Der AI Act (Verordnung [EU] 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz) stuft KI nach ihrem Risiko ein; je nach Einstufung gilt ein unterschiedliches Regulatorium. Unterschieden wird dabei im Wesentlichen zwischen
- verbotenen Praktiken im KI-Bereich (Art 5);
- stark regulierten Hochrisiko-KI-Systemen (Art 6-49);
- weniger riskanten KI-Systemen, für die (nur) Transparenzpflichten gelten (Art 50-52);
- breit einsetzbaren KI-Modellen mit allgemeinem Verwendungszweck, für die bestimmte Evaluierungs- und Transparenzpflichten gelten (Art 53-55).
Verbotene Praktiken
Zu den verbotenen Praktiken zählen unter anderem
- manipulative KI (Art 5 Abs 1 lit a);
- KI, die die Schutzbedürftigkeit von Personen ausnützt (lit b);
- soziale Bewertungssysteme („Social Scoring“; lit c, d);
- ungezielte Gesichtserkennung (lit e);
- Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen mit eng umschriebenen Ausnahmen (lit f);
- biometrische Kategorisierung auf Grundlage von bspw Rasse, politischer Einstellung oder Sexualleben (lit g);
- biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Zwecken der Strafverfolgung außer in klar umrissenen Ausnahmefällen (lit h).
Hochrisiko-Systeme
Der größte Teil des AI Act widmet sich der umfassenden Regulierung hochriskanter KI-Systeme.
Als Hochrisiko-KI-System gelten (mit konkret umschriebenen Ausnahmen):
- Systeme, die regulierte Produkte oder Sicherheitskomponenten von solchen Produkten iSd zahlreichen im Anhang II genannten europäischen Harmonisierungsvorschriften (betreffend Produktgruppen wie Spielzeuge, Aufzüge, Schutzausrüstungen etc) sind und vor Inverkehrbringen/Inbetriebnahme einer Konformitätsbewertung durch Dritte unterzogen werden (Art 6 Abs 1 lit a);
- im Anhang III genannte KI-Systeme (lit b).
Zu den im Anhang III genannten KI-Systemen zählen näher beschriebene KI-Systeme in folgenden Bereichen:
- Biometrie;
- kritische Infrastruktur;
- allgemeine und berufliche Bildung;
- Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit;
- Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste und Leistungen;
- Strafverfolgung;
- Migration, Asyl und Grenzkontrolle;
- Rechtspflege und demokratische Prozesse.
Für Anbieter:innen von KI-Systemen bestehen unter anderem folgende Verpflichtungen:
- laufende Betreibung eines Risikomanagementsystems (Art 9);
- Einhaltung bestimmter (Qualitäts-)Anforderungen an verwendete Datensätze (Art 10);
- Technische Dokumentation und Einhaltung von Aufzeichnungspflichten (Art 11 f);
- Transparenz gegenüber den Nutzer:innen (Art 13);
- Sicherstellung einer wirksamen menschlichen Aufsicht (Art 14);
- Einhaltung von Anforderungen im Hinblick auf Genauigkeit, Robustheit und Cybersicherheit (Art 15);
- Konformitätsbewertung (Art 43).
Darüber hinaus sieht der AI Act auch Pflichten für andere Akteur:innen der gesamten Wertschöpfungskette, also Händler:innen, Einführer:innen, Betreiber:innen und sonstige Dritte vor (Art 22 ff).
KI-Modelle mit allgemeinem Verwendungszweck
Eigene Bestimmungen bestehen auch für Anbieter:innen von KI-Systemen, die für eine Vielzahl von Zwecken eingesetzt werden können („General Purpose AI“). Innerhalb dieser Kategorie wird zwischen regulären KI-Modellen mit allgemeinem Verwendungszweck und solchen mit systemischem Risiko unterschieden. Von einem KI-Modell mit allgemeinem Verwendungszweck mit systemischem Risiko ist insbesondere auszugehen, wenn die Rechenleistung, gemessen in Gleitkommaoperationen, 1025 übersteigt.
Für Anbieter:innen von regulären KI-Modellen mit allgemeinem Verwendungszweck gelten im Wesentlichen Informations-, Kennzeichnungs- und Dokumentationspflichten (Art 53).
