AI Act: Auswirkungen auf italienische und deutsche Unternehmen beim Einsatz künstlicher Intelligenz
Die künstliche Intelligenz transformiert die globale Wirtschafts- und Produktionslandschaft in rasantem Tempo. Als Antwort auf diese technologische Entwicklung hat die Europäische Union die Verordnung (EU) 2024/1689 verabschiedet, besser bekannt als AI Act. Es handelt sich dabei um den weltweit ersten umfassenden Rechtsrahmen zur Regulierung von Systemen der künstlichen Intelligenz.
Als europäische Verordnung ist der AI Act in allen Mitgliedstaaten unmittelbar anwendbar. Er zielt darauf ab, einen einheitlichen Ansatz bei der Regulierung künstlicher Intelligenz zu gewährleisten, während gleichzeitig Innovationen gefördert und sichergestellt wird, dass diese Technologien unter Achtung der Grundrechte, der Sicherheit und der Werte der Europäischen Union entwickelt und eingesetzt werden. Ziel ist es, eine vertrauenswürdige, transparente und am Schutz des Einzelnen orientierte Nutzung der künstlichen Intelligenz zu fördern.
Diese Gesetzgebung ist für Unternehmen von besonderer Relevanz, da sie sich nicht nur an die Entwickler von KI-Systemen richtet, sondern auch an Akteure, die diese in Verkehr bringen, vertreiben oder im Rahmen ihrer eigenen Geschäftstätigkeit einsetzen. Folglich ist eine Vielzahl von Wirtschaftsakteuren gefordert, ihre Compliance im Hinblick auf die neuen Verpflichtungen der Verordnung umgehend zu prüfen.
Zentrales Element des AI Act ist der risikobasierte Ansatz (risk-based approach): Je höher das Risiko ist, das ein KI-System für die Sicherheit oder die Grundrechte von Personen darstellt, desto strenger sind die einzuhaltenden Verpflichtungen.
Die erste Kategorie umfasst KI-Praktiken, die als „unannehmbares“ Risiko eingestuft und daher verboten sind. Art. 5 der Verordnung listet eine Reihe von Anwendungen auf, die mit europäischen Werten unvereinbar sind, darunter Systeme, die „unterschwellige Techniken außerhalb des Bewusstseins einer Person oder vorsätzlich manipulative oder täuschende Techniken einsetzen, um das Verhalten einer Person oder einer Gruppe von Personen wesentlich zu beeinflussen […]“.
Eine zweite Ebene betrifft „Hochrisiko-KI-Systeme“, also solche, die in besonders sensiblen Bereichen wie Gesundheit, Sicherheit oder den Grundrechten natürlicher Personen eingesetzt werden (Art. 6). Für diese Systeme sieht die Verordnung besonders strenge Anforderungen in Bezug auf Risikomanagement, Datenqualität, menschliche Aufsicht, technische Dokumentation, Rückverfolgbarkeit und Cybersicherheit vor.
Darüber hinaus regelt der AI Act Systeme mit begrenztem Risiko, bei denen das Transparenzprinzip eine zentrale Rolle spielt. In diesen Fällen müssen die Nutzer angemessen informiert werden, wenn sie mit einem KI-System interagieren, damit sie eine fundierte Entscheidung treffen können.
Besondere Aufmerksamkeit gilt auch den KI-Modellen mit allgemeinem Verwendungszweck (GPAI), die die Grundlage für zahlreiche heute auf dem Markt verbreitete generative Anwendungen bilden. Die Anbieter solcher Modelle sind verpflichtet, spezifische Anforderungen an die technische Dokumentation, Transparenz und das Risikomanagement zu erfüllen, insbesondere wenn die Modelle potenzielle systemische Risiken bergen.
Das in der Verordnung vorgesehene Sanktionssystem ist äußerst streng. Verstöße gegen verbotene Praktiken können Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Gesamtumsatzes des Unternehmens nach sich ziehen, je nachdem, welcher Betrag höher ist. Für andere Kategorien von Verstößen gelten gestaffelte, jedoch ebenfalls signifikante Sanktionsobergrenzen.
Ab dem 2. August 2026 tritt die volle Anwendbarkeit der Verordnung in Kraft, womit sämtliche Pflichten und Sanktionen für Hochrisiko-Systeme wirksam werden. Daher ist es unerlässlich, frühzeitig Maßnahmen zu ergreifen, um die Konformität mit den europäischen Vorschriften sicherzustellen. Zunächst sind eine Bestandsaufnahme der KI-Nutzung im Unternehmen sowie eine klare Definition der Rollen innerhalb der Organisation erforderlich. Die Rückverfolgbarkeit dieser Systeme und die entsprechende technische Dokumentation müssen rechtssicher ausgestaltet sein.
Ebenso grundlegend ist die Gewährleistung der Transparenz gegenüber Nutzern, Kunden und Stakeholdern durch klare Informationspflichten und geeignete Instrumente, die die Rolle der künstlichen Intelligenz in den Geschäftsprozessen nachvollziehbar machen. Ein besonderes Augenmerk muss zudem auf die Anpassung der vertraglichen Grundlagen für die eingesetzten KI-Systeme und ‑Modelle gelegt werden.
Die Anpassung an den AI Act erfordert zudem eine enge Abstimmung mit bestehenden Rechtsvorschriften. Im italienischen Kontext sind dabei insbesondere die Wechselwirkungen mit der Datenschutz-Grundverordnung (DSGVO), den arbeitsrechtlichen Vorschriften sowie weiteren anwendbaren sektorspezifischen Normen von Bedeutung.
Mit dem AI Act hat sich die Europäische Union an die Spitze der Regulierung künstlicher Intelligenz gesetzt. Der neue Rechtsrahmen könnte auch für andere Rechtsordnungen als Referenzmodell dienen und zur Definition globaler Standards für eine verantwortungsvolle und grundrechtskonforme technologische Entwicklung beitragen.
