Einigung beim EU AI ACT: So soll künstliche Intelligenz reguliert werden

Am 9.12.2023 gelang eine Einigung zwischen dem Europäischen Parlament und dem Europäischen Rat über den AI ACT, ein Gesetz zur Regulierung von künstlicher Intelligenz (Artificial Intelligence, kurz: AI). Der AI Act der EU ist der erste umfassende Rechtsrahmen für künstliche Intelligenz weltweit. Basierend auf Informationen der EU Kommission ergeben sich folgende wichtige Eckpunkte:

Die neuen Vorschriften sollen in allen Mitgliedstaaten auf der Grundlage einer zukunftssicheren Definition von AI unmittelbar und in gleicher Weise angewandt werden und einen risikobasierten Ansatz verfolgen.

Minimales Risiko: Die große Mehrheit der AI-Systeme soll in die Kategorie des minimalen Risikos fallen. Anwendungen mit minimalem Risiko wie AI-gestützte Empfehlungssysteme oder Spam-Filter sollen von fehlenden Verpflichtungen profitieren, da diese Systeme nur ein minimales oder gar kein Risiko für die Rechte oder die Sicherheit der Bürger:innen darstellen. Auf freiwilliger Basis können sich die Unternehmen jedoch zu zusätzlichen Verhaltenskodizes für diese AI-Systeme verpflichten.

Hohes Risiko: AI-Systeme, die als hochriskant eingestuft werden, müssen strenge Anforderungen erfüllen, darunter Systeme zur Risikominderung, eine hohe Qualität der Datensätze, die Protokollierung von Aktivitäten, eine ausführliche Dokumentation, klare Anleitungen, menschliche Aufsicht und ein hohes Maß an Robustheit, Genauigkeit und Cybersicherheit. Regulatorische Sandboxes sollen verantwortungsvolle Innovationen und die Entwicklung von konformen AI-Systemen erleichtern. („Regulatory Sandbox“: Unternehmen können Technologien oder Geschäftsmodelle testen, ohne bereits sämtliche aufsichtsrechtliche Anforderungen erfüllen zu müssen. Voraussetzungen sind z.B. ein begrenzter Zeitraum, ein begrenzter Umfang, und/oder Aufsicht und Anleitung.)

Beispiele für solche risikoreichen AI-Systeme sind bestimmte kritische Infrastrukturen, z. B. in den Bereichen Wasser, Gas und Strom, medizinische Geräte, Systeme zur Bestimmung des Zugangs zu Bildungseinrichtungen oder zur Rekrutierung von Personen oder bestimmte Systeme, die in den Bereichen Strafverfolgung, Grenzkontrolle, Justizverwaltung und demokratische Prozesse eingesetzt werden. Darüber hinaus gelten biometrische Identifizierungs-, Kategorisierungs- und Emotionserkennungssysteme ebenfalls als hochriskant.

Inakzeptables Risiko: AI-Systeme, die eine eindeutige Bedrohung für die Grundrechte der Menschen darstellen, sollen verboten werden. Dazu gehören AI-Systeme oder -Anwendungen, die das menschliche Verhalten manipulieren, um den freien Willen der Nutzer:innen zu umgehen, wie z. B. Spielzeug mit Sprachassistenz, das gefährliches Verhalten von Minderjährigen fördert, oder Systeme, die ein „Social Scoring“ durch Regierungen oder Unternehmen ermöglichen, sowie bestimmte Anwendungen der vorausschauenden Polizeiarbeit. Darüber hinaus werden einige Anwendungen biometrischer Systeme verboten, z. B. Systeme zur Erkennung von Emotionen am Arbeitsplatz und einige Systeme zur Kategorisierung von Personen oder zur biometrischen Echtzeit-Fernidentifizierung in Echtzeit zu Strafverfolgungszwecken in öffentlich zugänglichen Räumen (hierbei soll es strenge Ausnahmen geben).

