Sicherer Rechtsrahmen: KI-Verordnung der EU

KURZFASSUNG 1. Das Inkrafttreten der EU-KI-Verordnung steht unmittelbar bevor. Es handelt sich um die weltweit erste gesetzliche Regelung eines Rahmens für die Anwendung künstlicher Intelligenz. 2. Ziel ist die Stärkung des gesellschaftlichen Vertrauens in die KI durch die Verhinderung missbräuchlicher Anwendung. 3. Erreicht werden soll das Ziel ohne Bremsen der Innovation durch ein nach Risiken abgestuftes System, das bestimmte Praktiken generell verbietet, für die Anwendung von KI in Hochrisikobereichen Zertifizierungen und Kontrollmechanismen vorsieht und im Übrigen den Anbietern und Verwendern im Kontakt mit Menschen Transparenzpflichten auferlegt. Am 21.5.2024 hat auch der Rat der 27 EU-Mitgliedstaaten die "Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz" verabschiedet. An dem Vorhaben wurde seit 2019 gearbeitet. Es handelt sich um die weltweit erste gesetzliche Regelung für den Einsatz von KI. In Anbetracht der immer weiter zunehmenden Bedeutung der KI in allen Bereichen des Lebens ist es Ziel und Zweck der Verordnung, durch Vorgabe eines Rahmens das gesellschaftliche Vertrauen in die KI zu stärken und missbräuchlichen Einsatz beispielsweise für Manipulationszwecke zu verhindern. Dabei sollen aber gleichzeitig auch die weiter erwarteten Entwicklungsmöglichkeiten nicht gebremst werden. Die Aufgabe Die Regulierung erfolgt vor dem Hintergrund der gesellschaftlichen und grundrechtlichen Bedeutung, deren Umfang wegen der weiteren Entwicklung des Potentials der KI noch gar nicht abgesehen werden kann. Vorgabe ist die Sicherheit der auf dem Unionsmarkt in Verkehr gebrachten und verwendeten KI-Systeme und die Beachtung sowohl der bestehenden Grundrechte als auch der Werte der Union. Geschaffen werden soll ein sicherer Rechtsrahmen auch für die Investitionen in KI mit gleichzeitig ausreichenden Kontrollmöglichkeiten und einheitlichen Bedingungen innerhalb des Binnenmarktes. Der Nutzen soll gefördert und die Risiken des Missbrauchs von KI-Anwendungen minimiert werden. Definiert werden KI-Systeme in Art. 3 Ziff. 1 der Verordnung als "eine Software, die mit im Anhang der Verordnung gesondert definierten Techniken und Konzepten entwickelt worden ist und im Hinblick auf eine Reihe von Zielen, die vom Menschen festgelegt werden, Ergebnisse wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen hervorbringen kann, die das Umfeld beeinflussen, mit dem sie interagieren". Griffiger lässt die Bundesregierung mit einer Veröffentlichung zur EU-Verordnung KI beschreiben als "die Fähigkeit von Maschinen, basierend auf Algorithmen Aufgaben autonom auszuführen und dabei die Problemlösungs- und Entscheidungsfähigkeit des menschlichen Verstandes nachzuahmen". Die Adressaten Die Vorschriften der KI-Verordnung betreffen als Hauptadressaten alle Anbieter (Provider) entsprechender Software zum Erwerb oder zum Gebrauch. Dies sind die Entwickler, die Hersteller und auch deren Auftraggeber, welche die Software unter ihrem Namen in den Verkehr bringen oder in Betrieb nehmen. Unerheblich ist dabei, ob für die Leistung bezahlt werden muss. Erfasst vom Anwendungsbereich der VO sind aber auch die Betreiber (Deployer), die KI-Systeme beruflich in eigener Verantwortung verwenden, beispielsweise im Fahrzeughandel oder Werkstattbetrieb zur Unterstützung bei Kundenanliegen und -anrufen rund um die Uhr. Vom Geltungsbereich ausgenommen ist der private und persönliche Gebrauch von KI-Systemen, beispielsweise die private Nutzung von ChatGPT. Nicht betroffen sind zur