Zusammenfassung der Inhalte der KI-Verordnung der EU (2024/1689) aus Sicht KMU

Zusammenfassung der Inhalte der KI (AI)-Verordnung der EU (2024/1689)

In dieser Zusammenfassung möchte ich die wesentlichen Inhalte der KI-Verordnung der EU für mittelständische Unternehmen beschreiben.

Die Verordnung wurde vom EU-Gesetzgeber am 13. Juni 2024 verabschiedet, am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und tritt am 01. August 2024 in Kraft. Als Verordnung muss sie nicht in nationales Recht umgewandelt werden. Sie gilt für alle EU-Bürger, alle EU-Unternehmen und Unternehmen aus Drittländern, die auf dem europäischen Markt tätig sind.

Abgesehen von allgemeinen, aus anderen Rechtsgebieten wie dem Datenschutzrecht und dem Strafrecht stammenden Regelungen unterlagen KI-Systeme in der EU bisher keinem KI-spezifischen Regelwerk. Die KI-Verordnung gilt nicht für diejenigen Bereiche, die nicht in den Anwendungsbereich des EU-Rechts fallen, wie etwa nationale Sicherheit. Weiterhin findet sie keine Anwendung auf Systeme, die ausschließlich für militärische bzw. Verteidigungszwecke genutzt werden, oder deren alleiniger Zweck wissenschaftliche Forschung und Entwicklung darstellt. Die Nutzung von KI-Systemen zu privaten Zwecken fällt ebenfalls nicht in den Anwendungsbereich der Verordnung.

Die KI-Verordnung stuft KI nach ihrem Risiko ein:

• KI mit unannehmbaren Risiken (verbotene Praktiken)
• KI-Systeme mit hohem Risiko
• KI-Systemen mit begrenztem Risiko
• KI mit geringem Risiko

Zu den verbotenen KI-Praktiken zählen u. a. folgende:

• unterschwelligen Beeinflussung außerhalb des Bewusstseins einer Person oder absichtlich manipulative oder täuschende Techniken mit dem Ziel das Verhalten einer Person zu verändern
• Ausnutzung der Schutzbedürftigkeit einer natürlichen Person
• Einstufung natürlicher Personen auf der Grundlage ihres sozialen Verhaltens oder persönlicher Eigenschaften
• Schlechterstellung von Personen auf Grund der Nutzung von Daten, die zu einem anderen Zweck erhoben wurden
• KI-Systeme zur Gesichtserkennung mit Hilfe von Internetbildern und Überwachungskameras
• Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen
• biometrische Kategorisierung, die Rückschlüsse auf sensible Daten wie Rasse, politische Meinung, Gewerkschaft, Religion, Sexualität zulassen
• für strafrechtliche Ermittlungen.
  

Die meisten Verpflichtungen treffen die Anbieter (Entwickler), Inverkehrbringer und Händler von KI-Systemen mit hohem Risiko.

Die KI-Systeme mit hohem Risiko werden in zwei Gruppen eingeteilt. Die erste Kategorie umfasst KI-Systeme die als Sicherheitskomponenten in Produkten eingesetzt werden. Die zweite Kategorie umfasst eigenständige KI-Systeme, die sich auf die Grundrechte auswirken.

Die Liste solcher KI-Systeme ist in Anhang III der KI-Verordnung enthalten und umfasst zum Beispiel:

• KI-Systeme, die als Sicherheitskomponenten für die Verwaltung und den Betrieb bestimmter kritischer Infrastrukturen eingesetzt werden sollen,
• KI-Systeme, die für Entscheidungen über den Zugang oder die Zuweisung natürlicher Personen zu Einrichtungen der allgemeinen und beruflichen Bildung verwendet oder mit denen Schüler solcher Einrichtungen bewertet werden sollen,
• KI-Systeme im Beschäftigungskontext, die für die Personalbeschaffung, für Entscheidungen über Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen, für die Aufgabenzuweisung und für die Überwachung und Bewertung der Leistung und des Verhaltens von Arbeitnehmern verwendet werden sollen,
• KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Kreditpunktebewertung natürlicher Personen verwendet werden sollen.

