Im vergangenen Juni hat der Europäische Rat den sogenannten AI Act (auch KI-Verordnung; KI-VO und KI-Gesetz) verabschiedet, der mit einer zweijährigen Übergangsphase seit August 2024 schrittweise in Kraft tritt. Es handelt sich um eine der weltweit ersten umfassenden Regelungen für künstliche Intelligenz (KI). Das Gesetz soll einen EU-weit einheitlichen Rahmen für die Entwicklung und Nutzung von KI schaffen, Grundrechte schützen und Risiken minimieren. Doch was bedeutet der AI Act und welche Konsequenzen hat er für die berufliche Praxis?

AI Act – Risiken minimieren, Innovationen fördern

Künstliche Intelligenz ist längst allgegenwärtig. Sie begegnet uns im beruflichen und privaten Alltag, sei es im Finanzwesen, im Bildungsbereich oder bei der Arbeitssuche. Die Entwicklung und Erweiterung von KI-Modellen und -Systemen schreiten rasant voran, doch der rechtliche Rahmen für den Einsatz dieser Technologie war bislang nicht definiert. Dies soll nun durch den AI Act in der Europäischen Union einheitlich geregelt werden.

Denn künstliche Intelligenz kann uns im Alltag an vielen Stellen unterstützen, ihr Einsatz birgt aber auch Risiken und einige Fragen sind noch ungeklärt.

• Wie werden unsere Grundrechte geschützt?
• Wie steht es um den Datenschutz?
• Wie transparent müssen wir bei der Entwicklung und Nutzung von KI vorgehen?
• Und wie können wir sicherstellen, dass KI-Systeme zuverlässig arbeiten und keine diskriminierenden Entscheidungen treffen

Die Herausforderung besteht darin, KI-Systeme vertrauenswürdig zu gestalten, ohne Innovationen zu bremsen. Nutzerinnen und Nutzer müssen sich darauf verlassen können, dass ethische und datenschutzrechtliche Standards gelten. Gleichzeitig will die EU die Wettbewerbsfähigkeit in diesem Bereich stärken.

KI-Modell oder KI-System

Der AI Act unterscheidet dabei zwischen KI-Modellen und KI-Systemen. Das KI-Modell ist die Technologie, die hinter einer Anwendung steht, also die mathematische und algorithmische Struktur. Das KI-System wiederum ist die Struktur, in die das Modell eingebettet und damit zur Nutzung bereitgestellt wird. Im Falle des Sprachmodells ChatGPT wäre also GPT-4o das KI-Modell und ChatGPT das KI-System, das mit GPT-4o arbeitet.

Der AI Act konzentriert sich in einem risikobasierten Ansatz vorrangig auf KI-Systeme und teilt diese in vier verschiedene Risikoklassen ein. Je nach Risikoklasse unterliegen KI-Systeme unterschiedlichen Anforderungen und Beschränkungen.

Vier Risikoklassen für KI-Systeme

KI-Systeme werden im AI-Act in vier verschiedene Risikoklassen eingeteilt. Erst wenn feststeht, in welche Kategorie das im Unternehmen entwickelte oder eingesetzte KI-System fällt, kann abgeschätzt werden, welche Maßnahmen zu ergreifen sind.

Risikoklasse 1: Inakzeptables Risiko

In diese Kategorie fallen alle KI-Anwendungen, die ein so hohes Risiko darstellen, dass sie schlicht verboten sind. Als Beispiele nennt der AI Act

• Social Scoring Systeme: Diese Systeme bewerten das Verhalten und die Eigenschaften von Personen oder Organisationen anhand verschiedener Kriterien und errechnen daraus eine Art „Score“ oder Punktzahl.
• Beeinflussung von Menschen durch KI: Damit sind KI-gestützte Manipulationen gemeint, die Menschen physisch oder psychisch schädigen können.
• KI-Systeme, die betrügerische Inhalte produzieren oder verbreiten (z.B. Deepfakes)

Risikoklasse 2: Hohes Risiko

In diese Risikoklasse fallen KI-Systeme, die in hochsensiblen Bereichen eingesetzt werden und das Potenzial haben, Menschen erheblichen Schaden zuzufügen. Für diese Risikoklasse gelten besonders strenge Anforderungen, die für den Einsatz dieser Systeme im Unternehmen erfüllt sein müssen. Dazu gehören zum Beispiel:

• KI-Systeme wie Gesichtserkennungstechnologien, die zur biometrischen Identifizierung und Klassifizierung eingesetzt werden.
• KI-Systeme, die im Personalwesen eingesetzt werden und Entscheidungen über Einstellungen, Beförderungen oder Entlassungen beeinflussen.
• Verschiedene andere Anwendungen in den Bereichen Verkehr, Medizin, Justiz, Asylrecht oder Bildung.

