AI Act: Augen auf bei der Nutzung von KI!

Hier geht es zum verabschiedeten Dokument zum EU Artificial Intelligence Act

Der AI Act, auf deutsch KI-Verordnung genannt, sorgt für eine Harmonisierung von Anforderungen für Entwicklung und Nutzung von KI-Systemen in der Europäischen Union (EU). Diese Regelungen sollen das Vertrauen in die KI stärken, indem Individuen und Unternehmen geschützt werden, bspw. durch Berücksichtigung ethnischer Grundsätze. Gleichzeitig soll die Innovation bei der Entwicklung von KI gesteigert werden.

Der Einsatz von KI-Systemen wird auf Basis dieser Informationen risikobasiert reguliert:

Der AI Act wurde am 12. Juli 2024 im Europäischen Amtsblatt veröffentlicht. 20 Tage später, am 1. August 2024, trat er in Kraft​. Jedoch teilt sich die Gültigkeit auf:

1. Bestimmungen zu verbotenen KI-Systemen müssen seit dem 2. Februar 2025, 6 Monate nach Inkrafttreten, beachtet werden. Verbotene KI-Systeme dürfen seit diesem Zeitpunkt nicht mehr genutzt werden.
2. Bestimmungen zu KI-Systemen mit allgemeinem Verwendungszweck müssen 12 Monate nach Inkrafttreten, also seit dem 2. August 2025, angewendet werden. Dies betrifft insbesondere die Transparenz- und Informationspflichten.
3. Zwei Jahre nach Inkrafttreten, ab dem 2. August 2026, gelten alle Bestimmungen des AI Acts. Dies betrifft insbesondere die Anforderungen an Hochrisiko-KI-Systeme. Eine Ausnahme hiervon gibt es. Diese muss nach einem weiterem Jahr beachtet werden.
4. Drei Jahre nach Inkrafttreten, also ab dem 2. August 2027, wird dann auch Art. 6 Abs. 1 und die entsprechenden Pflichten für Hochrisiko-KI-Systeme, die z.B. als Sicherheitsbauteil in Maschinen, Spielzeug, Aufzügen, Seilbahnen oder ähnlichem dienen, angewendet.

Der AI Act nimmt mehrere Personengruppen in die Pflicht, wobei der Anbieter und der Betreiber die wichtigsten sind.

Ein Anbieter nach dem AI Act ist eine natürliche oder juristische Person, die ein KI-System/-Modell entwickelt oder entwickeln lässt und dieses unter einem eigenen Namen vertreibt oder nutzt. Die Definition des Anbieters kann bereits durch Nutzung eines eigenen KI-Systems im Unternehmen erfüllt werden.

Ein Betreiber hingegen ist eine natürliche oder juristische Person, die ein KI-System nutzt. Wichtig hierbei ist, dass die Nutzung des KI-Systems nicht ausschließlich im privaten Umfeld erfolgt. Somit ist jeder Nutzer von KI-Systemen im Beruf nach dem AI Act ein Betreiber.

Der AI Act regelt den Einsatz und den Umgang mit KI-Systemen. Die Einschätzung beruht dabei auf einem risikobasierten Ansatz:

Dieser Ansatz unterscheidet die Regelungsbedarfe nach Umfang von Risiken, die von den KI-Systemen ausgehen.

• KI-Systeme, die ein nicht akzeptables Risiko beinhalten, sind nach dem AI Act verboten.
• Für KI-Systeme, die ein hohes Risiko in wichtigen Bereichen für die Menschen beinhalten, gelten besondere Anforderungen. Dies gilt insbesondere in Bezug auf Gesundheit, Sicherheit und Grundrechte.
• Bestimmte KI-Systeme, die in direkten oder indirekten Kontakt mit den Nutzern kommen, müssen Informationen offenlegen, um die Entscheidungen und den Umgang mit den KI-Systemen erklären zu können.
• Zuletzt gibt es KI-Systeme, die keine oder geringe Risiken beinhalten und deshalb keiner Überwachung bedürfen.

