KI-Leitplanke aus Brüssel Der AI Act oder wie die EU die Künstliche Intelligenz zähmen will

Der AI Act der Europäischen Union, die weltweit erste Gesetzgebung ihrer Art, bestimmt die gesetzlichen Rahmenbedingungen für die Nutzung künstlicher Intelligenz in allen Mitgliedsstaaten der EU. Dem Gesetz unterliegt auch die Nutzung von KI-Diensten aus der Cloud.

Der EU AI Act wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Es will die Grundrechte wahren, Sicherheitsstandards für den Umgang mit KI-Systemen setzen und Vertrauen in die Technologie schaffen.

Verpflichtung zur Risikobewertung und Klassifizierung

Das Gesetz nimmt sowohl jene Unternehmen in die Pflicht, die KI-Modelle in ihre Produkte und Dienstleistungen integrieren, wie auch solche, die KI-Dienste in der Cloud nutzen, um interne Management-Entscheidungen zu unterstützen – allerdings in unterschiedlichem Umfang.

Unternehmen, die KI-Modelle direkt in ihre Produkte oder Dienstleistungen integrieren, sind verpflichtet, eine detaillierte Risikobewertung dieser Modelle durchzuführen. Diese Unternehmen müssen sicherstellen, dass ihre KI-Systeme den gesetzlichen Vorgaben entsprechen, insbesondere in Bezug auf Transparenz, Fairness und Sicherheit. Für KI-Modelle, die in kritischen Bereichen wie Gesundheit, Sicherheit oder Infrastruktur zum Einsatz kommen, gelten besonders strenge Anforderungen. Diese Unternehmen müssen umfassende Nachweise über die Konformität ihrer Systeme mit dem AI Act erbringen und gegebenenfalls Zertifizierungen durch unabhängige Stellen einholen.

Für Unternehmen, die KI-gestützte Cloud-Dienste lediglich zur Unterstützung interner Prozesse, wie etwa für Management-Entscheidungen, verwenden, ohne diese KI-Modelle direkt in ihre Produkte oder Dienstleistungen einzubetten, gelten weniger strenge Anforderungen, aber immerhin.

Anwenderorganisationen von KI-Diensten aus der Cloud sind in der Regel nicht verpflichtet, die gleiche detaillierte Risikobewertung durchzuführen wie jene, die KI-Modelle in ihren Produkten integrieren. Allerdings müssen diese Organisationen sicherstellen, dass die genutzten KI-Dienste den allgemeinen Datenschutz- und Sicherheitsanforderungen entsprechen, insbesondere wenn sie personenbezogene Daten verarbeiten. Die Verantwortung für die Konformität liegt hier in erster Linie bei den Anbietern der Cloud-Dienste.

Festschreibung von KI-Risikoklassen

Eine der zentralen Vorgaben des AI Act ist die Kategorisierung von KI-Systemen nach ihrem geschätzten Risikopotenzial. Der AI Act der Europäischen Union sieht vier verschiedene Risikoklassen vor, die jeweils unterschiedliche regulatorische Anforderungen erfüllen müssen, konkret:

• „Inakzeptables Risiko“: Ein halbes Jahr nach Inkrafttreten des AI Acts werden Anwendungen mit unannehmbarem Risiko verboten. Diese Klasse umfasst KI-Systeme, die als unverhältnismäßig riskant für die Grundrechte und Sicherheit der Bürger eingestuft werden. Beispiele solcher unzulässigen Anwendungsfälle der KI umfassen Sozialbewertungssysteme (auch bekannt als „Social Credit Systems“), manipulative Techniken oder biometrische Echtzeit-Fernidentifizierung im öffentlich zugänglichen Raum durch Strafverfolgungsbehörden (es gelten Ausnahmen).

• „Hohes Risiko“: Diese Systeme sind erlaubt, unterliegen aber strengen Anforderungen. Unternehmen müssen eine Konformitätsbewertung durch eine unabhängige Stelle durchführen lassen, um sicherzustellen, dass diese Systeme in Bezug auf Transparenz, Fairness und Sicherheit den gesetzlichen Vorgaben entsprechen. Beispiele für diese Kategorie von Anwendungen umfassen KI-Systeme für KRITIS (z.B. Energieversorgung), Bildung und berufliche Ausbildung, Personalmanagement (z. B. Algorithmen zur Einstellung von Mitarbeitern), Strafverfolgung, Migration und Grenzkontrolle sowie Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen (z. B. Kreditvergabe).

