EU AI Act auf einen Blick
Die EU KI-Verordnung, offiziell als EU AI Act bekannt, ist das erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Ihr Ziel ist es, einen einheitlichen Rechtsrahmen zu schaffen, der sicherstellt, dass in der EU eingesetzte KI-Systeme sicher, transparent und nachvollziehbar sind. Dafür teilt die Verordnung KI-Anwendungen in verschiedene Risikoklassen ein, von denen jeweils spezifische Pflichten für Anbieter und Anwender abgeleitet werden. So soll Vertrauen in die Technologie gefördert und Grundrechte geschützt werden.
Was der EU AI Act für Ihre tägliche Arbeit bedeutet
Viele fragen sich, ob ein so großes Gesetzeswerk den Arbeitsalltag noch komplizierter macht. Die gute Nachricht: Für die meisten operativen Anwender im Mittelstand sind die Auswirkungen überschaubar und gut planbar. Es geht nicht darum, dass Sie zum Rechtsexperten werden müssen. Vielmehr gibt Ihnen der AI Act eine Art Leitfaden an die Hand, um bei der Auswahl und Nutzung neuer Software die richtigen Fragen zu stellen. Wir zeigen Ihnen, worauf es wirklich ankommt.
Bin ich als Anwender in der IT überhaupt betroffen?
Ja, die Wahrscheinlichkeit ist hoch, auch wenn Sie KI-Systeme „nur“ nutzen und nicht selbst entwickeln. Das Gesetz unterscheidet zwischen Anbietern (Herstellern) und Anwendern (Unternehmen, die KI einsetzen). Wenn Ihr Unternehmen zum Beispiel eine KI-gestützte Software für die Personalplanung oder eine intelligente Automatisierungslösung aus der Microsoft Power Platform einführt, agieren Sie als Anwender und tragen eine Mitverantwortung.
Ihre Hauptaufgabe ist es dann, die KI gemäß den Vorgaben des Herstellers zu nutzen und die Ergebnisse zu überwachen. Sie müssen also kein KI-System von Grund auf prüfen, aber eben wissen, welche Spielregeln für das von Ihnen gewählte Werkzeug gelten. Das ist schon ein gutes Stück der Miete und sorgt für Sicherheit im Betrieb.
Checkliste zur Entlastung: Worauf Sie bei neuer Software achten müssen
Um Ihnen Zeit und Nerven zu sparen, haben wir eine einfache Checkliste für den Software-Einkauf und die Einführung zusammengestellt. Diese Fragen helfen Ihnen, die Spreu vom Weizen zu trennen und die Einhaltung des AI Acts sicherzustellen:
- Handelt es sich um ein KI-System? Fragen Sie den Anbieter direkt, ob das Produkt unter die Definition des EU AI Acts fällt. Eine ehrliche Antwort ist hier die Basis.
- Welche Risikoklasse hat die Anwendung? Der Anbieter muss sein System eingestuft haben. Bitten Sie um eine klare Auskunft, ob es sich um ein Hochrisiko-System handelt oder nicht.
- Liegt eine Konformitätserklärung vor? Für Hochrisiko-Systeme ist eine EU-Konformitätserklärung Pflicht. Lassen Sie sich dieses Dokument zeigen. Es ist quasi der „TÜV-Bericht“ für die KI.
- Ist die Dokumentation verständlich? Die Gebrauchsanweisung muss klar beschreiben, was die KI kann, was sie nicht kann und für welchen Zweck sie gedacht ist.
- Sind die Transparenzpflichten erfüllt? Wenn Sie zum Beispiel einen Chatbot einsetzen, muss für Nutzer klar erkennbar sein, dass sie mit einer Maschine kommunizieren. Prüfen Sie, ob die Software das einfach ermöglicht.
Die Risiko-Ampel des AI Acts: Gut zu wissen, einfach zu merken
Um den Anwendungsbereich der KI-Verordnung verständlich zu machen, hat die EU einen risikobasierten Ansatz gewählt. Man kann ihn sich wie eine Ampel vorstellen, die je nach potenziellem Risiko für Mensch und Gesellschaft auf Rot, Gelb oder Grün schaltet. Dieser Ansatz ist sehr pragmatisch, denn er konzentriert die strengen Regeln auf die Bereiche, wo sie wirklich gebraucht werden.
Verbotene KI-Systeme: Was definitiv nicht mehr geht
Die rote Ampel steht für ein unannehmbares Risiko. Solche KI-Anwendungen sind grundsätzlich verboten, weil sie den Werten der EU und den Grundrechten widersprechen. Für die meisten mittelständischen Unternehmen sind diese Systeme ohnehin irrelevant, es ist aber gut, die Grenzen zu kennen. Dazu gehören zum Beispiel:
- Systeme für Social Scoring durch staatliche Stellen, die das Verhalten von Bürgern bewerten.