Anbieter:innen von KI-Systemen mit allgemeinem Verwendungszweck mit systemischem Risiko müssen zusätzlich Evaluierungs- und Risikominderungsmaßnahmen treffen, sowie ein angemessenes Maß an Cybersicherheit gewährleisten (Art 55).
KI-Systeme mit begrenztem Risiko
Für die Kategorie der KI-Systeme mit begrenztem Risiko gelten Transparenzpflichten. Diesbezüglich geht es insbesondere darum, dass Nutzer:innen darüber informiert werden, dass sie mit KI-Systemen interagieren bzw dass Inhalte KI-generiert erstellt wurden. Dies betrifft etwa Chatbots (Art 50 Abs 1) und Deepfakes (Abs 4).
Umsetzung des AI Act
Wie bei europäischen Verordnungen jüngeren Datums üblich, wird der AI Act von institutionellen Bestimmungen flankiert. Auf europäischer Ebene wird ein Büro für Künstliche Intelligenz (Art 64), ein Europäisches Gremium für Künstliche Intelligenz (Art 65), ein Beratungsforum (Art 67), sowie ein wissenschaftliches Gremium unabhängiger Sachverständiger (Art 68) eingerichtet.
Auf nationaler Ebene sind ebenfalls zuständige Behörden, nämlich mindestens eine notifizierende Behörde und eine Marktüberwachungsbehörde, einzurichten oder zu benennen, um die Anwendung und Durchführung des AI Act sicherzustellen (Art 70). Ferner wird eine öffentlich zugängliche (Art 71 Abs 3) EU-Datenbank für die in Anhang III angeführten Hochrisiko-KI-Systeme geschaffen.
Bei Verstößen gegen den AI Act drohen empfindliche Geldbußen von bis zu 35 Millionen Euro oder 7 % des globalen Jahresumsatzes von Unternehmen (Art 99 ff).
Daneben finden sich im AI Act aber auch Maßnahmen zur Förderung von positiven KI-Systemen. So sollen etwa KI-Reallabore („Sandboxes“) als kontrollierte Umgebung zur Entwicklung, Erprobung und Validierung innovativer KI-Technologien eingerichtet werden (Art 57), zu denen KMU und Start-up-Unternehmen kostenlosen Zugang erhalten sollen (Art 58 Abs 2 lit d).
Zeitleiste und Auswirkungen auf Konsument:innen
Die einzelnen Kapitel des AI Act werden gestaffelt über den Verlauf der nächsten drei Kalenderjahre wirksam. In einem ersten Schritt gelten ab dem 2. Februar 2025 die Bestimmungen über verbotene KI-Systeme (Art 113 lit a); ab dem 2. August 2027 ist der gesamte AI Act in Geltung.
Der AI Act fügt sich nahtlos in eine Reihe von innovativen Rechtsakten der EU-Digitalstrategie ein; siehe diesbezüglich etwa auch die Artikel zum Digital Markets Act (Strengere Vorgaben für Tech-Riesen: Digital Markets Act „scharf gestellt“ | Verbraucherrecht) und Digital Services Act (Neue Regeln für Online-Plattformen: Digital Services Act in vollem Umfang anwendbar | Verbraucherrecht).
Aus verbraucherrechtlicher Perspektive ist bedeutsam, dass für Verstöße gegen den AI Act (bei Vorliegen der allgemeinen Voraussetzungen) eine Verbandsklagebefugnis für Qualifizierte Einrichtungen, somit auch den VKI, bestehen wird: Dies ergibt sich aus dem AI Act selbst (Art 110), der zu den im Anhang I der Verbandsklagen-RL 2020/1828 genannten Rechtsakten zählen wird (Z 68; siehe zur österreichischen Umsetzung der VK-RL VRUN: Neue Regeln für Verbandsklagen in Kraft | Verbraucherrecht).
Einzelnen Bürger:innen gewährt der AI Act Individualrechtsschutz im Wege des public enforcement durch Gewährung eines Rechts auf Beschwerde bei einer Marktüberwachungsbehörde (Art 85). Betroffenen Personen, die von einer Entscheidung auf der Grundlage eines in Anhang III genannten Hochrisiko-KI-Systems betroffen sind, steht gegenüber dem Betreiber ferner ein Recht auf Auskunft bezüglich der Rolle des KI-Systems im Entscheidungsprozess zu (Art 86).
