Was Unternehmen jetzt über das geplante AI-Gesetz der EU wissen müssen
Seit 1. August 2024 ist der EU AI Act in Kraft. Was müssen Unternehmen jetzt tun und welche Auswirkungen hat das neue KI-Gesetz?
Mit dem EU AI Act hat die EU-Kommission die weltweit erste, umfassende Verordnung zur Regulierung von künstlicher Intelligenz verabschiedet. Das Gesetz soll einen verantwortungsvollen Umgang mit künstlicher Intelligenz etablieren und sicherstellen, dass Persönlichkeitsrechte geschützt werden. Der EU AI Act gilt für Organisationen jeder Größe in der EU, die KI-Systeme entwickeln oder einsetzen.
Darüber hinaus unterliegen auch Unternehmen mit Sitz in Drittländern dem Gesetz, sofern deren KI-Systeme in der EU eingesetzt werden. Betroffene müssen die Vorgaben stufenweise bis zum 2. August 2027 umsetzen, wobei zahlreiche Anforderungen bereits ab dem 2. August 2025 greifen.
Die vier Risikoklassen
Der EU AI Act verfolgt einen risikobasierten Ansatz, das heißt für KI-Anwendungen mit hohem Risiko gelten strengere Anforderungen als für solche mit geringem Risiko. Dafür unterscheidet das Gesetz zwischen vier Risikoklassen:
- Verbotene AI-Praktiken
KI-Anwendungen mit inakzeptablem Risiko sind seit dem 2. Februar 2025 verboten. Darunter fallen zum Beispiel Systeme zur Echtzeit-Gesichtserkennung sowie zur Verhaltensmanipulation, etwa Social Scoring. Auch Anwendungen, die zur Überwachung von Bürgerinnen und Bürgern dienen und damit demokratiefeindlichen Zwecken dienen können, gehören in diese Risikoklasse.
- Hochrisiko-KI-Systeme
KI-Anwendungen, die ein erhebliches Risiko für die Gesundheit, Sicherheit oder die Grundrechte natürlicher Personen darstellen können, gelten als Hochrisiko-Systeme. Sie unterliegen strengen Bedingungen. Organisationen müssen zahlreiche Maßnahmen ergreifen, um die damit verbundenen Risiken zu mindern. Als hochriskant gelten zum Beispiel alle KI-Systeme, die im Bereich der kritischen Infrastrukturen zum Einsatz kommen, etwa dem Gesundheitswesen oder Verkehrssektor. Auch Anwendungen, die ein Profiling natürlicher Personen vornehmen, gehören in diese Risiko-Klasse. Das betrifft zum Beispiel KI-basierte Systeme im Recruiting, die automatisiert Bewerber filtern, oder im Finanzbereich, die die Kreditwürdigkeit einer Person bewerten.
- KI-Modelle mit allgemeinem Verwendungszweck
In diese Kategorie fällt zum Beispiel generative KI wie ChatGPT oder Midjourney. Für solche Anwendungen gilt eine Transparenzpflicht. Das heißt Anwender müssen Deepfakes als solche kennzeichnen und offenlegen, dass ein Text KI-erzeugt wurde, sofern dieser über Angelegenheiten von öffentlichem Interesse informiert. Hersteller müssen außerdem sicherstellen, dass die KI-Anwendungen nicht für die Produktion von illegalen Inhalten verwendet werden können.
- KI-Systeme für die direkte Interaktion mit Menschen
Beliebte Anwendungen in dieser Kategorie sind zum Beispiel Chatbots und virtuelle Assistenten. Für sie gilt: Anbieter müssen den Anwendern gegenüber offenlegen, dass sie mit einer KI interagieren und nicht mit einem Menschen. Zählt die betroffene KI-Anwendung zusätzlich zur Hochrisiko- oder Allgemein-Klasse, müssen deren Anforderungen zusätzlich erfüllt werden.
Welche Anforderungen stellt der EU AI Act an Hochrisiko-KI-Systeme?
Praxisbezogene Tipps zur Digitalisierung von Prozessen in der Compliance mit einem Fokus auf Informationssicherheit und Datenschutz.
