Rechtssichere Anwendung von Künstlicher Intelligenz

Wir verstehen sowohl die technischen als auch die rechtlichen Aspekte von KI-Technologien und helfen Ihnen, Compliance-Anforderungen effizient umzusetzen, ohne Innovationen zu behindern.

Die KI-Verordnung ist die weltweit erste umfassende Gesetzgebung zur Regulierung von Künstlicher Intelligenz (KI). Ziel des Gesetzes ist es, die Sicherheit und Grundrechte der Bürger in der Europäischen Union zu schützen und gleichzeitig Innovationen im Bereich KI zu fördern. Für Unternehmen, die KI entwickeln, einsetzen oder nutzen, ist ein grundlegendes Verständnis KI-Verordnung unerlässlich, um die gesetzlichen Anforderungen zu erfüllen und neue Möglichkeiten zu nutzen.

Dieser Überblick erklärt die wichtigsten Aspekte der KI-Verordnung, darunter die risikobasierte Klassifizierung, Pflichten für Unternehmen und den Zeitplan für die Umsetzung. Als Kanzlei mit Schwerpunkt auf Künstlicher Intelligenz möchten wir Ihnen helfen, die regulatorischen Anforderungen zu verstehen und sich optimal darauf vorzubereiten.

Was ist die KI-Verordnung?

Die KI-Verordnung gibt den Rechtsrahmen vor, der die Entwicklung, den Einsatz und die Nutzung von KI-Systemen in der EU regelt. Seine Hauptziele sind:

Die KI-Verordnung gilt für alle verschiedene Akteure, wie z.B. Anbieter, Betreiber und Nutzer von KI-Systemen oder KI-Modellen in der EU sowie für Unternehmen außerhalb der EU, deren KI-Systeme oder KI-Modelle Auswirkungen auf Personen in der EU haben.

„ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.”

Der AI Act definiert bewusst nicht den allgemein den Begriff „Künstliche Intelligenz“, sondern lediglich den Terminus „KI-System“ und „KI-Modell“. Diese abstrakte, an die OECD-Definition angelehnte Begriffsbestimmung verzichtet auf die Nennung spezifischer Technologien, um trotz des rasanten Fortschritts in der KI-Technologie langfristig (per Definition) gültig zu bleiben.

Das zentrale Unterscheidungsmerkmal zwischen KI-Systemen und traditioneller Software ist die Fähigkeit zum „Schlussfolgern“ (engl. „to infer“). Während ein herkömmliches Computerprogramm nach vorab definierten Regeln arbeitet, kann ein KI-System eigene Regeln auf Basis von Eingangsdaten entwickeln. Diese Fähigkeit ermöglicht Vorhersagen und Entscheidungen mit Auswirkungen auf reale und virtuelle Umgebungen. KI-Systeme weisen zudem eine gewisse Autonomie auf und variieren in ihrem Autonomiegrad – sie können eigenständig agieren oder in andere Produkte integriert sein. Ein weiteres charakteristisches und wichtiges Merkmal von KI-Systeme ist ihre Fähigkeit zur selbstständigen Anpassung („Lernen“) durch die Nutzung und Analyse gesammelter Daten.

Die bewusst weit gefasste Definition schränkt jedoch die EU-Kommission in ihrer Richtlinie vom Februar 2025 ein: Systeme, die lediglich mathematische Optimierung, einfache Datenverarbeitung, klassische Heuristiken oder simple statistische Vorhersagen nutzen, fallen nicht unter die Definition. Die Richtlinie identifiziert sieben Kernelemente eines KI-Systems, wobei nicht alle während des gesamten Systemlebenszyklus vorliegen müssen.

Die etwas sperrige Definition von „KI‑Modell mit allgemeinem Verwendungszweck“:

ein KI‑Modell – einschließlich der Fälle, in denen ein solches KI‑Modell mit einer großen Datenmenge unter umfassender Selbstüberwachung trainiert wird –, das eine erhebliche allgemeine Verwendbarkeit aufweist und in der Lage ist, unabhängig von der Art und Weise seines Inverkehrbringens ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen, und das in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden kann, ausgenommen KI‑Modelle, die vor ihrem Inverkehrbringen für Forschungs- und Entwicklungstätigkeiten oder die Konzipierung von Prototypen eingesetzt werden

Risikokategorien der KI-VO

Die KI-Verordnung stuft KI-Systeme nach ihrem Risiko in verschiedene Kategorien ein, die jeweils unterschiedliche regulatorische Anforderungen mit sich bringen:

1. Unannehmbares Risiko / Verbotene Praktiken

Beschreibung: KI-Systeme, die eine eindeutige Gefahr für Sicherheit, Lebensgrundlagen oder Grundrechte darstellen.

Beispiele: KI für Social Scoring, Echtzeit-Gesichtserkennung im öffentlichen Raum oder Systeme zur Manipulation menschlichen Verhaltens.

Regulierung: Diese Systeme sind vollständig verboten.

2. Hohes Risiko / Hoch-Risikosysteme

Beschreibung: Als Hochrisiko werden KI-Systeme eingestuft, die erhebliche schädliche Auswirkungen auf Gesundheit, Sicherheit und Grundrechte von Personen in der EU haben können.

Beispiele: KI-Systeme, die als Produkt oder Sicherheitskomponente eines Produkts dienen und unter EU-Harmonisierungsrecht fallen (z.B. Zivilluftfahrt, Fahrzeugsicherheit, Schiffsausrüstung, Funkgeräte, Spielzeug, Aufzüge, Druckgeräte, Medizinprodukte, persönliche Schutzausrüstung). KI-Systeme (gemäß Anhang III), die in in Bildung, Beschäftigung, Bonitätsbewertung, Strafverfolgung, Migration, biometrische Fernidentifikationssystemen und KI-Systeme als Sicherheitskomponenten kritischer Infrastrukturen.

Regulierung: Strenge Anforderungen wie Risikomanagement, Datenqualität, menschliche Aufsicht und Konformitätsbewertungen vor Markteintritt. Es bestehen jedoch bestimmte Ausnahmereglungen (z.B. KI System erfüllt enge verfahrenstechnische Aufgabe oder verbessert nur das Ergebnis einer zuvor ausgeführten menschlichen Tätigkeit)

3. Begrenztes Risiko / Transparenz Anforderungen

Beschreibung: KI-Systeme, die direkt mit Menschen interagieren oder KI Inhalte generieren; Emotionserkennung oder biometrische Kategorisierungssysteme.

Beispiele: Chatbots, Erstellung von KI generierten Medien und „Deepfakes“.

Regulierung: Es gelten Transparenz- und Kennzeichnungspflichten, Nutzer müssen erkennen und darüber informiert werden, dass sie mit KI interagieren oder KI-generierte Inhalte sehen.

4. Minimales oder kein Risiko / Freiwillige Kodizes

Beschreibung:
KI-Systeme mit geringem oder keinem Schadenspotenzial, keine Transparenzpflicht (siehe 3.).

Beispiele: Spamfilter, KI Lagerverwaltungssysteme.

Regulierung: Keine spezifischen Pflichten, freiwillige Verhaltenskodizes werden jedoch empfohlen.

Pflichten für Anbieter und Nutzer von KI-Systemen & KI-Modellen

Je nach Risikokategorie müssen Unternehmen entsprechend der jeweiligen Rolle (die vor dem Einsatz von KI bestimmt werden muss) als Anbieter (Entwickler) oder Betreiber spezifische Anforderungen erfüllen.