Verordnung zur künstlichen Intelligenz (AI-Act)

Wer ist betroffen?

• Anbieter, die in der Union KI-Systeme in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in Verkehr bringen, unabhängig davon, ob diese Anbieter in der Union oder in einem Drittland niedergelassen oder ansässig sind;
• Betreiber von KI-Systemen, die ihren Sitz oder eine Niederlassung in der Union haben;
• Anbieter und Betreiber von KI-Systemen, die ihren Sitz oder eine Niederlassung haben, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird;
• Einführer und Händler von KI-Systemen;
• Produkthersteller, die KI-Systeme zusammen mit ihrem Produkt unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringen oder in Betrieb nehmen;
• Bevollmächtigte von Anbietern, die nicht in der Union niedergelassen sind und
• betroffene Personen, die sich in der Union befinden.

KI-Systeme mit geringem Risiko

Allgemeine und bestimmte KI-Systeme

• Bestimmte KI (Artikel 50): Transparenzpflichten
• KI-Modelle mit allgemeinem Verwendungszweck (Artikel 51 bis 53): technische Dokumentation, Informationen für Integratoren, Strategie zur Einhaltung des Urheberrechts, detaillierte Zusammenfassung der für das Training verwendeten Informationen
• KI-Modelle mit allgemeinem Verwendungszweck mit systemischem Risiko (Artikel 51 bis 53 und 55): zusätzlich Mitteilungspflicht, Modellbewertung, Risiko- und Notfallmanagement, Cybersicherheit

KI-Systeme mit hohem Risiko

• Vorkehrungen zur Risikominimierung und -minderung für den gesamten Lebenszyklus (Risikomanagementsystem),
• hochwertige Datensätze (Data Governance),
• Automatische Protokollierung der Vorgänge,
• Technische Dokumentation (Anhang IV),
• klare Informationen für die Nutzer (Gebrauchsanweisungen),
• die Überwachung und Kontrolle (menschliche Aufsicht und Qualitätsmanagementsystem),
• Robustheit, Genauigkeit und Cybersicherheit

• Anwendungsfälle von KI als Sicherheitsbauteil in Produkten, die den in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union sowie einer Konformitätsbewertung unterliegen
• Anwendungen, die in Anhang III aufgeführt werden: bestimmte kritische Infrastrukturen, z. B. in den Bereichen Wasser, Gas und Strom, Medizinprodukte, Systeme für die Zugangsgewährung zu Bildungseinrichtungen oder für die Einstellung von Personen oder bestimmte Systeme, die in den Bereichen Strafverfolgung, Grenzkontrolle, Justizverwaltung und demokratische Prozesse eingesetzt werden. Darüber hinaus gelten auch Systeme zur biometrischen Identifizierung und Kategorisierung sowie zur Emotionserkennung als hochriskant.

Konformitätserklärung

• Name und Art des KI-Systems und etwaige zusätzliche eindeutige Angaben zur Identifizierung und Rückverfolgbarkeit des KI-Systems
• Name und Anschrift des Anbieters und gegebenenfalls seines Bevollmächtigten
• Erklärung über die alleinige Verantwortung des Anbieters für die Ausstellung der EU-Konformitätserklärung
• Versicherung der Konformität des KI-Systems mit der Verordnung sowie weiteren einschlägigen Rechtsvorschriften (auch hinsichtlich der Verarbeitung personenbezogener Daten)
• Verweise auf die verwendeten einschlägigen harmonisierten Normen oder sonstigen gemeinsamen Spezifikationen
• gegebenenfalls Name und Identifizierungsnummer der notifizierten Stelle, Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und Identifizierungsnummer der ausgestellten Bescheinigung
• Ort und Datum der Ausstellung der Erklärung, den Namen und die Funktion des Unterzeichners sowie Angabe, für wen oder in wessen Namen diese Person unterzeichnet hat, eine Unterschrift

Besondere Transparenzverpflichtungen:

KI-Systeme mit unannehmbarem Risiko

• biometrische Kategorisierungssysteme, die sensible Merkmale verwenden (z. B. politische, religiöse, philosophische Überzeugungen, sexuelle Orientierung, Rasse);
• ungezieltes Auslesen von Bildern aus dem Internet oder Videoüberwachungen zur Erstellung von Gesichtserkennungsdatenbanken;
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen;
• Scoring basierend auf sozialem Verhalten oder persönlichen Merkmalen;
• KI-Systeme, die menschliches Verhalten manipulieren, um ihren freien Willen zu umgehen;
• KI, die Schwachstellen bestimmter Gruppen ausnutzt (aufgrund ihres Alters, ihrer Behinderung, ihrer sozialen oder wirtschaftlichen Situation).

Ausnahmen für die Strafverfolgung

• Einsatz biometrischer Identifikationssysteme (RBI) in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, vorbehaltlich einer vorherigen richterlichen Genehmigung und für streng definierte Straftatenlisten.
• „Post-Remote“-RBI ausschließlich für die gezielte Suche nach Personen, die wegen einer schweren Straftat verurteilt sind oder verdächtigt werden.
• „Echtzeit“-RBI (zeitlich und örtlich begrenzt) muss strenge Bedingungen erfüllen und ist nur zu folgenden Zwecken zulässig:
  • gezielte Suche nach Opfern (Entführung, Menschenhandel, sexuelle Ausbeutung),
  • Abwehr einer konkreten und gegenwärtigen terroristischen Bedrohung,
  • die Lokalisierung oder Identifizierung einer Person, die im Verdacht steht, eine der in der Verordnung genannten konkreten Straftaten begangen zu haben (z. B. Terrorismus, Menschenhandel, sexuelle Ausbeutung, Mord, Entführung, Vergewaltigung, bewaffneter Raubüberfall, Beteiligung an einer kriminellen Vereinigung, Umweltkriminalität).

Sanktionen und Inkrafttreten

Zeitplan

• Nach sechs Monaten (ca. Dez. 2024): KI mit inakzeptablem Risiko muss verboten sein.
• Nach 12 Monaten (ca. Juni 2025): Regeln zu Governance und General Purpose AI (GPAI) für Hochrisiko-KI
• Nach 24 Monaten (ca. Juni 2026): Sämtliche Bestimmungen werden wirksam, auch für KI-Systeme mit hohem Risiko nach Anhang III (eigenständige KI-Systeme, z.B. Biometrische Identifizierung)
• Nach 36 Monaten (ca. Juni 2027): Pflichten für Hochrisiko-KI-Systeme nach Anhang II (KI in Medizinprodukten, Maschinen etc.)

DIHK: Impulspapier zur Regulierung der künstlichen Intelligenz