscheidung gibt es jedoch nach Art des Umgangs mit KI, zum Beispiel zwischen Anbieter, Betreiber, Importeur, Händler oder Anwender von Künstlicher Intelligenz. Den meisten Pflichten unterliegt etwa der Provider eines KI-Tools.

Nicht in den Geltungsbereich des Gesetzes fallen etwa KI-Systeme, die zur Forschung dienen und nicht für die kommerzielle oder operative Nutzung freigegeben werden, KI für militärische Zwecke oder KI-Systeme, die nur für persönliche Zwecke genutzt wird. KI-Software, die vor der Verordnung auf den Markt gebracht wurde fällt nur darunter, wenn sie wesentlich verändert wird.

Was besagt der EU AI Act?

Das EU-weite Gesetz folgt einem risikobasierten Ansatz. Es muss also bestimmt werden, welches Risiko einzelne KI-Tools in Zukunft für die Gesellschaft haben könnten. Es wird außerdem zwischen „KI mit spezifischem Verwendungszweck“ und „KI mit allgemeinem Verwendungszweck“ unterschieden. Letztere werden auf Basis ihrer Leistung und Reichweite in zwei Level aufgeteilt. Level 1, das Basismodell, unterliegt Transparenz- und Dokumentationspflichten über Vorgehensweise und Trainingsdaten. Level 2 Systeme, leistungsstarke Basismodelle, müssen strengere Regeln befolgen.

KI mit spezifischem Verwendungszweck lassen sich je nach Anwendung in vier Risikoklassen unterteilen:

Unakzeptables Risiko

In diese Klasse fallen KI-Systeme, die die europäischen Werte verletzen können, zum Beispiel durch die Bevor- oder Benachteiligung von Menschen aufgrund von Sozialverhalten oder anderer Merkmale. KI-Software, die in diese Risikoklasse fällt, ist nach dem EU AI Act verboten.

Hohes Risiko

Systeme, die in diese Klasse fallen, können zum Beispiel solche mit Zugriff auf medizinische Geräte oder biometrische Daten sein. Auch sie können potenziell eine Gefahr darstellen, daher müssen sie nach dem neuen Gesetz strenge Maßnahmen befolgen. Für sie muss es zum Beispiel ein Risikomanagement geben, ebenso wie eine automatische Aufzeichnung von Vorgängen. Diese müssen außerdem Nutzer:innen und Prüfenden transparent gemacht werden. Die Test- und Trainingsdaten für solche Hochrisiko-Systeme müssen außerdem den Qualitätskriterien des EU AI Acts entsprechen.

Mittleres Risiko

In diese Kategorie zählen zum Beispiel Chatbots wie ChatGPT. Hier müssen hauptsächlich umfangreiche Transparenzpflichten gegenüber den Nutzer:innen beachtet werden.

Minimales oder kein Risiko

Für diese Risikoklasse gibt es bisher keine speziellen Anforderungen. In ihr finden sich Systeme, die keine personenbezogenen Daten verarbeiten und auch keinen direkten Einfluss auf Personen haben. Dennoch ist natürlich auch bei diesen KI-Systemen ein verantwortungsvoller Umgang unerlässlich.

Wie sollte ich als Unternehmer:in handeln?

Die Seite Handelskraft bringt die nötigen Schritte mit einer kurzen Checkliste für Unternehmen zum EU AI Act auf den Punkt:

1. Risikoklassifizierung überprüfen
2. Transparenzpflicht einhalten
3. Bewusstsein schärfen
4. Datenschutz beachten
5. Überprüfungen durchführen

Und nicht nur Geschäftsführer:innen sollten sich der Risiken des KI-Einsatzes bewusst sein, auch regelmäßige Mitarbeiterschulungen sind sinnvoll.

EU AI Act beachten und für die Zukunft wappnen

Der Einsatz von KI ist für viele Unternehmen bereits nicht mehr wegzudenken. Fällt eines der verwendeten Systeme in ein verbotene Klasse oder müssen erst neue Strategien entwickelt werden, um dem EU AI Act Folge zu leisten, ist das erst einmal mit Aufwand verbunden. Im Gegensatz zu den empfindlichen Strafen, die Verstöße nach sich ziehen können – bis zu 30 Millionen Euro oder 6 % des weltweiten Vorjahresumsatzes – ist das jedoch ein kleines Übel. Zudem dienen die neuen Regelungen dem Wohle aller. Damit wir mit der KI auch in Zukunft neue Möglichkeiten, keine Hindernisse, schaffen können.