KI-Verordnung für Unternehmen einfach erklärt

Die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und ist am 1. August 2024 in Kraft getreten.

Nach Art. 3 Nr. 1 der KI-Verordnung ist ein KI-System ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach seiner Betriebsaufnahme anpassungsfähig sein kann und aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden.

Nach Art. 3 Nr. 3 der KI-Verordnung ist Anbieter, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, sei es entgeltlich oder unentgeltlich.

Nach Art. 3 Nr. 4 der KI-Verordnung ist Betreiber eine natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet.

Nach Art. 25 Abs. 1 der KI-Verordnung gilt ein Betreiber oder ein sonstiger Dritter unter bestimmten Voraussetzungen als Anbieter eines Hochrisiko-KI-Systems, insbesondere wenn er seinen Namen oder seine Handelsmarke auf einem bereits in Verkehr gebrachten Hochrisiko-KI-System anbringt, eine wesentliche Veränderung vornimmt oder die Zweckbestimmung eines KI-Systems derart verändert, dass es zu einem Hochrisiko-KI-System wird.

Nach Art. 5 Abs. 1 der KI-Verordnung sind unter anderem manipulative und täuschende Techniken, die Ausnutzung der Vulnerabilität bestimmter Personengruppen, Social Scoring durch Behörden, bestimmte Formen der Straftatvorhersage, das ungezielte Scraping von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, die biometrische Kategorisierung zur Ableitung sensibler Merkmale sowie die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken verboten.

Nach Art. 6 Abs. 2 der KI-Verordnung in Verbindung mit Anhang III gelten KI-Systeme in acht Bereichen als Hochrisiko, darunter Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung, Migration und Asyl sowie Rechtspflege und demokratische Prozesse.

Nach Art. 6 Abs. 3 der KI-Verordnung gilt ein KI-System nicht als Hochrisiko, wenn es kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten natürlicher Personen birgt, insbesondere wenn es eine eng umgrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt ohne eine menschliche Entscheidung ohne ordnungsgemäße Überprüfung zu ersetzen, oder eine vorbereitende Aufgabe ausführt.

Nach Art. 113 der KI-Verordnung gilt die Verordnung grundsätzlich ab dem 2. August 2026, mit abweichenden Geltungsterminen: Kapitel I und II einschließlich der Verbote nach Art. 5 und der Pflicht zur KI-Kompetenz nach Art. 4 ab dem 2. Februar 2025, die Kapitel V, VII und XII einschließlich der Pflichten für GPAI-Modelle und des Sanktionsrahmens ab dem 2. August 2025 sowie die Pflichten für Hochrisiko-KI nach Anhang I ab dem 2. August 2027.

Nach Art. 4 der KI-Verordnung ergreifen die Anbieter und Betreiber von KI-Systemen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Nach Art. 9 bis Art. 15 der KI-Verordnung müssen Hochrisiko-KI-Systeme ein Risikomanagementsystem über den gesamten Lebenszyklus, eine angemessene Daten-Governance für Trainings-, Validierungs- und Testdaten, technische Dokumentation, automatische Protokollierung, Transparenz gegenüber Betreibern, wirksame menschliche Aufsicht sowie ein angemessenes Niveau an Genauigkeit, Robustheit und Cybersicherheit erfüllen.

Nach Art. 16 der KI-Verordnung müssen Anbieter von Hochrisiko-KI-Systemen ein Qualitätsmanagementsystem einrichten, die technische Dokumentation erstellen und aktuell halten, die Konformitätsbewertung nach Art. 43 durchführen, die CE-Kennzeichnung anbringen, das System in der EU-Datenbank nach Art. 49 registrieren, Korrekturmaßnahmen einleiten und mit den zuständigen Behörden kooperieren.

Nach Art. 26 der KI-Verordnung müssen Betreiber von Hochrisiko-KI-Systemen die Systeme gemäß der Betriebsanleitung einsetzen, die menschliche Aufsicht kompetenten und geschulten Personen übertragen, sicherstellen, dass Eingabedaten der Zweckbestimmung entsprechen, den Betrieb überwachen, schwerwiegende Vorfälle melden, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren und vor der Inbetriebnahme am Arbeitsplatz die Arbeitnehmervertreter und betroffenen Arbeitnehmer unterrichten.