Förderung der Innovation Forschungs- und Entwicklungsaktivitäten oder beispielsweise auch der militärische Bereich. Räumlich unterfallen der Verordnung alle Anbieter und Betreiber im Bereich der EU, auch wenn sie ihren Sitz in Drittstaaten haben. Der Weg Die Vorschriften stehen neben anderen, wie beispielsweise denen der Datenschutz-Grundverordnung. Sie beinhalten ein nach den beurteilten Risiken abgestuftes System. Je höher das Risiko, desto strikter sind die Reglementierungen. Dies reicht von absoluten Verboten bestimmter Praktiken über besondere Anforderungen und Überwachungspflichten für Hochrisiko-KI-Systeme bis zu Kennzeichnungspflichten für KI-Systeme mit beschränktem Risiko. Systeme mit minimalem Risiko unterliegen lediglich Dokumentationspflichten. Die Weiter- und Neuentwicklung von KI-Systemen soll unter anderem durch die Einrichtung von unter Aufsicht stehenden "Reallaboren" sichergestellt werden. Verbotene Praktiken Verboten ist der KI-Einsatz - mit Techniken zur unterschwelligen Beeinflussung von Personen außerhalb ihres Bewusstseins, die zu psychischen oder physischen Schäden führen oder führen können; - zur Ausnutzung der Schwäche oder Schutzbedürftigkeit von Personen aufgrund ihres Alters, ihrer körperlichen oder geistigen Behinderung, um solchen Personen zu Schaden; - durch Behörden oder Dritte in deren Auftrag zur Bewertung und Klassifizierung von Verhaltensmustern aufgrund des sozialen Verhaltens, persönlicher Eigenschaften oder Merkmalen von Personen, wenn dies der Schlechterstellung oder Benachteiligung aus sachfremden oder unverhältnismäßigen Gründen dient (Scoring); - für biometrische Echtzeit-Fernidentifizierungssysteme im öffentlich zugänglichen Raum zu Strafverfolgungszwecken, soweit in der Verordnung nicht explizit auf bestimmte Delikte und auf besondere strafrechtliche Ermittlungslagen beschränkt Ausnahmen festgelegt sind. Hochrisiko-KI-Systeme Diese Systeme nehmen in der KI-Verordnung den breitesten Raum ein. Es handelt sich zum einen um KI-Systeme, die als Sicherheitskomponenten für im Anhang der VO definierte technische Bereiche eingesetzt werden oder selbst entsprechende Anlagen direkt steuern. Dies betrifft beispielsweise Funkanlagen, Medizinprodukte, den Luft- und den Schienenverkehr, Aufzüge und auch Kraftfahrzeuge, ferner auch andere Produkte, die nach EU-Vorschriften einer Konformitätsbewertung bedürfen. Darüber hinaus unterfallen aber auch KI-Systeme dem hohen Risiko, die zum Beispiel der biometrischen Identifizierung und Kategorisierung von Personen, der Verwaltung und dem Betrieb kritischer Infrastruktur, dem Personalmanagement, der öffentlichen Verwaltung, der Strafverfolgung, der Einwanderungskontrolle und/oder der Rechtspflege dienen. Im Sinne eines dynamischen Anpassungssystems an künftige Entwicklungen wird der EU-Kommission die Befugnis erteilt, den Katalog bei entsprechendem Bedarf zu ändern und gegebenenfalls auch zu ergänzen. Für Hochrisiko-KI-Systeme besteht vor dem Einsatz eine Verpflichtung zur Konformitätsbewertung und Zertifizierung durch national zu notifizierende Stellen mit zentraler Erfassung für das gesamte Gebiet der EU. Der Anbieter und Betreiber muss darüber hinaus ein Risikomanagement einrichten mit Dokumentation und fortlaufender Überwachung der Gefahren, insbesondere für Gesundheit, Sicherheit und Grundrechte, bei bestimmungsgemäßer Verwendung. Anbieter haben für Ihre KI-Produkte eine EU-Konformitätsbescheinigung auszustellen, vergleichbar mit den Bescheinigungen der Kfz-Hersteller. KI-Systeme mit beschränktem Risiko