15 Digitales Querschnittsrecht
Der Artificial Intelligence Act der Europäischen Union, kurz EU AI Act (Plenarsitzungsdokument), stellt einen bedeutenden Schritt in Richtung einer sicheren und verantwortungsvollen Nutzung von Künstlicher Intelligenz (KI; engl. Artificial Intelligence, AI) dar. Durch die Einführung strenger Anforderungen und Mechanismen zur Überwachung und Durchsetzung will die EU sicherstellen, dass KI-Systeme im Einklang mit europäischen Werten und Grundrechten entwickelt und eingesetzt werden.
Begriff der künstlichen Intelligenz gemäss AI Act
Der AI Act definiert in Art. 3 i.V.m. Anhang I AI Act künstliche Intelligenz als Systeme, die maschinelles Lernen, logik- und wissensbasierte Ansätze sowie statistische Methoden verwenden, um Daten zu verarbeiten und Entscheidungen oder Vorhersagen zu treffen. Diese Definition deckt verschiedene Technologien und Methoden ab, um die Bandbreite aktueller und zukünftiger KI-Systeme zu berücksichtigen.
Timeline
Der EU AI Act wurde am 13. März 2024 vom Europäischen Parlament verabschiedet. Der Rat der Europäischen Union stimmte dem Gesetzeswerk am 21. Mai 2024 zu, sodass es nach Veröffentlichung im Amtsblatt der EU und einer weiteren 20-Tage-Frist in Kraft treten kann. Die Anwendung der meisten Regelungen erfolgt stufenweise, wobei die meisten Bestimmungen nach 24 Monaten, also 2026, verbindlich werden. Einige spezifische Bestimmungen treten bereits früher in Kraft. So werden etwa verbotene KI-Praktiken, wie KI-Systeme zur sozialen Bewertung oder manipulative KI, sechs Monate nach Inkrafttreten durchgesetzt. Die vollständige Umsetzung und Einhaltung der Regelungen wird bis 2027 erwartet, mit einigen Ausnahmen für bereits bestehende Systeme, die bis dahin angepasst werden müssen (s. Reed Smith LLP, The EU AI Act: Timeline).
Klassifizierung von KI-Systemen
Der EU AI Act führt eine risikobasierte Klassifizierung von KI-Systemen ein (Kapitel II ff. AI Act). Diese Klassifizierung soll sicherstellen, dass KI-Systeme im Einklang mit den europäischen Werten und Grundrechten eingesetzt werden. Die Klassifizierung umfasst folgende vier Kategorien:
Unakzeptables Risiko (Verbotene Praktiken, Kapitel II AI Act): Diese KI-Systeme sind verboten, da sie eine ernsthafte Bedrohung für die Sicherheit, die Grundrechte und die Werte der EU darstellen. Beispiele hierfür sind Systeme, die Menschen manipulieren oder diskriminieren.
Hohes Risiko (Hochrisiko-Systeme, Kapitel III AI Act): KI-Systeme, die in Bereichen wie Strafverfolgung, kritischen Infrastrukturen oder im Bildungswesen eingesetzt werden, fallen in diese Kategorie. Sie unterliegen strengen Anforderungen und müssen vor dem Inverkehrbringen eine Konformitätsbewertung bestehen.
Begrenztes Risiko (mit Transparenzpflichten, Kapitel IV AI Act): Für diese Systeme gelten spezifische Transparenzanforderungen. Nutzer müssen darüber informiert werden, dass sie mit einem KI-System interagieren, wie bei Chatbots.
Minimales Risiko: Diese Kategorie umfasst die meisten KI-Anwendungen, für die keine zusätzlichen Anforderungen gelten. Beispiele sind KI-gestützte Spiele oder Spamfilter.
Konformitätsbewertung und CE-Kennzeichnung
KI-Systeme mit hohem Risiko müssen eine Konformitätsbewertung bestehen, bevor sie auf den Markt gebracht werden dürfen. Diese Bewertung stellt sicher, dass die Systeme den festgelegten Sicherheits- und Transparenzanforderungen entsprechen. Nach erfolgreicher Bewertung erhalten die Systeme eine CE-Kennzeichnung (CE = Conformité Européenne), die ihre Konformität bescheinigt.