• „Begrenztes Risiko“: Hier besteht eine Informationspflicht gegenüber den Endnutzenden. Beispiele für Systeme in dieser Kategorie umfassen die Nutzung von KI-Chatbots für den Kundensupport.

• „Minimales Risiko“: KI-Systeme in dieser Kategorie unterliegen den geringsten Auflagen. Beispiele solcher KI-Anwendungsfälle umfassen Videospiele oder Spam-Filter.

Für falsche Deklarationen und Manipulationsversuche sieht das Gesetz finanzielle Sanktionen und rechtliche Konsequenzen vor (Details siehe weiter unten).

Generative KI-Anwendungen, wie ChatGPT und ähnliche Modelle, fallen unter den Begriff GPAI (General Purpose AI) und unterliegen speziellen Regelungen.

Der AI Act erfasst sowohl die Nutzung als auch die Bereitstellung von KI-Diensten aus der Cloud. Cloud-Anbieter, die KI-gestützte Services für Unternehmen und Privatpersonen bereitstellen, müssen dafür geradestehen. Die Pflichten umfassen die Offenlegung von Informationen über die Funktionsweise der KI-Systeme, die Art der Datenverarbeitung und die Implementierung von Maßnahmen zur Gewährleistung von Datensicherheit und Datenschutz.

Die große Unbekannte

Anbieter von KI-Systemen müssen detailliert darlegen, wie ihre Lösungen funktionieren, welche Daten sie verarbeiten und welche Algorithmen dabei zum Einsatz kommen. Ist das denn überhaupt möglich? Bleibt da nicht die Innovationskraft irgendwo auf der Strecke? Die KI-Gemeinde hat insbesondere die Offenlegungspflichten scharf kritisiert. Diese könnten demnach dazu führen, dass Unternehmen ihre Geschäftsgeheimnisse und proprietären Technologien in einem Ausmaß preisgeben müssten, das die Wettbewerbsfähigkeit oder die Sicherheit der Systeme in Frage stellt.

„Ich denke, die KI ist über den Punkt hinaus, an dem sich die Technologie noch wirksam regulieren ließe,“ so Peter McNulty, Head of Design bei Momentum Design Lab, einer preisgekrönten Design- und Innovationsberatung aus dem kalifornischen San Jose. Momentum Design Lab spezialisiert sich auf die Entwicklung digitaler Produkte und Plattformen mit einem Fokus auf nutzerzentriertes Design unter Einbezug der KI. Die Industrie müsse sich im Idealfall freiwillig selbst regulieren, glaubt McNulty, sonst sei eine regulatorische Intervention folgerichtig. Ob sie gelingen könne, sei in der Tat fragwürdig. Denn es bestehe nachweislich das Risiko – siehe Fall „Krypto“ in strikt regulierten Gerichtsbarkeiten –, aufgrund eines restriktiven Umfelds den Innovationsvorsprung zu verlieren.

Einerseits sei es „eine äußerst aufregende Zeit, in der Technologiebranche tätig zu sein“, andererseits sei diese Zeit „aus verschiedenen Gründen beängstigend“. Denn – so McNulty weiter – „Man weiß ja nicht, ob das, was man heute entwickelt, morgen schon veraltet sein wird, weil etwas anderes viel besser ist, weil sich die Dinge so schnell ändern. Das sei nicht nur aus geschäftlicher Sicht beängstigend, sondern auch, weil man einfach nicht wüsste, was auf einen so alles zukommt oder was im KI-Modell steckt.

Datenschutz „in den Wolken“

Der Schutz personenbezogener Daten ist ein zentrales Anliegen des AI Act. Unternehmen, die KI-Dienste aus der Cloud nutzen, müssen sicherstellen, dass die Verarbeitung von Daten den strengen Datenschutzbestimmungen der EU entspricht. Dies umfasst die Implementierung technischer und organisatorischer Maßnahmen, die den unbefugten Zugriff auf Daten verhindern und die Vertraulichkeit, Integrität und Verfügbarkeit der Daten gewährleisten.