Die Betreiber (Nutzer) müssen Hochrisiko-KI-Systeme in Übereinstimmung mit der mitgelieferten Gebrauchsanweisung verwenden, die Eingabedaten sorgfältig auswählen, den Betrieb des Hochrisiko-KI-Systems überwachen und Protokolle über die Nutzung aufbewahren. In der Regel werden Grundrechte- und Datenschutz-Folgeabschätzungen für die Nutzung von KI-Systemen mit hohem Risiko notwendig sein.

Die Artikel 8 – 27 der Verordnung beschäftigen sich mit den Regeln für die Entwicklung und den Einsatz von KI-Systeme mit hohem Risiko.

Artikel 50 der Verordnung beschäftigt sich mit Transparenzpflichten für Anbieter und Betreiber von KI-Systemen. Auf diese soll im Folgenden näher eingegangen werden.

Die Anbieter müssen sicherstellen, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist offensichtlich.

Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.

Die Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die davon betroffenen natürlichen Personen über den Betrieb des Systems und verarbeiten personenbezogene Daten gemäß den einschlägigen Datenschutz-Gesetzen.

Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.

Die Informationen aus den genannten Transparenzpflichten müssen den betreffenden natürlichen Personen spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise bereitgestellt werden. Die Informationen müssen den geltenden Barrierefreiheitsanforderungen entsprechen.

KI-Modelle stellen ein systemisches Risiko dar, wenn der kumulierte Rechenaufwand für die Ausbildung mehr als 10²⁵ Gleitkommaoperationen (FLOPs) beträgt.

Die Anbieter müssen der Aufsichtsbehörde innerhalb von 2 Wochen mitteilen, ob ihr Modell dieses Kriterium erfüllt.

Der Anbieter eines KI-Modells mit allgemeinem Verwendungszweck kann in seiner Mitteilung hinreichend begründete Argumente vorbringen um nachzuweisen, dass das KI-Modell mit allgemeinem Verwendungszweck aufgrund seiner besonderen Merkmale keine systemischen Risiken birgt.

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen eine technische Dokumentation erstellen und aktualisieren. Die Anbieter von KI-Systemen müssen in der Lage sein, die Grenzen und Fähigkeiten des Systems zu verstehen und an Anbieter, die das System in weitere Produkte integrieren wollen, weiterzugeben.

Die Entwickler von KI-Modellen müssen eine Strategie zur Einhaltung des Urheberrechts verfolgen.

Die KI-Verordnung tritt am 1. August 2024 in Kraft und ist grundsätzlich zwei Jahre nach ihrem Inkrafttreten, d. h. ab dem 2. August 2026, anwendbar.

Die Regelungen über verbotene KI-Praktiken treten schon ab dem 2. Februar 2025 in Kraft.

Die Verpflichtungen in Bezug auf KI-Modelle mit allgemeinem Verwendungszweck sind ab dem 2. August 2025 anwendbar.

Ab dem 2. August 2027 sind die Regelungen über KI-Systeme mit hohem Risiko anwendbar.

Was müssen die Unternehmen tun?

Als Nutzer von KI-Systemen müssen Sie sich im Klaren sein, welche Kategorie von KI-Modellen Sie nutzen. Durch die Anbieter müssen die Transparenz- und Dokumentationspflichten eingehalten werden. Nutzer in den Unternehmen sollten die grundlegenden Abläufe und Vorschriften verstanden haben. Die Nutzung von KI-Systemen und KI-Modellen sollte im Verzeichnis der Verarbeitungstätigkeiten und in relevanten Datenschutz-Dokumenten beschrieben sein.

Als Anbieter von KI-Systemen oder wenn Sie KI-Systeme in Ihre Produkte integrieren, sollten Sie sich umfassend mit der Verordnung, der Klassifizierung des KI-Modells und den entsprechenden Regelungen vertraut machen. Mit einer Grundrechte- und Datenschutz-Folgeabschätzung können Sie Risiken einschätzen und geeignete Maßnahmen planen.

Gern unterstütze ich Sie auf dem Weg der Entwicklung und Nutzung von KI-Systemen aus Sicht des Datenschutzes.

Thomas Töpfer, TT Datenschutz GmbH, 31.07.2024