Spezifisches Transparenzrisiko: Beim Einsatz von AI-Systemen wie Chatbots sollten sich die Nutzer:innen bewusst sein, dass sie mit einer Maschine interagieren. Deep Fakes und andere AI-generierte Inhalte müssen als solche gekennzeichnet werden, und die Nutzer müssen informiert werden, wenn biometrische Kategorisierungs- oder Emotionserkennungssysteme verwendet werden. Darüber hinaus sollen die Anbieter ihre Systeme so gestalten, dass synthetische Audio-, Video-, Text- und Bildinhalte in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkannt werden können.

Geldbußen

Unternehmen, die sich nicht an die Vorschriften halten, müssen mit Geldstrafen rechnen:

• Die Bußgelder würden zwischen 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für Verstöße gegen verbotene AI-Anwendungen,
• 15 Mio. EUR oder 3 % für Verstöße gegen andere Verpflichtungen,
• und 7,5 Mio. EUR oder 1,5 % für die Übermittlung falscher Informationen liegen.

Für KMU und Start-ups sollen bei Verstößen gegen das AI-Gesetz verhältnismäßigere Obergrenzen für Bußgelder vorgesehen werden.

General Purpose AI (allgemeine KI)

Mit dem AI-Gesetz sollen spezielle Regeln für General Purpose AI Modelle eingeführt werden, die die Transparenz entlang der Wertschöpfungskette sicherstellen sollen. Für sehr leistungsfähige Modelle, die systemische Risiken darstellen könnten, wird es zusätzliche verbindliche Verpflichtungen in Bezug auf das Risikomanagement und die Überwachung schwerwiegender Vorfälle sowie die Durchführung von Modellevaluierungen und Tests mit Gegenmaßnahmen geben. Diese neuen Verpflichtungen sollen durch Verhaltenskodizes umsetzbar gemacht werden, die von der Industrie, der Wissenschaft, der Zivilgesellschaft und anderen Interessengruppen zusammen mit der Kommission entwickelt werden sollen.

Was die Verwaltung betrifft, so sollen die zuständigen nationalen Marktaufsichtsbehörden die Umsetzung der neuen Vorschriften auf nationaler Ebene überwachen, während die Schaffung eines neuen europäischen AI-Büros innerhalb der Europäischen Kommission die Koordinierung auf europäischer Ebene sicherstellen soll. Das neue Amt für AI soll auch die Umsetzung und Durchsetzung der neuen Vorschriften für General Purpose AI überwachen. Zusammen mit den nationalen Marktaufsichtsbehörden wird das Amt für AI die erste Stelle weltweit sein, die verbindliche Vorschriften für AI durchsetzt, und soll zu einem internationalen Bezugspunkt werden. Für allgemeine Modelle soll ein wissenschaftliches Gremium unabhängiger Expert:innen eine zentrale Rolle spielen, indem es Warnungen zu Systemrisiken herausgibt und zur Klassifizierung und Prüfung der Modelle beiträgt.

Nächste Schritte

Die politische Einigung muss nun noch vom Europäischen Parlament und vom Rat formell genehmigt werden und wird 20 Tage nach der Veröffentlichung im Amtsblatt in Kraft treten.

• Das AI-Gesetz soll dann zwei Jahre nach seinem Inkrafttreten anwendbar sein, Ausnahmen:
• Verbote sollen bereits nach 6 Monaten,
• Vorschriften für General Purpose AI sollen nach 12 Monaten anwendbar sein.
  

Um die Übergangszeit bis zur allgemeinen Anwendbarkeit der Verordnung zu überbrücken, wird die Kommission einen AI-Pakt ins Leben rufen. Er wird AI-Entwickler aus Europa und der ganzen Welt zusammenbringen, die sich auf freiwilliger Basis verpflichten, wichtige Verpflichtungen des AI-Gesetzes bereits vor den gesetzlichen Fristen umzusetzen.

Um Regeln für vertrauenswürdige AI auf internationaler Ebene zu fördern, wird die Europäische Union weiterhin in Foren wie der G7, der OECD, dem Europarat, der G20 und der UNO mitarbeiten. Erst kürzlich hat die EU die Einigung der G7-Staats- und Regierungschefs im Rahmen des Hiroshima-Prozesses für AI auf internationale Leitprinzipien und einen freiwilligen Verhaltenskodex für fortgeschrittene AI-Systeme unterstützt.