- KI, die menschliches Verhalten manipulieren kann, um Personen zu schaden.
- Biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum (mit wenigen Ausnahmen für die Strafverfolgung).
Hochrisiko-Systeme: Hier ist Handeln gefragt
Die gelbe Ampel leuchtet bei den sogenannten Hochrisiko-Systemen. Hier ist der Einsatz erlaubt, aber an strenge Auflagen geknüpft. Diese Systeme greifen nicht zwangsläufig tief in Ihre IT-Infrastruktur ein, sondern werden nach ihrem Einsatzzweck bewertet. Ein System wird zum Beispiel dann als hohes Risiko eingestuft, wenn es in kritischen Bereichen wie diesen eingesetzt wird:
- Personalwesen: Software, die Bewerbungen filtert oder über Beförderungen entscheidet.
- Kreditwürdigkeitsprüfung: Systeme, die über die Vergabe von Krediten entscheiden.
- Kritische Infrastruktur: KI zur Steuerung von Wasser- oder Stromnetzen.
Wenn Sie ein solches System nutzen, müssen Sie vor allem sicherstellen, dass Sie es wie vom Hersteller vorgesehen einsetzen, die Datenqualität im Blick behalten und eine menschliche Aufsicht gewährleisten. Die Hauptlast der Zertifizierung liegt aber beim Anbieter.
Systeme mit begrenztem Risiko: Die einfachen Transparenzpflichten
Die grüne Ampel signalisiert freie Fahrt – mit kleinen Hinweisschildern. Hierunter fallen viele KI-Systeme, die uns im Alltag schon begegnen. Die Anforderungen sind minimal und drehen sich fast ausschließlich um Transparenz. Sie müssen lediglich sicherstellen, dass Menschen informiert sind.
Der Grundsatz lautet: Nutzer müssen wissen, wenn sie mit einer KI interagieren oder wenn Inhalte künstlich erzeugt wurden.
Ein klassisches Beispiel ist der Kundenservice-Chatbot auf Ihrer Webseite. Hier reicht ein einfacher Hinweis wie „Sie sprechen mit unserem digitalen Assistenten“. Das Gleiche gilt für Deepfakes oder KI-generierte Texte: Sie müssen als solche gekennzeichnet werden. Diese Pflichten sind in der Regel einfach technisch umsetzbar.
Der Zeitplan zum AI Act: Schritt für Schritt erklärt
Der EU Artificial Intelligence Act tritt nicht von einem Tag auf den anderen in voller Stärke in Kraft. Die EU hat einen gestaffelten Zeitplan vorgesehen, damit sich Unternehmen auf die neuen Regeln einstellen können. Das gibt Ihnen ausreichend Zeit, sich ohne Hektik vorzubereiten und die notwendigen Schritte zu planen.
Wann tritt der AI Act offiziell in Kraft?
Das offizielle Inkrafttreten des EU AI Act ist ein formaler Akt. Nach der finalen Verabschiedung durch den Rat der EU im Mai 2024 wird das Gesetz im Amtsblatt der Europäischen Union veröffentlicht. Zwanzig Tage nach dieser Veröffentlichung tritt die Verordnung formell in Kraft. Dieser Zeitpunkt ist der Startschuss, von dem aus alle weiteren Fristen berechnet werden. Die eigentlichen Pflichten für Unternehmen greifen jedoch erst später.
Ab wann gelten die Regeln für Ihr Unternehmen?
Die Anwendbarkeit der Regeln ist gestaffelt. Das gibt Ihnen Planungssicherheit. Hier sind die wichtigsten Meilensteine, die für Sie relevant sind:
- Nach 6 Monaten: Ab diesem Zeitpunkt gelten die Verbote für KI-Systeme mit unannehmbarem Risiko.
- Nach 12 Monaten: Die Pflichten für Anbieter von allgemeinen KI-Modellen (General Purpose AI) werden wirksam.
- Nach 24 Monaten: Dies ist die wichtigste Frist für die meisten Unternehmen. Ab dann gelten die Regeln für die Mehrheit der KI-Systeme, insbesondere die Anforderungen an Hochrisiko-Systeme.
- Nach 36 Monaten: Zu diesem Zeitpunkt greifen die Pflichten für Hochrisiko-Systeme in bestimmten, bereits anderweitig regulierten Bereichen, wie zum Beispiel bei Medizinprodukten.
Sie haben also noch Zeit, sich vorzubereiten. Ein guter erster Schritt ist es, eine Bestandsaufnahme der bei Ihnen eingesetzten Software zu machen und bei künftigen Anschaffungen die Checkliste oben im Hinterkopf zu behalten.
