Das EU-KI-Gesetz trat am 1. August in Kraft und markierte das Ende einer mehrjährigen Entscheidungsphase zur Regulierung des Einsatzes künstlicher Intelligenz in Europa. Seit 2019 arbeiten verschiedene EU-Institutionen an der Feinabstimmung der Vorschriften, die inzwischen zu mehrere hundert Seiten im Laufe der Zeit. Die neue Verordnung betrifft nun Unternehmen, die KI-Systeme entwickeln, vertreiben oder auch nur nutzen — mit anderen Worten, fast alle.

Das KI-Gesetz verfolgt im Wesentlichen einen risikobasierten Ansatz. So sind beispielsweise KI-Systeme, die gezielt auf Menschen einwirken, oder „Social Scoring“ — die Vergabe von Punkten für wünschenswertes Verhalten — verboten. Systeme, die in sensiblen Bereichen wie dem Gesundheitswesen eingesetzt werden, müssen eine Reihe strenger Anforderungen erfüllen. In Zukunft werden Transparenz- und Compliance-Vorschriften für KI gelten, die ein begrenztes oder minimales Risiko darstellen. In der Regel fallen die Text- und Bildgenerierung, einschließlich KI-gestützter Produktbeschreibungen, in diese Kategorie mit geringem Risiko.

Je nach Risikokategorie gibt es verschiedene Übergangsperioden. So werden beispielsweise ab Januar KI-Systeme mit manipulativer Absicht verboten. Ab August 2025 gelten Transparenz- und Dokumentationsanforderungen für sogenannte „Allzweck-KI“. Dies wird beispielsweise Unternehmen betreffen, die generative KI einsetzen. Dies ist bei vielen Online-Shops der Fall, die Chatbots oder personalisierte Empfehlungen, virtuelle Umkleideräume oder KI-gestützte Text- und Bildgenerierung verwenden. Fritz-Ulli Pieper, Fachanwalt für IT-Recht bei Taylor Wessing und Leiter der Abteilung Künstliche Intelligenz bei der deutsche Digitalverband BVDW, rät, sich so schnell wie möglich einen Überblick zu verschaffen. Der beste Weg, dies zu tun, besteht darin, ein interdisziplinäres KI-Team zusammenzustellen. Ihre erste und dringendste Aufgabe sollte darin bestehen, zu klären, wo und welche Arten von KI-Systemen eingesetzt werden. Pieper: „Das Hauptaugenmerk muss auf der Einstufung des KI-Systems in die Risikokategorien des KI-Gesetzes liegen. Erst wenn dies klar ist, können Risiken, Verantwortlichkeiten und Pflichten abgeleitet werden.

Übergangsperioden im Auge behalten

Inzwischen stehen eine Reihe von Tools zur Verfügung, die Unternehmen bei dieser ersten Bewertung unterstützen. Dazu gehören KI-Risikonavigator des TÜV-Verbands, ein kostenloses Online-Tool zur Klassifizierung der Risiken von KI-Systemen und -Modellen. „Das Testen von KI-Systemen schafft Vertrauen und ist schon heute ein Wettbewerbsvorteil“, sagte Joachim Bühler, Geschäftsführer des TÜV-Verbands. „Unternehmen wären gut beraten, sich jetzt mit den Anforderungen vertraut zu machen, insbesondere im Hinblick auf die Übergangsfristen. Es ist wichtig zu beurteilen, wie und wo sich das KI-Gesetz auf ihre Aktivitäten auswirken wird.“

Der nächste Schritt besteht darin, Governance- und Risikomanagementstrukturen einzurichten oder bestehende Strukturen zu erweitern, um alle relevanten KI-Themen abzudecken. Dies könnte vielleicht auf bestehenden Strukturen wie der bestehenden Datenschutzkonformität basieren, erklärt Rechtsexpertin Pieper. „Darüber hinaus sollten Richtlinien und Sensibilisierungsstrategien entwickelt werden, die in Verbindung mit Schulungen die Mitarbeiter für den Einsatz von KI sensibilisieren und deren Einsatz fördern.“ Die Einrichtung von Prüfungsstrukturen könnte ebenfalls nützlich sein. Seiner Ansicht nach sind die Unwissenheit auf Managementebene und unklare Vorstellungen darüber, wo KI überhaupt eingesetzt wird, der größte Feind der Umsetzung. Fehlt es zudem an kompetentem Personal und Fachwissen, können Verpflichtungen und Vorschriften übersehen werden. Das sollte nicht der Fall sein. Das EU-Gesetz über künstliche Intelligenz sieht auch Bußgelder vor. Und sie können sehr hoch sein.

Dies ist nicht der einzige Grund, warum Tech-Start-ups wie Jetzt vorne behalten die neuen Vorschriften genau im Auge. Die Einhaltung der Vorschriften wird als Wettbewerbsfaktor angesehen. Durch proaktive Maßnahmen und die frühzeitige Anpassung an regulatorische Anforderungen will sich das Unternehmen als zuverlässiger Partner in einem zunehmend komplexen Marktumfeld positionieren. Aus diesem Grund werden auch Gesetze und Vorschriften, die über die Europäische Union hinausgehen, genau beobachtet, auch wenn das KI-Gesetz hier vorerst Maßstäbe gesetzt hat.

{{cta}}

KI-Technologie hat eine übergreifende Wirkung

So umfassend das AI-Gesetz der EU auch ist, es sollte niemanden abschrecken. Unternehmen haben ähnliche Hürden bei anderen Gesetzesprojekten wie der DSGVO überwunden. Schon damals waren die Vorschriften komplex und in vielen Fällen schwer zu interpretieren. Der Verwaltungsaufwand war hoch, während die technischen Herausforderungen beträchtlich waren. Die Prozesse wurden überarbeitet, Compliance-Richtlinien verabschiedet, Schulungen angeboten und die IT-Systeme angepasst.

Ähnlich wie die DSGVO verlangt auch das EU-KI-Gesetz die Zusammenarbeit der verschiedenen Fachbereiche von Unternehmen — von der IT und dem Vertrieb über Marketing, Controlling, Produktion bis hin zum Einkauf. Das liegt daran, dass KI eine funktionsübergreifende Technologie ist. Es muss auch klar sein, dass KI-Compliance über die KI-Verordnung hinausgeht, betont Pieper. Schließlich spielen auch Datenschutz und Urheberrecht eine Rolle. Pieper: „Das muss von Anfang an berücksichtigt werden“.