Risikoklasse 3: Begrenztes Risiko

KI-Anwendungen, die mit Menschen interagieren und dabei zu Täuschungen oder Verwechslungen führen können, fallen in die Risikoklasse 3. Für diese Risikoklasse gelten strenge Transparenzpflichten. Das bedeutet, dass für die Nutzerinnen und Nutzer der Anwendungen jederzeit erkennbar sein muss, dass es sich um eine KI handelt, mit der sie gerade interagieren. Solche KI-Systeme sind unter anderem:

• Chatbots
• Anwendungen zur Emotionserkennung

Risikoklasse 4: Geringes Risiko

Für KI-Systeme mit geringem Risiko gelten keine besonderen Anforderungen. Diese Anwendungen können ohne besondere Vorschriften entwickelt und verwendet werden. In diese Kategorie fallen zum Beispiel:

• Empfehlungssysteme, die Produkt- und Inhaltsempfehlungen auf der Grundlage der Präferenzen und Handlungen der Nutzerinnen und Nutzer geben
• Videospiele, die KI enthalten
• Betrugserkennungssysteme
• Spamfilter

Spezialfall: KI für allgemeine Zwecke

Für General Purpose Artificial Intelligence (GPAI) – also KI für allgemeine Zwecke – gelten besondere Regeln. Dazu gehört auch ChatGPT von OpenAI. Diese Systeme können nicht in die oben genannten Risikoklassen eingeteilt werden, da sie sehr vielseitig sind. Sie können Texte und Bilder generieren, programmieren, Daten verarbeiten und Entscheidungen unterstützen.

Der AI Act konzentriert sich in diesem besonderen Fall auf das zugrundeliegende Modell und nicht wie sonst auf das System, in dem es verwendet wird. Er fordert eine detaillierte Dokumentation und hohe Transparenz bezüglich der verwendeten Trainingsdaten. Außerdem müssen Inhalte, die mit KI erzeugt wurden, eindeutig gekennzeichnet werden.

Nützliche Tools für Unternehmen

Die Unternehmen sind nun gefordert, ihre alltägliche Praxis bezüglich KI mit dem AI Act in Einklang zu bringen. Dafür gibt es bereits Hilfestellungen im Internet. Eine davon ist der von der Europäischen Union geförderte AI Act Conformity check, der in englischer und deutscher Sprache angeboten wird. Dieser soll Unternehmen dabei helfen, herauszufinden, in welche Risikoklasse die von ihnen entwickelte oder eingesetzte KI fällt. Dazu muss man sich durch einige Fragen klicken und am Ende seine Kontaktdaten angeben, um die Ergebnisse zu erhalten.

Bitkom hat ebenfalls ein Tool entwickelt und kostenlos zur Verfügung gestellt, das Unternehmen, die KI-Systeme in Verkehr gebracht haben oder betreiben, bei der Umsetzung der Verordnung unterstützt. Hier können sich Unternehmen entlang eines Umsetzungsleitfadens, der die einzelnen Fragen näher erläutert, durch einige Fragen klicken und so prüfen, ob ihr KI-System bestimmten Pflichten und Beschränkungen unterliegt.

Am 2. Februar 2025 ist Artikel 4 des KI-Gesetzes in Kraft getreten. Er verpflichtet Anbieter und Betreiber von KI-Systemen sicherzustellen, dass ihre Mitarbeitenden und Dienstleister über ausreichende
KI-Kompetenzen verfügen. Interessieren Sie sich für eine Weiterbildung zum Thema KI für Ihre Mitarbeitenden? Sprechen Sie uns gerne an!

^{Quellen:
AI ACT Conformity Check – EIT AI Community- assess your risk
Umsetzungsleitfaden zur KI-Verordnung | Bitkom e. V.
FAQ: Die wichtigsten Fragen zur KI-Verordnung (AI-Act) – IHK Region Stuttgart
EUR-Lex – 52021PC0206 – EN – EUR-Lex}