KI-Verordnung der EU: Wie Anbieter jetzt handeln müssen

Die KI-Verordnung ist die regulatorische Antwort der EU auf die rasanten Fortschritte im Bereich der Künstlichen Intelligenz. Die darin enthaltenen Vorgaben orientieren sich zum einen daran, in welchem Sektor die KI eingesetzt wird. Zum anderen werden die Auswirkungen auf Menschen in den Fokus genommen – ähnlich wie bereits bei der DSGVO, die den Umgang mit personenbezogenen Daten reguliert. Zudem hängen die vorgeschriebenen Maßnahmen von dem Risiko ab, das von einem KI-System ausgeht.

Die KI-Verordnung arbeitet mit einer recht weiten Definition von Künstlicher Intelligenz. KI-Systeme sind laut Definition des EU-Parlaments „maschinenbasierte Systeme, die so konzipiert sind, dass sie mit unterschiedlichen Autonomiegraden arbeiten und Ergebnisse wie Vorhersagen, Empfehlungen oder Entscheidungen erzeugen können, die physische oder virtuelle Umgebungen beeinflussen.“ Zusammenfassend lässt sich sagen, dass KI-Systeme nach der EU-Definition adaptiv und autonom sind.

Künstliche Intelligenz hat bewiesen, dass sie ein sehr großes disruptives Potenzial besitzt. KI-Anwendungen können unser Arbeits- und gesellschaftliches Leben verändern. An dieser Stelle setzt die EU an und schafft einen Rahmen und zieht rote Linien, die nicht überschritten werden dürfen. Es ist das Ziel der EU, mit der Künstliche-Intelligenz-Verordnung Anbieter dazu zu befähigen, die Wettbewerbsvorteile der KI-Technologie zu nutzen. Dadurch möchte sie zudem die Wirtschaft des EU-Binnenmarkts ankurbeln. Der Ansatz der Europäischen Union zielt darauf ab, die (Weiter-)Entwicklung der Technologie zu ermöglichen und aktiv zu fördern. Gleichzeitig sollen die Rechte der Bürger:innen geschützt werden.

Bei der Regulierung von Künstlicher Intelligenz nimmt die Europäische Union eine Vorreiterrolle ein. Die KI-Verordnung ist ein Prestigeprojekt der EU. Sie soll global zu einem Vorbild für KI-Regulierung werden, wie es schon die DSGVO war. Die EU erhofft sich zahlreiche Nachahmer für einen kontrollierten Einsatz von KI.

Nach einem offiziellen Trilog zwischen dem EU-Parlament, dem EU-Ministerrat und der EU-Kommission wurde Anfang Dezember 2023 ein Kompromiss erzielt und die KI-Verordnung verabschiedet. Dadurch kann das Gesetz in absehbarer Zeit in Kraft treten.

Viele Anbieter fragen sich mit Bezug auf die KI-Verordnung, wann ihr Inkrafttreten terminiert wird. Nach der politischen Einigung von EU-Parlament, Ministerrat und Kommission geht es voraussichtlich sehr schnell. Die Zustimmung durch das Europaparlament und die Mitgliedsstaaten wird als reine Formalität angesehen. Die KI-Verordnung wird wahrscheinlich bereits Anfang 2024 in Kraft treten. Im Anschluss werden Anbieter eine Umsetzungsfrist von voraussichtlich zwei Jahren erhalten. Dementsprechend wird die EU-KI-Verordnung wohl Anfang des Jahres 2026 in vollem Umfang gelten.

In der KI-Verordnung spielen unterschiedliche Anwendungsbereiche für Künstliche Intelligenz eine große Rolle. Anbieter können sich an der Kategorisierung der deutschen Datenethikkommission von 2019 orientieren, um sich einen Überblick zu diesen Bereichen zu verschaffen (siehe Schaubild; die Quelle dazu findest du hier). Dabei wird mit unterschiedlichen Kritikalitätsgraden gearbeitet. Diese gehen laut der KI-VO jeweils mit eigenen Regulierungen und Anforderungen einher. Das sollten Anbieter berücksichtigen, wenn sie KI-Produkte entwickeln, und ihre Dokumentation dementsprechend anpassen.

