EU KI Verordnung erklärt

Innerhalb der Europäischen Union gibt es grundsätzlich mehrere Arten von Rechtsvorschriften. Dazu gehören Verordnungen wie der AI Act. Sie sind verbindlich und in vollem Umfang einzuhalten – und zwar von allen Mitgliedsstaaten.

Bei der KI Verordnung der EU handelt es sich aktuell um die weltweit erste umfassende Regulierung von Künstlicher Intelligenz. Sie verfolgt neben einer harmonisierten gemeinsamen Vorgehensweise mehrere Ziele. Hauptsächlich geht es darum, dass die in der Europäischen Union bereitgestellten und verwendeten KI-Systeme sicher und vertrauenswürdig sind und die Grundrechte, Werte sowie geltende Rechtsvorschriften eingehalten werden.

Folglich müssen sich auch Anbieter*innen aus Drittstaaten an die EU KI Verordnung halten, wenn sie KI-Systeme entwickeln oder Inverkehrbringen möchten – oder diese Einfluss auf die Bürger*innen der Mitgliedsstaaten haben. Diesbezüglich werden eine zukunftsfähige Definition von KI sowie ein risikobasierter Ansatz verfolgt.

Jener risikobasierte Ansatz, den die EU KI Verordnung vorsieht, besteht aus mehreren definierten Risikostufen. Dieser Regulierungsrahmen bestimmt, wie mit den Systemen abhängig von deren Einstufung vorzugehen ist und welche Vorschriften genau einzuhalten sind.

Folgende Risikostufen sind im AI Act der EU definiert:

• Inakzeptables Risiko: Als eindeutige Bedrohung eingestufte Systeme werden verboten. Hierzu gehören jene, die gefährliches Verhalten fördern, die Sicherheit von EU-Bürger*innen maßgeblich beeinflussen, die Diskriminierung spezifischer Personengruppen zur Folge haben oder die anderweitig gegen die Charta der Grundrechte verstoßen. Beispiele sind die generelle biometrische Identifizierung von Personen im öffentlichen Raum, etwa durch Überwachungsvideos, das Kategorisieren von Personen anhand biometrischer Daten oder das Auslesen von Videos im Netz zum Erstellen von Gesichtsdatenbanken.
• Hohes Risiko: Enthalten sind Technologien, die in Bereichen zum Einsatz kommen, welche zum Teil äußerst großen Einfluss auf Menschen und ihr Leben haben können. Dazu zählen etwa kritische Infrastruktur wie Krankenhäuser, die Strafverfolgung, Sicherheitskomponenten von Produkten, wesentliche private oder öffentliche Dienstleistungen, biometrische Fernidentifizierungssysteme sowie Anwendungen im Bildungs- und beruflichen Kontext. Hier sind besonders strenge Vorschriften einzuhalten.
• Begrenztes oder minimales Risiko: In diese Risikostufe fallen die meisten in der EU verwendeten KI-Systeme, darunter etwa Chatbots. Es gilt, transparenzbedingte Anforderungen zu erfüllen. Nutzer*innen müssen zum Beispiel darüber informiert werden, dass sie mit einer KI und nicht mit einem Menschen interagieren, oder dass Inhalte KI-generiert sind (Stichwort Deep Fakes). Auch Spiele oder Spamfilter gehören zu dieser Kategorie.

Strafverfolgungsbehörden dürfen KI-Systeme zur biometrischen Identifizierung nur dann nutzen, wenn dies im öffentlichen Interesse ist. Dazu gehören die Suche nach Opfern von Verbrechen, inklusive vermissten Kindern, wenn Gefahr für Leib und Leben besteht, zum Beispiel durch terroristische Anschläge oder für die Erfassung, Lokalisierung und Identifizierung von Straftäter*innen oder Verdächtigen, wenn die zur Last gelegte Tat mit einer Freiheitsstrafe von mindestens drei Jahren geahndet wird.

High-Risk Systeme werden streng reguliert und überwacht. Unter anderem ist vorgesehen, dass diese in einer öffentlichen, EU-weiten Datenbank registriert werden müssen. So können sowohl zuständige Behörden als auch interessierte Personen prüfen, ob die Anforderungen des EU AI Act erfüllt werden.

Zudem wird es verpflichtend sein, Zwischenfälle und Fehlfunktionen zu melden, wenn sie gegen die Charta der Grundrechte der Europäischen Union verstoßen. Nationale Aufsichtsbehörden werden diese dann untersuchen. Die Nichteinhaltung der Bestimmungen sieht empfindliche Strafen vor.

