AI-Act – Was in den nächsten Monaten zu tun ist

Der AI-Act ist als einer der weltweiten Vorreiter zur Regulierung von Künstlicher Intelligenz mit 01.08.2024 in Kraft getreten. Die neuen Spielregeln sind jedoch nicht unmittelbar ab diesem Zeitpunkt anwendbar, sondern erlangen für die jeweiligen KI-Systeme und KI-Anwendungen gestaffelt nach ihrer risikobasierten Einstufung in den nächsten 36 Monaten Geltung. Über risikobasierte Kategorisierung von KI-Systemen und damit zusammenhängenden Verpflichtungen für die jeweiligen Akteure wurden bereits nach der politischen Einigung im Dezember 2023 in unserem KWR Expertenblog diskutiert.

Was bedeutet das Inkrafttreten seit 1.8.2024 nun für die vom AI-Act erfassten Akteure und welcher Handlungsbedarf besteht für Unternehmen und Verantwortliche nun?

Die aktualisierten Regelungen:

Nach den ersten Veröffentlichungen über die Inhalte des AI-Acts wurden noch einige formelle und wenige inhaltliche Änderungen durchgeführt:

• Unter anderem wurde eine Erleichterung mit der weitgehenden Ausnahme von Open-Source-KI-Systemen vom AI-Act geschaffen.
• Für eine Definition als (verbotene) unterschwellige Beeinflussung genügt dagegen bereits ein hinreichend wahrscheinlicher Eintritt eines Schadens. Ein tatsächlicher Schadenseintritt ist nicht erforderlich.
• Klargestellt wurde auch der Anwendungsbereich von Hochrisiko-KI-Pflichten in Anhang III des AI-Act. So gilt nunmehr beispielweise der Einsatz von KI im Bildungsbereich für den Zugang bzw. die Zulassung zu Bildung sowie die automatisierte Bewertung von Lernergebnissen in allen Bildungsstufen als Hoch-Risiko-KI.  

Inkrafttreten und Geltung des AI-Act:

• 02.02.2025 (6 Monate nach Inkrafttreten): Einerseits dürfen die als per se “verboten“ eingeordneten Praktiken nicht mehr eingesetzt werden. Andererseits müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, damit ihr Personal andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über eine ausreichende KI-Kompetenz und über entsprechende Kenntnisse verfügen („KI-Kompetenz“, Artikel 4 AI-Act).
• 02.08.2025 (12 Monate nach Inkrafttreten): Zunächst geltend ab diesem Zeitpunkt die Regelungen zu General Purpose KI-Systeme. Weiters müssen die Mitgliedstaaten eine  notifizierende Behörde benennen, welche die Konformitätsbewertungsstellen einrichtet und für die erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung sowie Überwachung von KI-Systemen zuständig ist. Die Kommission und die Mitgliedstaaten müssen außerdem die im AI-Act vorgesehenen Behörden und Institutionen benennen oder einrichten. Ab diesem Zeitpunkt geltend auch die Strafbestimmungen des AI-Act.
• 02.08.2026 (24 Monate nach Inkrafttreten): Ab diesem Zeitpunkt gelten alle Verpflichtungen nach dem AI-Act für KI-Systeme mit geringem und minimalem Risiko. Ebenso gilt dies für Hochrisiko-KI-Systeme, wobei jedoch nur die in Anhang III genannten, nicht jedoch die in Anhang I genannten Anforderungen umfasst sind.
• 02.08.2027 (36 Monate nach Inkrafttreten): Ab diesem Zeitpunkt gelten nun auch alle in Anhang I des AI-Act enthaltenen Anforderungen für Hochrisiko-KI-Systeme.

To Dos für die Praxis

Nicht zuletzt aufgrund der empfindlichen Strafen, die bei einem Verstoß drohen, ist nun ein Tätigwerden in der Praxis erforderlich:

• Zunächst sollten Unternehmen identifizieren, welche KI-Systeme bzw. KI-Anwendungen im eigenen Unternehmen verwendetoder gar entwickelt werden und diese der jeweiligen Kategorie zuordnen.  Dies dient der Identifizierung von verbotenen KI-Praktiken, die ab 02.02.2025 jedenfalls nicht mehr verwendet werden dürfen.
• Ebenso mit 02.02.2025 müssen Anbieter und Betreiber von KI-Systemen ihr Personal und erfasste Personen entsprechend schulen („KI-Kompetenz“).  Beim Personal muss daher ein Problembewusstsein bei der Verwendung von KI-Systemen geschaffen werden. Dafür empfiehlt es sich, Guidelines zu erstellen und zu implementieren, die an die jeweiligen Prozesse angepasst und optimiert werden sollten.
• Unternehmen sollten auch die Nutzungsbedingungen der verwendeten KI-Systeme bzw. KI-Anwendungen kennen und auf Einschränkungen für die Nutzung des KI-Outputs prüfen. Besonders zu beachten sind dabei die urheberrechtlichen Schranken (KWR berichtete).  Ist der eigenschöpferische Beitrag beim verwendeten KI-Output zu gering, kann dies einer urheberrechtlichen Schutzfähigkeit entgegenstehen. Bei nachträglicher menschlicher Bearbeitung des KI-Outputs könnte hingegen urheberrechtlicher Schutz entstehen. Auch hier sollten best practices und Prozesse im Unternehmen implementiert werden.
• Eine besondere Rolle spielt hierbei auch die Wahrung von „geheimen“ Informationen und der Schutz von personenbezogenen Daten. Solche Informationen und Daten sollten keinesfalls der KI zur Verfügung gestellt werden.

Ergebnis:

Es empfiehlt sich daher, jetzt mit der Planung der Umsetzung des AI-Acts, dem zugehörigen Risikomanagement und der Schulung des Personals zu beginnen. Das KWR New Technologies & Digitalisierung Team berät und unterstützt Sie gerne bei der Umsetzung und Implementierung der neuen AI-Regelungen!