Für Unternehmen bedeutet dies, dass sie ihre bestehenden Sicherheitskonzepte überarbeiten und gegebenenfalls neue Technologien und Prozesse einführen müssen, um den erhöhten Anforderungen gerecht zu werden. Dazu gehören auch die regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen, um sicherzustellen, dass sie den aktuellen Bedrohungen standhalten.

Insbesondere bei der Nutzung von Cloud-Diensten, die oft von Drittanbietern bereitgestellt werden, müssen Unternehmen dafür Sorge tragen, dass ihre Cloud-Anbieter die notwendigen Sicherheitsvorkehrungen treffen. Unternehmen, die KI-Dienste aus der Cloud nutzen, sind verpflichtet, die Konformität ihrer Systeme mit den gesetzlichen Vorgaben nachzuweisen. In vielen Fällen dürfte dies eine unabhängige Zertifizierung auf den Plan rufen. Diese Zertifizierungen sind nicht nur ein Nachweis der Rechtmäßigkeit, sondern auch ein Qualitätsmerkmal, das mit erheblichen Mehrkosten einhergeht.

Ein weiterer zentraler Aspekt des AI Act ist die Schaffung einer Verantwortungsstruktur. Unternehmen und Organisationen, die KI-Systeme entwickeln, vertreiben oder einsetzen, sind dazu verpflichtet, die Konformität ihrer Produkte und Dienstleistungen mit den gesetzlichen Vorgaben nachzuweisen. Im Falle von Verstößen gegen die gesetzlichen Vorgaben drohen hohe Geldstrafen. Sollten durch den Einsatz von KI-Systemen Schäden entstehen, können Unternehmen auch zivilrechtlich haftbar gemacht werden.

Der AI Act schafft für die Mitgliedstaaten einen gesetzlichen Rahmen, nationale Aufsichtsbehörden zu berufen, um die Durchsetzung der Vorgaben zu erwirken. Diese Behörden haben die Befugnis, Kontrollen durchzuführen und Sanktionen zu verhängen.

Unternehmen müssen ihre Compliance-Strategien überdenken und gegebenenfalls neue Mechanismen zur Überwachung und Kontrolle der eingesetzten KI-Systeme einführen. Dies betrifft sowohl die Nutzung von verwalteten Cloud-Diensten als auch etwa den Einsatz von Grundlagenmodellen. Unternehmen sollten nach Möglichkeit mit ihren KI-Dienstleistern vertragliche Vereinbarungen treffen, um die Haftungsrisiken für etwaige Verstöße zu minimieren.

Fahrplan der KI-Konformität

Die Übergangsphase läuft bis Juli 2025; die Anwendbarkeit ist gestaffelt. Die Verbote greifen ab Februar 2025. Ab August 2025 müssen alle Unternehmen, die KI-Modelle in ihren Produkten oder Dienstleistungen einsetzen, eine detaillierte Risikobewertung durchgeführt haben. Diese Bewertungen müssen dokumentiert und ggf. den zuständigen Aufsichtsbehörden vorliegen.

Bereits in rund zwei Jahren, im August 2026, müssen alle Unternehmen, die KI-Systeme in der EU nutzen oder vertreiben, vollständig den Anforderungen des AI Acts entsprechen. Für KI-Systeme, die als hohes Risiko eingestuft werden, ist eine externe Zertifizierung erforderlich. Die externen Stellen, die diese Zertifizierungen durchführen, müssen von den zuständigen Behörden akkreditiert sein. Eine interne Überprüfung ist zwar ratsam, aber ersetzt jedoch nicht die erforderliche externe Zertifizierung.

Verstöße gegen die Vorschriften können jedoch bereits ab dem 2. August 2025 mit empfindlichen Geldstrafen und schmerzhaften rechtlichen Konsequenzen geahndet werden. Artikel 99 des AI Acts sieht Geldbußen in Höhe von bis zu 30 Millionen Euro oder bis zu sechs Prozent des weltweiten Jahresumsatzes des Unternehmens vor, im Falle von schwerwiegenden Verstößen – je nachdem, welcher Betrag höher ist.