Einer der größten Vorteile der EU KI Verordnung ist definitiv, dass es einen rechtlichen Rahmen gibt, an dem sich Unternehmen und Anbieter*innen orientieren können.

Diese Vorteile und Chancen bietet der EU AI Act:

• Das KI Gesetz gibt vor, welche Anforderungen Entwickler*innen erfüllen müssen und schafft so Rechtssicherheit.
• Weil es zudem in der gesamten Europäischen Union gilt, entfällt die oft aufwendige Prüfung einzelner nationaler Vorschriften. Der Markt wird harmonisiert.
• Außerdem wird das Risiko von Rechtsstreitigkeiten und Bußgeldern minimiert.
• Steigerung des Vertrauens der Nutzer*innen in KI-Systeme und deren Sicherheit.

Um die Entwicklung zukunftsträchtiger KI-Anwendungen zu fördern, stellen nationale Behörden zum Teil Beträge in Millionenhöhe zur Verfügung. In Österreich laufen zum Beispiel einige Förderprogramme unter dem Dach der AI Mission Austria.

Bedenken gibt es selbstverständlich auch, vor allem in Bezug auf Innovation. Befürchtet wird etwa, dass der KI-Standort Europa durch das Gesetz geschwächt werden könnte und bestimmte Formulierungen nicht klar genug definiert wurden. Zudem erfolgt die Regulierung in den Augen einiger Expert*innen zu früh, was die Weiterentwicklung Künstlicher Intelligenz möglicherweise bremst.

Weitere Bedenken hinsichtlich der EU KI Verordnung sind folgende:

• Vermehrter Bürokratischer Aufwand, um alle Anforderungen einzuhalten.
• Höhere Kosten bei der Entwicklung neuer Systeme, die insbesondere KMU vor Herausforderungen stellen könnten.
• Weniger Innovation, da Anbieter*innen aufgrund der zum Teil strengen Anforderungen mitunter zögern, riskante Ideen zu verfolgen.
• Mangel an Flexibilität und vermehrter Zeitaufwand, was in weiterer Folge die Anpassung und Entwicklung innovativer Systeme verlangsamen könnte.

Erst in der Praxis wird sich zeigen, welche Auswirkungen das KI Gesetz tatsächlich hat – unter Umständen mithilfe des Europäischen Gerichtshofs. Laut der Europäischen Kommission soll das neue rechtliche Rahmenwerk das Vertrauen in KI-Systeme steigern und dadurch den Bedarf erhöhen.

Weiters werden günstigere Voraussetzungen zur Forschung geschaffen. Zudem sollen kritische Rechenkapazitätenausgebaut, Ressourcen maximiert und Allianzen mit Partner*innen der EU (Japan, USA, Kanada und mehr) vertieft werden.

Die EU KI Verordnung ist bereits seit 2018 in Arbeit. In diesem Jahr gründete die Europäische Kommission eine Expert*innengruppe (AI HLEG) sowie die European AI Alliance, die sich aus verschiedenen Interessenträger*innen zusammensetzt. Im April 2021 wurde ein erster Entwurf des Gesetzes vorgestellt. Dezember 2023 erzielten das EU Parlament, die Kommission und der Rat diesbezüglich eine politische Einigung.

Am 02. Februar 2024 war es soweit: Der AI Act wurde von sämtlichen Mitgliedsstaaten der Europäischen Union einstimmig verabschiedet. Dem vorausgegangen sind langwierige Diskussionen und intensive Verhandlungen.

Nach der formalen Zustimmung des EU Parlaments und Rats im April oder Mai 2024 wird die Verordnung im Amtsblatt der Europäischen Union veröffentlicht und tritt 20 Tage später in Kraft. Nach 24 Monaten, laut derzeitigem Stand also voraussichtlich im Sommer oder Herbst 2026, findet der AI Act dann Anwendung. In der Übergangsphase müssen Unternehmen sicherstellten, dass ihre Systeme den Anforderungen der EU KI Verordnung entsprechen. Verbote gelten bereits sechs Monate nach Inkrafttreten, also vermutlich noch 2023. Der EU KI Pakt unterstützt bei der Planung und Umsetzung nötiger Maßnahmen.

Der gesamte Text der EU KI Verordnung kann (derzeit nur in englischer Sprache) im Rechtsinformationssystem EUR-Lex eingesehen werden.