Einleitung
Der EU AI Act stellt einen bedeutenden regulatorischen Rahmen für Unternehmen dar, die Künstliche Intelligenz (KI) entwickeln, vertreiben oder betreiben. Ziel dieses Gesetzes ist es, die Risiken, die mit KI-Systemen verbunden sind, zu minimieren und gleichzeitig einen einheitlichen Rechtsrahmen innerhalb der Europäischen Union zu schaffen. Dies führt jedoch zu einer Reihe von Herausforderungen für Unternehmen, die sicherstellen müssen, dass sie mit den neuen Vorschriften konform sind.
Anwendungsbereich & Risikostufen
Geltungsbereich des AI Acts
Der AI Act gilt für eine Vielzahl von Akteuren, darunter Anbieter, Inverkehrbringer, Betreiber und Importeure von KI-Systemen, die im EU-Binnenmarkt tätig sind. Dies schließt auch Anbieter von General-Purpose-AI (GPAI) ein, sofern deren Modelle EU-Nutzer betreffen oder potenzielle Risiken in der EU darstellen (EU-AI-Act Text, 2023).
Risikobasierte Klassifizierung
Die Verordnung unterscheidet zwischen verschiedenen Risikostufen von KI-Systemen. Zu den verbotenen Praktiken zählen solche, die als „unacceptable" eingestuft werden, während Hochrisiko-Systeme besonderen Anforderungen unterliegen. Minimalrisiko-Systeme hingegen genießen weitgehende Freiheit, sofern sie keine signifikanten Risiken darstellen (EU-AI-Act, 2023).
Konkrete Pflichten für Hochrisiko-Systeme
Anforderungen an Anbieter und Deployers
Für Hochrisiko-Systeme sind verschiedene Anforderungen festgelegt, darunter Risikomanagement über den gesamten Lebenszyklus, die Sicherstellung qualitätsgesicherter Trainingsdaten, technische Dokumentation sowie Logging und Transparenzpflichten. Zudem müssen menschliche Aufsicht, Robustheit und Cybersicherheit gewährleistet werden (EU-AI-Act / Implementierungs-Guides, 2023).
Compliance-Vorgaben
Unternehmen, die solche Systeme in Betrieb nehmen, sind verpflichtet, diese gemäß den Herstelleranweisungen zu betreiben, geeignete Überwachungsmechanismen sicherzustellen, Protokolle zu führen und Vorfälle zu melden (EU-AI-Act / Praxisguides, 2023).
Konformitätsbewertung und Registrierung
CE-Kennzeichnung und EU-Datenbank
Vor der Inverkehrbringung muss eine Konformitätsbewertung für Hochrisiko-Systeme durchgeführt werden. Dies beinhaltet die Erstellung einer EU-Konformitätserklärung und die CE-Kennzeichnung. In bestimmten Fällen ist zudem eine Überprüfung durch eine benannte Stelle erforderlich. Des Weiteren besteht die Pflicht zur Registrierung in der EU-Datenbank für Hochrisiko-KI-Systeme (EU-AI-Act, 2023).
Besondere Anforderungen für General-Purpose-AI
Anbieter von General-Purpose-AI haben zusätzliche Informationspflichten, die Trainingsdaten und systemische Risikoanalysen umfassen. Für „systemische" GPAI sind darüber hinaus umfassendere Sicherheitsauflagen und Berichtspflichten vorgesehen (EU-AI-Act Artikel zu GPAI, 2023).
Verbotene Praktiken und Sanktionen
Unzulässige Verhaltensweisen
Der AI Act sieht die Untersagung bestimmter Praktiken vor, darunter manipulative Techniken und die Ausnutzung vulnerabler Gruppen. Diese verbotenen Praktiken können gravierende Auswirkungen auf Unternehmen haben, die dagegen verstoßen (EU-AI-Act, 2023).
Sanktionen bei Verstößen
Bei schweren Verstößen drohen hohe finanzielle Sanktionen, die bis zu mehreren zehn Millionen Euro oder einen Prozentsatz des weltweiten Jahresumsatzes betragen können. Dies hat erhebliche Auswirkungen auf die Unternehmensführung und das Risikomanagement (EU-AI-Act / Rechtskommentare, 2023).
Praktische Schritte für Unternehmen
Erstellung eines AI-Inventars
Unternehmen sollten zunächst ein umfassendes Inventar aller eingesetzten KI-Systeme erstellen, einschließlich der Systeme von Drittanbietern und Cloud-APIs. Dies ist der erste Schritt zur Einhaltung der neuen Vorschriften (Praxisguides, 2023).
Governance und Verantwortlichkeiten
Die Einrichtung eines Compliance-Teams, das die Verantwortung für die Einhaltung der Vorschriften übernimmt, ist unerlässlich. Dazu gehört auch die Implementierung von Richtlinien und Schulungsprogrammen für Mitarbeiter (Compliance-Roadmaps, 2023).
Gap-Analyse und Maßnahmenplan
Unternehmen sollten eine Gap-Analyse durchführen, um Lücken in ihrer aktuellen Compliance zu identifizieren. Dies umfasst die Bewertung von Risikomanagement, Datenqualität und Logging (Implementierungs-Guides, 2023).
Dokumentation und Lieferantensteuerung
Eine standardisierte Dokumentation ist notwendig, um technische Akten, Risikobewertungen und EU-Konformitätserklärungen vorzuhalten. Darüber hinaus sollten Verträge mit Anbietern angepasst werden, um notwendige Nachweise zu fordern (EU-Anforderungen, 2023).
Aufwandsschwerpunkte & praktische Hinweise
Herausforderungen bei der Umsetzung
Der größte Aufwand entsteht oft bei der Bestandsaufnahme, der Daten-Governance und dem Logging. Unternehmen müssen sicherstellen, dass ihre Datensätze repräsentativ und frei von Verzerrungen sind (EU-KMU-Guidance, 2023).
Unterstützung für KMU
Die EU plant, kleine und mittlere Unternehmen (KMU) durch vereinfachte Hilfen und Templates zu unterstützen. Dennoch ist eine frühzeitige Inventarisierung und Governance entscheidend (EU-KMU-Guidance, 2023).
Handlungsempfehlungen für Entscheider
Geschäftsführer sollten klare Prioritäten setzen, indem sie sich auf die Erstellung eines Inventars, die Klassifikation von Systemen, die Governance-Strukturen, die Gap-Analyse und die Dokumentation konzentrieren. Zudem ist ein fortlaufendes Monitoring und die regelmäßige Aktualisierung der Compliance-Strategien unerlässlich.
Ausblick
Die Entwicklungen im Bereich der KI-Regulierung werden sich voraussichtlich weiter intensivieren. Unternehmen sollten sich auf zukünftige Änderungen einstellen und deren potenzielle Auswirkungen auf ihre Geschäftsmodelle berücksichtigen.