„Stühlerücken“ in der Cloud

Man hört es schon, das Stühlerücken in der Cloud. Die dynamische Natur der Cloud-Computing-Branche führt zu ständigen Veränderungen und Anpassungen, aber nichts löst eine Lawine tektonischer Verschiebungen so dramatisch aus wie eine imposante gesetzliche Maßnahme.

Die neuen Anforderungen dürften Anwenderorganisationen dazu veranlassen, ihre Multicloud-Strategien zu überdenken. Das eine oder andere „cloudifizierte“ Unternehmen dürfte seine KI-Dienste bei einem Anbieter auf einer einheitlichen Datenplattform konsolidieren wollen. Insbesondere kleinere Organisationen mit beschränktem Cloud-Budget dürften geneigt sein, durch eine wohlüberlegte Schrumpfkur ihres Fußabdrucks in den Wolken die regulatorische und administrative Last zu senken.

Eine solche Optimierungsmaßnahme bringt wiederum eigene Risiken mit sich und sollte wohlüberlegt sein. Sie stärkt nämlich die Bindung an eine geringere Anzahl von Cloud-Anbietern. Eine abrupte Marktkonsolidierung könnte den Wettbewerb „in den KI-Wolken“ auf Kosten aufstrebender, noch nicht etablierter Marktakteure zugunsten der dominanten Hyperscaler verschieben.

EU-Gesetzentwurf zur Regulierung von Künstlicher Intelligenz

Was ist der AI Act?

Cloud-Dienste zur GPU-Beschleunigung von KI-Training und -Inferenz fallen ebenfalls unter den AI Act, wenn sie in der EU zum Einsatz kommen. Die Verantwortung für die Risikoeinstufung und die Konformitätsbewertung liegt primär bei den Anwenderorganisationen. Die Cloud-Services stellen ihren Kunden in erster Linie die technische Infrastruktur und Entwicklungsumgebungen zur Verfügung, mit denen Unternehmen dann ihre eigenen KI-Modelle entwickeln und ausführen. Wenn jedoch der Anbieter des Cloud-Dienstes selbst vorgefertigte KI-Modelle oder Anwendungen anbietet, die sich als Hochrisiko-KIs qualifizieren, muss der Cloud-Anbieter dem AI Act selbst Folge leisten. Dies könnte auch externe Zertifizierungen erforderlich machen.

Anbieter von betreffenden Cloud-Diensten müssen also sicherstellen, dass ihre Plattformen sicher, transparent und datenschutzkonform sind. Es bleibt abzuwarten, inwiefern Cloud-Anbieter ihren EU-ansässigen Cloud-Nutzern in der Erfüllung ihrer Compliance-Pflichten entgegenkommen werden. Solche Anbieter sind verpflichtet sicherzustellen, dass ihre Plattformen die Sicherheits- und Datenschutzanforderungen des AI Act erfüllen, insbesondere, wenn sie Dienste oder Infrastrukturen (einschließlich KI-Bibliotheken oder -Modelle) für Hochrisiko-KI-Systeme bereitstellen.

Hauptsächlich folgende Artikel des AI Acts – Artikel 9 „Risikobewertung“, Artikel 23 „Transparenzpflichten“, Artikel 28 „Anforderungen an Anbieter von Hochrisiko-KI-Systemen“, Artikel 30 „Konformitätserklärung“ und Artikel 64 „Anforderungen an Drittanbieter“ – ziehen ggf. auch Cloud-Anbieter für die Aktivitäten ihrer Anwender mit zur Verantwortung. Hinzu kommt die Problematik der Verarbeitung personenbezogener Daten im Sinne der EU-DSGVO. Sie umfasst technische Maßnahmen zum Schutz der Daten sowie die Gewährleistung, dass die verwendeten KI-Bibliotheken den nun geltenden Standards des AI Acts entsprechen.

