AI Act: Neue Regeln für KI in Unternehmen

Die Europäische Union hat mit dem AI Act (Verordnung (EU) 2024/1689) einen umfassenden Rechtsrahmen für den Einsatz Künstlicher Intelligenz (KI) geschaffen, der seit dem 1. August 2024 in Kraft ist. Diese Verordnung zielt darauf ab, die Sicherheit und Grundrechte der Bürgerinnen und Bürger zu schützen und gleichzeitig Innovationen zu fördern.

Wirksamkeit der Bestimmungen

• 2. Februar 2025: Verbot unannehmbarer KI-Praktiken und Einführung der KI-Kompetenzpflicht.
• 2. Mai 2025: Veröffentlichung der KI-Verhaltenskodizes.
• 2. August 2025: Inkrafttreten der Bestimmungen für Anbieter:innen und Betreiber:innen von KI für allgemeine Zwecke (General Purpose AI).
• 2. August 2026: Beginn der Anwendung aller anderen Bestimmungen des AI Act.
• 2. August 2027: Anwendung spezifischer Verpflichtungen für Hochrisiko-KI-Systeme.

Diese gestaffelte Einführung ermöglicht es Unternehmen, sich schrittweise auf die neuen Anforderungen einzustellen und entsprechende Maßnahmen zur Einhaltung der Vorschriften zu ergreifen.

Es ist jedoch ratsam, regelmäßig die offiziellen Mitteilungen der Europäischen Kommission und anderer zuständiger Behörden zu verfolgen, um über mögliche Aktualisierungen oder Änderungen informiert zu bleiben.

Kernpunkte des AI Act

Risikobasierter Ansatz: Der AI Act klassifiziert KI-Systeme in verschiedene Risikokategorien:

• Unannehmbares Risiko: KI-Systeme, die als unannehmbar riskant eingestuft werden, sind verboten. Dazu gehören beispielsweise soziale Bewertungssysteme und manipulative KI.
• Hohes Risiko: Diese Systeme unterliegen strengen Anforderungen in Bezug auf Sicherheit, Transparenz und menschliche Aufsicht. Beispiele sind KI-Anwendungen in den Bereichen Gesundheit, Bildung oder Strafverfolgung.
• Begrenztes Risiko: Für diese Systeme gelten spezifische Transparenzpflichten. Entwickler und Betreiber müssen sicherstellen, dass Endnutzer wissen, dass sie mit KI interagieren, beispielsweise bei Chatbots oder Deepfakes.
• Minimales oder kein Risiko: Die meisten derzeit in der EU eingesetzten KI-Systeme fallen in diese Kategorie und sind nicht reguliert. Beispiele sind KI-gestützte Videospiele oder Spamfilter.
• Verpflichtungen für Unternehmen: Unternehmen, die KI-Systeme entwickeln, importieren oder nutzen, müssen je nach Risikokategorie verschiedene Anforderungen erfüllen. Anbieter:innen von Hochrisiko-KI-Systemen sind beispielsweise verpflichtet, Risikomanagementsysteme einzurichten, technische Dokumentationen zu erstellen und kontinuierliche Überwachungen durchzuführen.

Strafen bei Verstößen: Die Strafen für Nichteinhaltung richten sich nach der Schwere des Verstoßes und der Größe des Unternehmens. Sie können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen.

Beispiele für KI-Anwendungen in Unternehmen

• ChatGPT: ChatGPT von OpenAI ist ein generatives KI-Modell, das natürliche Sprache versteht und generiert. Es wird in Unternehmen für Kundenservice, Textgenerierung und andere Anwendungen eingesetzt. Unter dem AI Act könnte ChatGPT als generative KI eingestuft werden, was bedeutet, dass Transparenzpflichten gelten. Nutzer:innen müssen darüber informiert werden, dass sie mit einer KI interagieren. Zudem müssen Entwickler:innen sicherstellen, dass die generierten Inhalte den EU-Urheberrechtsgesetzen entsprechen.
• Microsoft Copilot: Microsoft Copilot ist ein KI-gestütztes Tool, das Entwickler:innen bei der Codeerstellung hilft. Da es in den Softwareentwicklungsprozess integriert ist, könnte es als begrenztes Risiko eingestuft werden. Unternehmen sollten sicherstellen, dass die Nutzung von Copilot transparent ist und Entwickler:innen entsprechend geschult werden.
• DALL-E: DALL-E, ebenfalls von OpenAI, ist ein generatives KI-Modell zur Bildgenerierung. Bei der Nutzung von DALL-E in Unternehmen ist darauf zu achten, dass die generierten Bilder keine urheberrechtlich geschützten Inhalte verletzen und dass Nutzer:innen darüber informiert werden, dass die Bilder von einer KI erstellt wurden.

Empfehlungen für Unternehmen

• Compliance-Strategie entwickeln: Unternehmen sollten frühzeitig eine Strategie zur Einhaltung der neuen Vorschriften entwickeln und implementieren.
• Risikomanagement etablieren: Ein effektives Risikomanagementsystem hilft dabei, potenzielle Gefahren durch KI-Systeme zu identifizieren und zu minimieren.
• Mitarbeiterschulung: Schulungen für Mitarbeiterinnen und Mitarbeiter stellen sicher, dass diese die neuen Anforderungen verstehen und umsetzen können.
• Dokumentation und Transparenz: Sorgfältige Dokumentation und transparente Kommunikation sind entscheidend, um die Einhaltung der Vorschriften nachzuweisen.

Prüfungen und Aufsicht in Österreich

In Österreich sind die zuständigen Behörden für die Überwachung der Einhaltung des AI Act verantwortlich. Es ist davon auszugehen, dass regelmäßige Prüfungen stattfinden werden, um die Konformität der Unternehmen mit den neuen Vorschriften sicherzustellen. Die genauen Modalitäten und Zeitpläne für diese Prüfungen werden voraussichtlich von den nationalen Behörden festgelegt.

Unternehmen in Österreich sollten sich proaktiv auf diese Prüfungen vorbereiten und sicherstellen, dass sie alle erforderlichen Maßnahmen zur Einhaltung des AI Act ergriffen haben.

Der AI Act stellt einen bedeutenden Schritt in der Regulierung von Künstlicher Intelligenz dar und bietet Unternehmen die Möglichkeit, durch verantwortungsvollen Einsatz von KI das Vertrauen der Kundinnen und Kunden zu stärken und gleichzeitig Innovationen voranzutreiben.

Bildnachweis: Shutterstock/RaffMaster.