Interessanter Fakt: Nach aktuellem Stand gehören moderne Hörgeräte der Kategorie der Hochrisikosysteme an. Das liegt daran, dass es medizinische Produkte sind, die unter eine Konformitätsprüfung fallen. Durch die Einstufung als Hochrisiko-KI soll bei medizinischen Produkten die Sicherheit der Patient:innen garantiert sein.

Die KI-Verordnung der EU und die DSGVO werden planmäßig nebeneinander existieren. Es werden sich jedoch Schnittstellen ergeben, an denen beide Verordnungen greifen. Das wird vor allem in zwei Anwendungsbereichen der Fall sein, nämlich:

In diesen Fällen müssen Anbieter besonders genau darauf achten, beide Verordnungen zu berücksichtigen.

Du denkst dir vielleicht: Über die Anwendung der KI-Verordnung mache ich mir erst in zwei Jahren Gedanken, wenn die Übergangsfrist im Jahr 2026 abläuft und ich für meine Produkte und/oder Dienstleistungen Compliance sicherstellen muss. Doch das wäre ein Fehler. Denn Compliance zur KI-VO bedeutet, dass alle KI-Systeme, die nach dem Ablauf der Übergangsfrist betrieben werden, die Vorgaben der Verordnung einhalten müssen. Daher sollten Anbieter bereits jetzt mit der Dokumentation beginnen. Sonst wird es nahezu unmöglich, die Prozesse bis 2026 bei allen Produkten und Dienstleistungen vollständig umzustellen.

Zwar existiert ein Rückwirkungsverbot für Gesetze, das zur Folge hat, dass die Regulierungen von 2026 nicht auf das Jahr 2023 angewendet werden dürfen. Allerdings wird eine KI-Anwendung, die vor Inkrafttreten der Verordnung entwickelt und im Jahr 2026 aktualisiert wird, unter die KI-VO fallen, sofern sie durch das Update wesentlich geändert wird.

Für Anbieter heißt das: Sie sollten bereits jetzt dem Entwurf der KI-VO folgen, um in Zukunft die Freiheit zu besitzen, ihre Produkte zu verändern, ohne sie erst an die Standards der Verordnung anzupassen. Sie sollten Prozesse etablieren, die die Anforderungen der KI-Verordnung und der DSGVO erfüllen. Für den Einsatz von Hochrisiko-KI heißt das beispielsweise, dass sie nach Art. 9 der KI-VO ein umfassendes Risikomanagementsystem implementieren müssen. Dies kann durchaus mit den bereits bestehenden Datenschutz-Prozessen kombiniert werden. Mit der Verbindung von KI-VO und DSGVO halten Anbieter den Schlüssel in der Hand, um rechtssicher und damit effektiv zu handeln, ohne durch Verstöße zurückgeworfen zu werden.

Die KI-Verordnung der EU schafft einen regulatorischen Rahmen, um Anbieter in Bezug auf KI-Produkte mehr Rechtssicherheit zu geben und produktive Innovationen zu ermöglichen. Damit einher gehen jedoch Maßnahmen, die einen gewissen bürokratischen Aufwand für Anbieter mit sich bringen. Bei ihrer Implementierung können Anbieter daher schon jetzt auf bereits existierende datenschutzrechtliche Prozesse aus der DSGVO setzen. Ein ganzheitliches Datenschutz­management­system mit integriertem Risikomanagement ist eine solide Vorbereitung auf die Einhaltung beider Verordnungen.

Dennis Kurpierz

Co-Founder & COO von caralegal

Dennis Kurpierz ist Mitgründer und Chief Operating Officer von caralegal und kennt durch seine langjährige Erfahrung als Senior Consultant und Lead Project Manager bei der ISiCO Datenschutz GmbH die Kundenbedürfnisse sowie Pain Points und Herausforderungen im Datenschutzmanagement. Als Product Owner setzt er dieses Fachwissen in der Produktentwicklung von caralegal um.