Mit dem EU AI Act hat die Europäische Union als erste große Wirtschaftsregion einen umfassenden Rechtsrahmen für künstliche Intelligenz geschaffen. Die Verordnung ist seit 2024 in Kraft, ihre Pflichten gelten jedoch gestaffelt und treten schrittweise in Anwendung.
Betroffen sind nicht nur Entwickler von KI-Systemen, sondern auch Unternehmen, die solche Systeme einsetzen. Es lohnt sich daher, die Grundzüge zu kennen.
Der risikobasierte Ansatz des EU AI Act
Kern der Verordnung ist eine Einteilung nach Risiko. Je größer die möglichen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte, desto strenger die Anforderungen:
•
Unannehmbares Risiko: Bestimmte Praktiken sind verboten, etwa Social Scoring durch Behörden oder manipulative Techniken, die Menschen schaden.
•
Hohes Risiko: Systeme etwa in Personalauswahl, Bildung, kritischer Infrastruktur oder Kreditvergabe unterliegen strengen Auflagen.
•
Begrenztes Risiko: Hier gelten vor allem Transparenzpflichten, zum Beispiel muss erkennbar sein, dass man mit einem Chatbot spricht.
•
Minimales Risiko: Für die meisten Anwendungen, etwa Spamfilter, gibt es keine besonderen Vorgaben.
Anbieter oder Betreiber: Welche Rolle haben Sie?
Die Pflichten hängen davon ab, ob Sie ein KI-System entwickeln und in Verkehr bringen (Anbieter) oder es im eigenen Betrieb nutzen (Betreiber). Anbieter von Hochrisiko-Systemen müssen unter anderem ein Risikomanagement einrichten, Daten- und Dokumentationsanforderungen erfüllen und eine Konformitätsbewertung durchlaufen. Betreiber müssen die Systeme bestimmungsgemäß verwenden, menschliche Aufsicht sicherstellen und den Betrieb überwachen. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten eigene Transparenz- und Dokumentationspflichten.
KI-Kompetenz und Sanktionen
Eine Pflicht betrifft praktisch alle Unternehmen, die KI einsetzen: Sie sollen dafür sorgen, dass Beschäftigte, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Das bedeutet, dass Mitarbeitende Chancen, Risiken und Grenzen der eingesetzten Werkzeuge kennen sollten. Bei Verstößen gegen die Verordnung drohen Bußgelder, die sich am weltweiten Jahresumsatz orientieren können und bei verbotenen Praktiken besonders hoch ausfallen.
Erste Schritte für Ihr Unternehmen
Verschaffen Sie sich zunächst einen Überblick, welche KI-Anwendungen in Ihrem Unternehmen bereits genutzt werden, auch in eingekauften Softwareprodukten. Ordnen Sie diese den Risikoklassen zu und klären Sie Ihre Rolle als Anbieter oder Betreiber. Benennen Sie Verantwortliche, planen Sie Schulungen und prüfen Sie Verträge mit Softwarelieferanten auf Zusagen zur Konformität. Bei Unsicherheiten über die Einstufung ist juristische Beratung sinnvoll, da Details und Leitlinien weiter konkretisiert werden.
Fazit
Der EU AI Act verlangt keine Panik, aber eine strukturierte Vorbereitung. Für die meisten alltäglichen Anwendungen bleiben die Anforderungen überschaubar, bei Hochrisiko-Systemen sind sie dagegen umfangreich. Wer frühzeitig eine Bestandsaufnahme macht, Zuständigkeiten klärt und in die KI-Kompetenz der Belegschaft investiert, ist gut aufgestellt.
