Künstliche Intelligenz: Regulierungspläne der EU schreiten voran

Mit dem geplanten Rechtsrahmen für Künstliche Intelligenz sollen europaweit einheitliche Standards zum Schutz von Sicherheit und Grundrechten gesetzt werden. Gleichzeitig will die EU damit die Akzeptanz und Investitionen in KI fördern.

Vorschlag der EU-Kommission zur Regulierung von KI

Die EU-Kommission hat bereits im April 2021 einen ersten Entwurf zur Regulierung von künstlicher Intelligenz in der EU vorgelegt. Adressaten der Verordnung sollen neben den Anbietern, also den Entwicklern von KI-Systemen, auch deren Nutzer sein, sofern sie die KI für berufliche Aktivitäten einsetzen. Damit wird der gesamte unternehmerische Einsatz von KI umfasst, insbesondere wenn die KI in eigene Produkte integriert wird.

Der Vorschlag der EU-Kommission verfolgt - vergleichbar zur DSGVO - einen risikobasierten Ansatz. Der Einsatz von KI wird dabei je nach beabsichtigtem Verwendungszweck in vier verschiedene Risikotypen (unannehmbares Risiko, hohes Risiko, begrenztes Risiko, minimales Risiko) unterteilt.

KI-Systeme, die biometrische Identifizierungen bzw. Kategorisierungen vornehmen bzw. in der Rechtspflege oder in kritischen Infrastrukturen wie dem Verkehrswesen eingesetzt werden, sollen bspw. als KI mit hohem Risiko eingestuft werden. Demgegenüber wird der kostenlose Einsatz von KI-gestützten Spamfiltern nur ein geringes Risiko darstellen.

Risikogruppen

Unannehmbares Risiko ➤ Nutzung von KI ist verboten

KI-Systeme, die eine Bedrohung für die Menschheit darstellen, werden verboten.
Sie umfassen:

• Kognitive Verhaltensmanipulationen von Personen oder bestimmten gefährdeten Gruppen,
• Soziales Scoring: Klassifizierung von Menschen auf der Grundlage von Verhalten, sozioökonomischem Status und persönlichen Merkmalen
• biometrische Echtzeit-Fernidentifizierungssysteme

Hochrisiko-KI-Systeme ➤ Einsatz von KI wird laufend evaluiert

KI-Systeme mit einem hohen Risiko für die Gesundheit und Sicherheit oder für die Grundrechte natürlicher Personen.

• KI-Systeme in unter die Produktsicherheitsvorschriften der EU fallenden Produkten
• KI in acht spezifischen Bereichen, die in einer EU-Datenbank registriert werden müssen:
  • Biometrische Identifizierung und Kategorisierung von natürlichen Personen
  • Verwaltung und Betrieb von kritischen Infrastrukturen
  • Allgemeine und berufliche Bildung
  • Beschäftigung, Verwaltung der Arbeitnehmer und Zugang zur Selbständigkeit
  • Zugang zu und Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten und Leistungen
  • Strafverfolgung
  • Verwaltung von Migration, Asyl und Grenzkontrollen
  • Unterstützung bei der Auslegung und Anwendung von Gesetzen.

Diese KI-Systeme müssen vor dem Inverkehrbringen und während ihres gesamten Lebenszyklus bewertet und überprüft werden.

Generative KI: zusätzliche Transparenzanforderungen

Generative KI, die Inhalte auf Basis von Anfragen und Vorgaben generieren, wie z. B. ChatGPT müssen zusätzliche Transparenzanforderungen erfüllen, wie etwa die Offenlegung, dass Inhalt durch KI generiert wurde.

Begrenztes Risiko: geringe Transparenzanforderungen

Bei KI-Systemen mit begrenztem Risiko bestehen minimale Transparenzanforderungen, damit der Nutzer fundierte Entscheidungen treffen kann.