Der AI Act stellt an die unterschiedlichen KI-Systeme je nach Risikoeinschätzung verschiedene Anforderungen:

Für die höchste Kategorie von KI-Systemen mit hohem Risiko beinhaltet der AI Act die meisten Bestimmungen: Hier müssen Risiko-, Qualitäts- und Überwachungssysteme entwickelt werden, um diese über den gesamten Lebenszyklus des KI-Systems aufrechterhalten zu können. Sollten im Laufe des Lebenszyklus durch die Systeme neue Risiken erkannt werden, müssen diese durch neue Maßnahmen mitigiert werden. Weiter müssen zum Zweck der Information und Transparenz der Nutzer auch die Daten überwacht und deren Qualität sicher gestellt werden.

Auch KI-Systeme mit allgemeinem Verwendungszweck, General Purpose AI, müssen bestimmte Dokumentationspflichten erfüllen und die Nutzer informieren.

Handelt es sich um ein KI-System mit allgemeinem Verwendungszweck mit systemischen Risiko, bspw. mit Einfluss auf Gesundheit, Sicherheit oder Grundrechte, so gelten strengere Anforderungen. Insbesondere die Risiken, die mit einem solchen KI-System entstehen können, müssen identifiziert und bewertet werden.

Bei einem KI-System mit direkten oder indirektem Nutzerkontakt gelten vor allem Transparenzpflichten, um die Nutzer über den KI-generierten Ausgabeinhalt, Output, vollständig informieren zu können. So müssen bspw. KI-generierte Bildinhalte als KI-generiert gekennzeichnet werden.

Bei den verschiedenen Anforderungen je KI-System ist es wichtig zu beachten, dass die Anforderungen sowohl für Anbieter als auch für Betreiber gelten können.

Der AI Act spricht verschiedene Zielgruppen an, die von der Verordnung betroffen sind, wobei Anbieter und Betreiber die wichtigsten sind.

Nach dem AI Act gilt eine natürliche oder juristische Person als Anbieter, die ein KI-System/-Modell entwickelt oder entwickeln lässt und dieses unter einem eigenen Namen vertreibt oder auch nutzt. Somit gilt bereits ein Unternehmen als Anbieter, die ein eigenes KI-System entwickelt und in seinem Unternehmensumfeld nutzt.

Ist man kein Anbieter, könnte man als Betreiber gesehen werden. Ein Betreiber ist eine natürliche oder juristische Person, die ein KI-System im beruflichem Umfeld nutzt. Somit ist jeder Nutzer von KI-Systemen im Unternehmen ein Betreiber nach dem AI Act.

Diese Einschätzung führt zu unterschiedlichen Rechten und Pflichten für die jeweilige Zielgruppe. Dies kann von Anforderungen bei der Entwicklung von KI-Systemen über Anweisungen zum Gebrauch der KI-Systeme bis hin zu einer Registrierung in einer Datenbank reichen. Ebenfalls gibt es auch Bestimmungen für ein Qualitäts- und Risikomanagement über den gesamten Lebenszyklus des KI-Systems.

Notwendiges Wissen für die Nutzung von KI-Systemen kann vielseitig sein. Zunächst müssen die Grundlagen definiert werden, auf denen ein KI-System aufbaut und wie dessen Entscheidungen zustande kommen. Mit diesem Wissen kann man bereits verstehen, worauf bei den Ausgabeinhalten, dem Output, der KI zu achten ist.

Neben den grundlegenden Aspekten kommen noch rechtliche Anforderungen in Betracht. Hier spielen Datenschutz- und Urheberrecht eine große Rolle:

• Darf man alle Informationen in ein KI-System geben?
• Ist der Output der KI urheberrechtlich geschützt?
• Spielt es eine Rolle, auf welchen Daten der Output beruht?

Dies sind nur einige Fragen, die im Bereich der KI wichtig zu klären sind.

Willst du die Antworten zu diesen Fragen erhalten?
Im Rahmen eines Seminars oder Webinars passen wir diese und andere Fragen speziell auf deine Bedürfnisse und die deiner Organisation an. Schau gerne in unser Schulungsangebot!

Oder lies hier weiter zum Thema KI-Kompetenz (gem. AI Act).