KI-Softwaresysteme, deren Anwendung nicht in den besonders geschützten kritischen Risikobereichen erfolgt, müssen bei Kontakt mit Menschen für eine durchschnittlich aufmerksame und informierte Person die Interaktion mit künstlicher Intelligenz durch entsprechenden Hinweis oder Kennzeichnung ersehen lassen. Entsprechende Hinweispflichten entfallen nur, wenn sich die Kommunikation mit KI-Programmen bereits aus den Umständen klar ergibt. Der Einsatz von Chatbots zur Kundenkommunikation muss demnach offengelegt werden, ebenso die Verwendung von Systemen zur Emotionserkennung oder zur biometrischen Kategorisierung. Mit Hilfe von KI erzeugte Deepfake-Inhalte in manipulierten Bild-, Ton- oder Videoaufnahmen zur Darstellung vermeintlich realer Aussagen von Personen oder Situationen bedürfen gleichfalls eines Hinweises auf die Generierung und Verfälschung mittels eines KI-Programms. Zur freiwilligen Erfüllung weiterer Anforderungen soll die Aufstellung von Verhaltenskodizies gefördert werden. Umsetzung und Aufsicht Die für alle Mitgliedsstaaten verbindliche KI-Verordnung wird am 20. Tag nach der bei Erstellung des Artikels noch bevorstehenden Veröffentlichung im Amtsblatt der EU in Kraft treten. Inhaltlich gilt die Verordnung dann 24 Monate später, also voraussichtlich ab Juli 2026. Die Verpflichtung zur Einrichtung oder Benennung der nationalen Aufsichtsbehörden und zur Erfüllung der Transparenzpflichten für KI-Systeme mit beschränktem Risiko gelten aber bereits mit Ablauf von 3 Monaten nach Inkrafttreten der Verordnung und damit voraussichtlich schon ab Oktober 2024. Ein Jahr später können bei Verstößen gegen Transparenzpflichten von den Behörden dann auch Bußgelder festgesetzt werden. Individuelle Ansprüche auf Unterlassung können aus der KI-Verordnung nicht abgeleitet werden. Rechtsanwalt Robert Glocker Kanzlei@raehaug-partner.de www.haug-partner.de KOMMENTAR Nachdem die EU-Kommission einen ersten Entwurf der Verordnung im April 2021 veröffentlicht hatte, wurden unter großer Beteiligung auch der Interessenverbände die unterschiedlichen Positionen diskutiert. Ethisch orientierte Verbände forderten dabei stärkere Beschränkungen. Andere Lager kritisierten die Regulierung als zu weitreichend und innovationshemmend im Hinblick auf fehlende Regelungen außerhalb der EU. Für die betroffenen Unternehmen wurden der gerade im Hochrisikobereich große formelle Aufwand und auch eine Rechtsunsicherheit im Zusammenhang mit der Verwendung unbestimmter Rechtsbegriffe gesehen. Wegen des politischen Ringens um die verschiedenen Positionen ließ auch ein Vorschlag des EU-Rates eineinhalb Jahre auf sich warten. Und erst unter dem Druck der anstehenden Neuwahlen zum Europaparlament konnte dann eine Einigung auf den aktuell beschlossenen Verordnungstext erfolgen. Die Tauglichkeit des ambitionierten Vorhabens wird sich erst in der Praxis zeigen. Im Ansatz erscheint das Vorhaben aber jedenfalls sinnvoll, die Verwendung von künstlicher Intelligenz in geschützten Grundbereichen für Manipulations- und Missbrauchszwecke zu beschränken.

Sicherer Rechtsrahmen: KI-Verordnung der EU

HASHTAG

#AUTOHAUS next

E-Rechnung: Handlungsbedarf für alle Unternehmer!

MAHA: Fokus auf Digitalisierung

Legalisierter Drogenkonsum und Arbeitsrecht: Legalize it - das Cannabisgesetz

MEISTGELESEN

Wertzuwachs bei Oldies: Diese Youngtimer gehen steil

Neue LPG-Motoren für Dacia Duster und Bigster: Viel Gas, wenig Zukunft

Škoda-Chef im Talk: Klaus Zellmer über Führung, Verantwortung und Bodenständigkeit

STELLENANGEBOTE

NEWSLETTER