AI Act: Was ändert sich für italienische und deutsche Unternehmen, die künstliche Intelligenz einsetzen.
Die künstliche Intelligenz verändert die globale Wirtschafts- und Unternehmenslandschaft in rasantem Tempo. Als Reaktion auf diese technologische Entwicklung hat die Europäische Union die Verordnung (EU) 2024/1689, besser bekannt als AI Act, verabschiedet – den weltweit ersten umfassenden Rechtsrahmen zur Regulierung von Systemen der künstlichen Intelligenz.
Da die Verordnung als europäische Verordnung unmittelbar in allen Mitgliedstaaten gilt, verfolgt der AI Act das Ziel, einen einheitlichen Rechtsrahmen für die Regulierung künstlicher Intelligenz zu schaffen. Gleichzeitig soll Innovation gefördert und sichergestellt werden, dass entsprechende Technologien unter Wahrung der Grundrechte, der Sicherheit sowie der Werte der Europäischen Union entwickelt und eingesetzt werden. Ziel ist es, eine vertrauenswürdige, transparente und am Schutz des Menschen orientierte Nutzung künstlicher Intelligenz zu fördern.
Die Verordnung ist insbesondere für Unternehmen von erheblicher Bedeutung, da sie nicht nur für Entwickler von KI-Systemen gilt, sondern auch für diejenigen, die solche Systeme auf den Markt bringen, vertreiben oder im Rahmen ihrer Geschäftstätigkeit einsetzen. Folglich wird eine Vielzahl von Wirtschaftsakteuren verpflichtet sein, die Einhaltung der neuen regulatorischen Anforderungen zu überprüfen und sicherzustellen.
Zentrales Element des AI Act ist der risikobasierte Ansatz (risk-based approach): Je höher das Risiko ist, das ein System der künstlichen Intelligenz für die Sicherheit oder die Grundrechte natürlicher Personen mit sich bringt, desto strenger sind die anwendbaren Anforderungen.
Die erste Kategorie umfasst KI-Praktiken, die als „unannehmbares“ Risiko eingestuft und daher verboten sind. Art. 5 der Verordnung enthält einen Katalog von Anwendungen, die mit den europäischen Werten unvereinbar sind. Hierzu zählen unter anderem Systeme, die „Techniken der unterschwelligen Beeinflussung außerhalb des Bewusstseins einer Person oder absichtlich manipulative oder täuschende Techniken mit dem Ziel oder der Wirkung einsetz[en], das Verhalten einer Person oder einer Gruppe von Personen wesentlich zu verändern“.
Eine weitere Kategorie bilden die sog. „Hochrisiko-KI-Systeme“. Hierunter fallen Systeme, die in besonders sensiblen Bereichen wie Gesundheit, Sicherheit oder im Zusammenhang mit den Grundrechten natürlicher Personen eingesetzt werden (Art. 6). Für diese Systeme sieht die Verordnung besonders strenge Anforderungen vor, insbesondere hinsichtlich des Risikomanagements, der Datenqualität, der menschlichen Aufsicht, der technischen Dokumentation, der Nachvollziehbarkeit sowie der Cybersicherheit.
Darüber hinaus regelt der AI Act KI-Systeme mit begrenztem Risiko, bei denen insbesondere der Transparenzgrundsatz eine zentrale Rolle spielt. In diesen Fällen müssen Nutzer angemessen darüber informiert werden, dass sie mit einem KI-System interagieren, damit sie fundierte und bewusste Entscheidungen treffen können.
Besondere Aufmerksamkeit widmet die Verordnung zudem den sog. General-Purpose-AI-Modellen (GPAI), die die Grundlage zahlreicher heute auf dem Markt verbreiteter generativer Anwendungen bilden. Anbieter solcher Modelle sind verpflichtet, spezifische Anforderungen in Bezug auf technische Dokumentation, Transparenz und Risikomanagement einzuhalten, insbesondere wenn von den Modellen potenzielle systematische Risiken ausgehen.
Das im AI Act vorgesehene Sanktionssystem ist äußerst streng. Verstöße gegen die verbotenen Praktiken können mit Geldbußen von bis zu 35 Millionen Euro oder bis zu 7% des pauschalen Jahresumsatzes des Unternehmens geahndet werden, sofern dieser Betrag höher ist. Für andere Arten von Verstoßen sieht die Verordnung abgestufte, jedoch ebenfalls erhebliche Sanktionen vor.
Ab dem 2. August 2026 gilt die Verordnung in vollem Umfang. Mit diesem Datum treten sämtliche Pflichten und Sanktionen für Hochrisiko-KI-Systeme in Kraft. Daher ist es erforderlich, frühzeitig Maßnahmen zur Anpassung an die europäische Regulierung zu ergreifen. Zunächst bedarf es einer umfassenden Bestandsaufnahme der im Unternehmen eingesetzten KI-Systeme sowie einer klaren Festlegung der Verantwortlichkeiten innerhalb der Organisation. Ebenso müssen die Nachvollziehbarkeit dieser Systeme und die zugehörige technische Dokumentation gewährleistet sein.
Von gleicher Bedeutung ist die Sicherstellung von Transparenz gegenüber Nutzern, Kunden und sonstigen Stakeholdern durch klare Informationen und geeignete Maßnahmen, die die Rolle künstlicher Intelligenz in den Unternehmensprozessen verständlich machen. Besondere Aufmerksamkeit sollte darüber hinaus der Anpassung der Verträge im Zusammenhang mit dem eingesetzten KI-Systemen und GPAI-Modellen gewidmet werden.
Die Umsetzung des AI Act kann zudem nicht losgelöst von bereits bestehenden Rechtsvorschriften betrachtet werden. Im deutschen Kontext sind insbesondere die Wechselwirkungen mit der Datenschutz-Grundverordnung (DSGVO), dem Arbeitsrecht sowie weiteren einschlägigen sektorspezifischen Regelungen zu berücksichtigen.
Mit dem AI Act nimmt die Europäische Union weltweit eine Vorreiterrolle bei der Regulierung künstlicher Intelligenz ein. Der neue Rechtsrahmen könnte künftig als Vorbild für andere Rechtsordnungen dienen und wesentlich zur Entwicklung globaler Standards für eine verantwortungsvolle und grundrechtskonforme Nutzung künstlicher Intelligenz beitragen.