Wie sich der Markt darauf einstellt, bleibt abzuwarten. Sollten die KI-Verantwortlichen in Unternehmen verstärkt auf spezialisierte Nischen-Lösungen kleinerer KI-Clouds setzen, könnte sich eine stärkere Diversifizierung des Marktes einstellen. Nischenanbieter müssten hierzu ihre Dienste gezielt auf die Einhaltung des AI Act ausrichten. Neben den regulatorischen Herausforderungen stellt der AI Act sicherlich auch eine Chance für Cloud-Anbieter wie auch Anwenderorganisationen dar, ihre Geschäftsmodelle gründlich zu überdenken und neue Innovationspotenziale zu erschließen. Durch die Vorschriften werden die Unternehmen gezwungen, ihre KI-Strategien neu zu gestalten und ethische Aspekte stärker zu berücksichtigen.

Sollten Unternehmen mit Sitz in der EU ihre KI-Praktiken auf andere Märkte übertragen, um weltweit nach konsistenten Standards zu agieren, würde der AI Act eine ausstrahlende Wirkung auf andere Regionen haben. Dies könnte dann schrittweise zu einer Angleichung der internationalen Regelwerke führen.

Wer nutzt KI unter welchen Bedingungen?

Unternehmen im KI- und GenAI-Blindflug

Der Faktor Mensch

Um den Anforderungen des AI Acts gerecht zu werden, müssen Unternehmen nicht nur ihre technischen Systeme anpassen, sondern auch ihre internen Kapazitäten und Kompetenzen erweitern. Dies betrifft insbesondere die Schulung von Mitarbeitern, die für die Implementierung und Überwachung von KI-Systemen verantwortlich sind.

Wie können die Menschen in Zeiten beschleunigter Innovation die Kontrolle über KI-Systeme behalten? McNulty sieht die Chance darin, ein menschliches Wertesystem in die KI-Modelle zu integrieren. Wenn man das nicht schaffen sollte, würden KI-Systeme ihre eigene „Ethik“ erfinden. Die Menschen müssten KI-Systemen Empathie und Mitgefühl verleihen. Es gehe hier um ein kontinuierliches Bestreben, „das Richtige für die Gesellschaft zu tun“ und um die Bereitschaft, Verantwortung für das Endresultat zu übernehmen. „Ist das jetzt etwas, das einen übergeordneten Wert für die Menschheit hat, oder sind wir zu weit gegangen?“ Diese Entscheidungsfindung sei ein kontinuierlicher Prozess. Die Modelle könnten sich nur so ethisch verhalten wie die Person, die sie erschaffen habe, glaubt McNulty.

Neue Rahmenbedingungen für Datenspeicherung und -verarbeitung

Wie sich die KI-Regulierung auf Unternehmen auswirkt

Bremsklotz oder strategischer Vorteil?

Der AI Act der Europäischen Union markiert einen bedeutenden Meilenstein in der Regulierung von künstlicher Intelligenz (KI) auf globaler Ebene. Das Gesetz spiegelt das Bestreben der EU wider, einen Balanceakt zwischen Innovation und ethischer Verantwortung zu schaffen, und dürfte als solches eine globale Wirkung entfalten. Der AI Act wurde als Katalysator der Innovation im verantwortungsvollen Umgang mit KI konzipiert, hat aber auch das Zeug dazu, zum Bremsklotz der Innovation zu werden.

Unternehmen, die in der EU tätig sind, müssen nun sicherstellen, dass ihre KI-Anwendungen den festgelegten Anforderungen entsprechen. Dies betrifft insbesondere die Bereiche Datenschutz, ethische Nutzung und die Vermeidung von Diskriminierung. Eine umfassende Überprüfung und Anpassung bestehender Systeme und Prozesse steht auf dem Programm. Allerdings dürften auch Unternehmen, die sich frühzeitig auf die neuen Anforderungen einstellen, eher in der Lage sein, sich einen strategischen Vorteil im dynamischen Markt KI-getriebener Lösungen in der EU zu verschaffen.

Durch die Einführung strenger Vorschriften und Standards will der europäische Gesetzgeber die Sicherheit und Transparenz von KI-Systemen verbessern. Es bleibt abzuwarten, welche weiteren Anpassungen des regulatorischen Rahmenwerks noch folgen. Mit dem Inkrafttreten des AI Acts setzt die Europäische Union bereits ganz neue Maßstäbe.

* Das Autorenduo Anna Kobylinska und Filipe Pereia Martins arbeitet für McKinley Denali, Inc., USA.

(ID:50135767)