Nach Art. 27 der KI-Verordnung müssen Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Hochrisiko-KI-Systemen im Bereich der Kreditwürdigkeitsprüfung und der Risikobewertung in Lebens- und Krankenversicherungen vor dem erstmaligen Einsatz eine Grundrechte-Folgenabschätzung durchführen und deren Ergebnis der Marktüberwachungsbehörde übermitteln.

Nach Art. 50 der KI-Verordnung müssen Anbieter sicherstellen, dass KI-Systeme mit direkter Interaktion mit natürlichen Personen so gestaltet sind, dass die Interaktion als KI erkennbar ist, und dass synthetische Audio-, Bild-, Video- oder Textausgaben maschinenlesbar als künstlich erzeugt oder manipuliert gekennzeichnet werden; Betreiber müssen den Einsatz von Emotionserkennung oder biometrischer Kategorisierung offenlegen, Deepfakes als künstlich erzeugt oder manipuliert kennzeichnen und KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse als solche offenlegen, sofern keine menschliche redaktionelle Kontrolle erfolgt.

Nach Art. 53 der KI-Verordnung müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck eine technische Dokumentation nach Anhang XI erstellen, nachgelagerten Anbietern die erforderlichen Informationen nach Anhang XII zur Verfügung stellen, eine Strategie zur Einhaltung des Urheberrechts umsetzen und eine öffentlich verfügbare Zusammenfassung der für das Training des Modells verwendeten Inhalte nach einem von der Kommission bereitgestellten Muster veröffentlichen.

Nach Art. 51 Abs. 2 der KI-Verordnung wird vermutet, dass ein KI-Modell mit allgemeinem Verwendungszweck über High-Impact-Fähigkeiten verfügt und damit als systemisch relevant einzustufen ist, wenn die kumulative Trainings-Rechenleistung des Modells mehr als 10^25 Gleitkommaoperationen beträgt.

Nach Art. 99 der KI-Verordnung können Verstöße gegen das Verbot nach Art. 5 mit Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des gesamten weltweiten Jahresumsatzes, Verstöße gegen sonstige Pflichten mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes und die Erteilung falscher, unvollständiger oder irreführender Informationen an Aufsichtsbehörden mit bis zu 7,5 Millionen Euro oder 1 Prozent des Jahresumsatzes geahndet werden, wobei jeweils der höhere Betrag maßgeblich ist.

Nach Art. 99 Abs. 6 der KI-Verordnung gilt für Kleinstunternehmen, kleine und mittlere Unternehmen einschließlich Start-ups jeweils der niedrigere der beiden im Sanktionsrahmen genannten Beträge.

Nach Art. 101 der KI-Verordnung können Verstöße von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck mit Geldbußen von bis zu 15 Millionen Euro oder bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes geahndet werden, wobei die Durchsetzung durch die Kommission erfolgt.

Nach Art. 26 Abs. 9 der KI-Verordnung nutzen Betreiber die von Anbietern bereitgestellten Informationen, um einer etwaigen Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nachzukommen.

Nach Anhang III Nr. 5 lit. b der KI-Verordnung gelten KI-Systeme, die zur Bewertung der Kreditwürdigkeit natürlicher Personen oder zur Erstellung ihrer Bonitätsbewertung verwendet werden, als Hochrisiko, wobei KI-Systeme zur Erkennung von Finanzbetrug ausgenommen sind.

Nach Anhang III Nr. 5 lit. c der KI-Verordnung gelten KI-Systeme, die zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen in Bezug auf natürliche Personen verwendet werden, als Hochrisiko.

Nach Anhang III Nr. 2 der KI-Verordnung gelten KI-Systeme, die als Sicherheitsbauteile im Management und Betrieb der Versorgung mit Wasser, Gas, Wärme und Strom sowie der kritischen digitalen Infrastruktur und des Straßenverkehrs verwendet werden, als Hochrisiko.