Überwachung und Durchsetzung
Zur Überwachung und Durchsetzung des EU AI Act sollen nationale Aufsichtsbehörden eingerichtet werden. Diese Behörden sind dafür verantwortlich, die Einhaltung der Vorschriften zu überwachen und bei Verstössen Sanktionen zu verhängen. Auf EU-Ebene wird ein Europäisches Komitee für Künstliche Intelligenz eingerichtet, um die Zusammenarbeit und Konsistenz zwischen den Mitgliedstaaten zu gewährleisten.
Transparenz und menschliche Aufsicht
Für KI-Systeme mit hohem Risiko müssen angemessene Transparenz- und Aufsichtsmechanismen implementiert werden. Dies umfasst die Dokumentation des Designs und der Funktionsweise des KI-Systems sowie die Sicherstellung, dass Menschen die Entscheidungen der KI-Systeme überprüfen und gegebenenfalls eingreifen können.
Sanktionen bei Verstössen
Verstösse gegen den EU AI Act können erhebliche Geldstrafen nach sich ziehen. Unternehmen, die gegen die Vorschriften verstossen, können mit Geldstrafen von bis zu 6 % ihres weltweiten Jahresumsatzes belegt werden.
Keine Ausnahmen bei Anwendung von AI Act
Immer wieder wird kolportiert, dass der AI Act nur auf grosse Unternehmen und Organisationen zur Anwendung komme. Dies ist nicht zutreffend. Der AI Act kommt generell zur Anwendung. Hingegen gibt es für kleine und mittlere Unternehmen und Organisationen (weniger als 250 Mitarbeitende, Jahresumsatz von höchstens 50 Millionen Euro oder Jahresbilanzsumme von höchstens 43 Millionen Euro; Empfehlung 2003/361/EG der EU-Kommission) verschiedene Erleichterungen:
Proportionalitätsprinzip: Die Anforderungen und Verpflichtungen werden im Verhältnis zur Grösse und den Ressourcen des Unternehmens angewendet. Dies soll sicherstellen, dass kleinere Unternehmen nicht unverhältnismässig belastet werden.
Technische Unterstützung und Leitlinien: Die Europäische Kommission und andere zuständige Behörden bieten KMU technische Unterstützung, Leitlinien und Best Practices an, um die Einhaltung der Vorschriften zu erleichtern.
Regulatory Sandboxes: KMU haben Zugang zu «regulatory sandboxes», in denen sie ihre KI-Systeme in einem kontrollierten Umfeld testen können. Dies ermöglicht Innovation und Experimentation unter Aufsicht, ohne sofortigen vollständigen Regulierungsdruck.
Erleichterter Zugang zu Finanzmitteln: Es gibt spezielle Förderprogramme und finanzielle Unterstützung, um KMU bei der Entwicklung und Implementierung von KI-Systemen zu unterstützen.
Anwendung des AI Act auf Schweizer Unternehmen und Organisationen
Gemäss Art. 2 gilt der AI Act grundsätzlich für Unternehmen und Organisationen, die KI-Systeme in der EU vermarkten oder in Betrieb nehmen, unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht (s. Kapitel 07.05 Auswirkungsprinzip/Marktortprinzip). Für Schweizer Unternehmen und Organisationen bedeutet dies:
Marktzugang: Wenn ein Schweizer Unternehmen KI-Systeme in der EU anbietet, unabhängig davon, ob dies entgeltlich oder unentgeltlich geschieht, fällt es unter den AI Act.
Nutzer in der EU: Wenn ein Schweizer Unternehmen KI-Systeme anbietet, die Nutzer in der EU betreffen, sei es direkt oder indirekt, unterliegt es den Regelungen des AI Act.
Überwachung und Reporting: Schweizer Unternehmen, die in der EU tätig sind, müssen die gleichen Überwachungs- und Berichtspflichten erfüllen wie EU-Unternehmen, einschliesslich der Anforderungen an Transparenz, Risikomanagement und Sicherheitsbewertungen.
Dieser Beitrag wurde mit Unterstützung durch ChatGPT geschrieben und validiert.