EU AI Act
Der EU AI Act ist das umfassende, risikobasierte Gesetz der Europäischen Union für künstliche Intelligenz. Er teilt KI-Systeme in Risikostufen ein – unannehmbar (verboten), hohes Risiko (strenge Auflagen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko – und führt spezifische Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI) ein. Er gilt extraterritorial für jeden, der KI auf dem EU-Markt bereitstellt, und wird über mehrere Jahre hinweg schrittweise eingeführt, wobei die Strafen bei schwerwiegenden Verstößen bis zu 7 % des weltweiten Jahresumsatzes betragen können.
Definition
Der EU AI Act ist eine horizontale europäische Verordnung, die KI nach Risikostufen reguliert und Anbietern sowie Betreibern Verpflichtungen auferlegt, die proportional zu dem Risiko sind, das ein KI-System für Gesundheit, Sicherheit und Grundrechte darstellt.
Anwendungsbereich
Anbieter und Betreiber, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck auf dem EU-Markt bereitstellen oder deren Ergebnisse in der EU genutzt werden – unabhängig von ihrem Niederlassungsort. Einige Verwendungszwecke (z. B. rein persönliche Nutzung, bestimmte Forschungsarbeiten) fallen nicht in den Anwendungsbereich.
Kernanforderungen
- Risikobasierte Stufen: unannehmbar (verboten), hohes Risiko, begrenztes Risiko (Transparenz), minimales Risiko.
- Zu den verbotenen Praktiken gehören Social Scoring sowie bestimmte biometrische und manipulative Verwendungszwecke.
- Hochrisiko-Systeme erfordern Risikomanagement, Data Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit/Robustheit und eine Überwachung nach dem Inverkehrbringen (Post-Market Monitoring).
- KI-Modelle mit allgemeinem Verwendungszweck (GPAI) unterliegen eigenen Transparenzpflichten und, bei Modellen mit systemischem Risiko, zusätzlichen Verpflichtungen.
- Transparenzpflichten: Nutzer müssen darüber informiert werden, wenn sie mit einer KI interagieren, und synthetische Inhalte müssen gekennzeichnet werden.
- Schrittweise Anwendung mit erheblichen Strafen bei Nichteinhaltung.
Kontrollen
- Risikoklassifizierung
- Bestimmen Sie zuerst die Risikostufe jedes Systems – sie entscheidet über alle weiteren Verpflichtungen. Die Fehlklassifizierung eines Hochrisiko-Systems ist der kostspieligste Fehler zu Beginn.
- Menschliche Aufsicht (Art. 14)
- Hochrisiko-Systeme müssen von einer Person beaufsichtigt werden können, die eingreifen oder sie stoppen kann – die regulatorische Grundlage für Freigabeprozesse durch den Menschen (Human-Approval Gates).
- Technische Dokumentation & Protokollierung
- Führen Sie Dokumentationen und automatische Ereignisprotokolle, damit das System über seinen gesamten Lebenszyklus hinweg rückverfolgbar und prüfbar bleibt.
- Transparenz gegenüber Nutzern
- Offenlegung der KI-Interaktion und Kennzeichnung von KI-generierten oder manipulierten Inhalten (Deepfakes).
- Überwachung nach dem Inverkehrbringen
- Überwachen Sie die Leistung im praktischen Einsatz und melden Sie schwerwiegende Vorfälle; Governance endet nicht mit der Bereitstellung.
Checkliste
- 01Erfassen Sie Ihre KI-Systeme in einem Inventar und klassifizieren Sie jedes nach seiner Risikostufe.
- 02Stellen Sie sicher, dass keines der Systeme unter die verbotenen Praktiken fällt.
- 03Richten Sie für Hochrisiko-Systeme Risikomanagement, Data Governance und technische Dokumentation ein.
- 04Implementieren Sie eine menschliche Aufsicht mit der Möglichkeit, einzugreifen oder das System zu stoppen.
- 05Ermöglichen Sie die Protokollierung/Rückverfolgbarkeit und definieren Sie die Überwachung nach dem Inverkehrbringen sowie die Meldung von Vorfällen.
- 06Fügen Sie bei Bedarf Transparenzhinweise für Nutzer und Inhaltskennzeichnungen hinzu.
- 07Verfolgen Sie die für Ihre Systeme geltenden Termine der schrittweisen Anwendung.
Typische Fallstricke
- Die Annahme, das Gesetz gelte nicht, weil Sie sich außerhalb der EU befinden – es ist extraterritorial wirksam.
- Die Behandlung von GPAI-Verpflichtungen als identisch mit den Verpflichtungen für KI-Systeme; diese sind unterschiedlich.
- Das nachträgliche Aufpfropfen einer menschlichen Aufsicht, die im Ernstfall nicht rechtzeitig eingreifen kann.
- Unzureichende Dokumentation: Fehlende technische Dokumentation und Protokolle sind eine häufige Schwachstelle.
Beispiele
- Ein Tool zur Vorauswahl von Bewerbern, das als hochriskant eingestuft ist und Dokumentation, menschliche Aufsicht sowie Überwachung erfordert.
- Ein Chatbot, der einen klaren Hinweis "Sie sprechen mit einer KI" anzeigt, um die Transparenzpflichten zu erfüllen.
- Ein GPAI-Anbieter, der die Modelldokumentation und eine Zusammenfassung der Trainingsdaten veröffentlicht.
FAQs
- Gilt der EU AI Act auch für Unternehmen außerhalb der EU?
- Ja. Er gilt für Anbieter und Betreiber, deren KI-Systeme auf dem EU-Markt bereitgestellt werden oder deren Ergebnisse in der EU genutzt werden, unabhängig vom Sitz des Unternehmens.
- Was ist ein "Hochrisiko"-KI-System?
- Systeme, die in sensiblen Bereichen (z. B. Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur, bestimmte Biometrie) oder als Sicherheitsbauteile regulierter Produkte eingesetzt werden. Sie unterliegen den strengsten Verpflichtungen direkt unterhalb eines Verbots.
- Wie verhält es sich zu Human-in-the-Loop?
- Artikel 14 fordert eine wirksame menschliche Aufsicht für Hochrisiko-Systeme – eine Person, die in der Lage ist, das System zu verstehen, einzugreifen oder es zu stoppen. Das Muster des "Human-Approval-Gate" (Freigabe durch den Menschen) ist eine Möglichkeit, dies umzusetzen.