Abhängig von der Kategorisierung des jeweiligen KI-Systems sollen unterschiedliche Pflichten und Anforderungen gelten. Systeme mit inakzeptablem Risiko, also solche, die den ethischen Grundsätzen der EU widersprechen, sollen verboten werden. Dies soll laut EU-Kommission beispielsweise für Social-Scoring-Systeme gelten.

Am stärksten reguliert soll Hochrisiko-KI werden. Nach dem Kommissionsentwurf sollen Anbieter und Nutzer solcher Systeme u. a. die folgenden Pflichten treffen:

• Gewährleistung einer hohen Datenqualität
• Informationspflichten gegenüber den Endnutzern
• Menschliche Aufsichtsmaßnahmen zur Risikominimierung
• Aufzeichnungs- und Dokumentationspflichten
• Implementierung von Risikobewertungs- und Risikominderungssystemen.

Anbieter und gewerbliche Nutzer von KI-Systemen mit begrenztem Risiko sind dagegen vor allem zur Einhaltung bestimmter Transparenzanforderungen verpflichtet.

Nach Angaben der EU-Kommission fällt die überwiegende Mehrheit der derzeit in der EU eingesetzten KI-Systeme in die Kategorie „geringes Risiko“. Solche Systeme sollen ohne zusätzliche rechtliche Verpflichtungen entwickelt und eingesetzt werden können.

Hinweis: Ergänzend zur KI-Verordnung hat die EU-Kommission einen Entwurf für eine KI-Haftungsrichtlinie vorgelegt, die die haftungsrechtlichen Folgen von Schäden durch KI-Systeme regeln soll.

Verhandlungsposition des EU-Parlaments

Mit der Veröffentlichung seiner finalen Position zu dem Kommissionsentwurf hat das EU-Parlament am 14.06.2023 noch einige Änderungen an dem Gesetz über künstliche Intelligenz vorgenommen und dieses nun in das Gesetzgebungsverfahren eingebracht.

U. a. wurde die bereits weit gefasste Definition von KI-Systemen nochmals ausgeweitet. Demnach ist KI „ein maschinenbasiertes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie arbeitet und für explizite oder implizite Ziele Ergebnisse wie Vorhersagen, Empfehlungen oder Entscheidungen generieren kann, die die physische oder virtuelle Umgebung beeinflussen“.

Besonders hervorzuheben ist auch die Ergänzung des EU-Parlaments zur Regulierung von sog. Generativer KI, zu der auch das ChatGPT-Tool zählt. Neben Transparenzpflichten sollen Anbieter solcher Modelle sicherstellen, dass das System keine rechtswidrigen Inhalte produziert und detaillierte Zusammenfassungen der urheberrechtlich geschützten Daten veröffentlichen, die sie zu Trainingszwecken verwendet haben.

Flankierend hierzu will das EU-Parlament die Höhe der Bußgelder im Fall eines Verstoßes gegen die Vorschriften bis auf wenige Ausnahmen verringern. Darüber hinaus sollen Ausnahmeregelungen für Forschungsaktivitäten und KI-Komponenten, die im Rahmen von Open-Source-Lizenzen zur Verfügung gestellt werden, KI-Innovationen fördern.

Weitere Verfahrensschritte

Nach der Positionierung des EU-Parlaments können nun die abschließenden Verhandlungen im Trilogverfahren beginnen. Im Rahmen der Abstimmungen zwischen EU-Parlament, Ministerrat und EU-Kommission soll der finale Entwurf der KI-Verordnung ausgearbeitet und eine Einigung darüber erzielt werden. Dem Vernehmen nach soll dieser Prozess bis Ende des Jahres 2023 abgeschlossen sein. Sollte dies gelingen, würde die Verordnung noch in diesem Jahr in Kraft treten und die Mehrheit der Regelungen wäre von den betroffenen Unternehmen innerhalb einer Frist von 24 Monaten umzusetzen.

Hinweis: Aufgrund der Ausgestaltung als Verordnung sind die Regelungen unmittelbar anwendbar. Eine vorherige Umsetzung in nationales Recht ist nicht erforderlich.