Das Gesetzgebungsverfahren der KI-VO ist abgeschlossen. Wir geben einen Überblick über die zentralen Übergangsfristen.
Nach der Verabschiedung der „Verordnung zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz“ (KI-VO) durch das Europäische Parlament und den Rat der Europäischen Union wurde diese am 12. Juli 2024 im Amtsblatt der europäischen Union veröffentlicht. Damit ist ein langer Weg mit zähen Verhandlungen abgeschlossen, der 2021 mit dem Vorschlag der Europäischen Kommission für eine unionsweite Regulierung Künstlicher Intelligenz (KI) begann.
Die KI-VO wird am 20. Tag nach der Veröffentlichung im Amtsblatt der Europäischen Union in Kraft treten. Als europäische Verordnung wird sie zwar unmittelbar in allen 27 Mitgliedstaaten gelten, für den Geltungsbeginn sieht die KI-VO aber ein abgestuftes und nicht leicht zu durchdringendes System von Übergangsfristen und Ausnahmeregeln vor. Mit diesem Blog-Beitrag geben wir einen Überblick über die wichtigsten Fristen, die nun gelten.
Ausgangspunkt: Geltung nach 24 Monaten
Der Großteil der Bestimmungen der KI-VO wird erst nach einer 24-monatigen Übergangsfrist und damit ab dem 2. August 2026 (Allgemeiner Anwendbarkeit) anwendbar sein. Innerhalb dieses Zeitraums werden die zahlreichen Begleitmaßnahmen wie delegierte Rechtsakte, Leitlinien und Standards veröffentlicht und die europäische KI-Governance-Struktur aufgebaut, um eine einheitliche, rechtssichere und koordinierte Umsetzung und Durchsetzung der KI-VO zu gewährleisten.
Verkürze Übergangsfrist von 6 Monaten für die verbotenen Praktiken
Die KI-VO zeichnet sich durch einen risikobasierten und abgestuften regulatorischen Ansatz aus, der auch in der Ausgestaltung der Übergangsfristen zum Ausdruck kommt. Vereinfacht kann gesagt werden, dass die Bestimmungen der KI-VO umso früher Anwendung finden, je höher das Risiko ist, das von der jeweiligen Kategorie der KI ausgeht.
Aus diesem Grund finden die Bestimmungen über die verbotenen Praktiken im KI-Bereich (Art. 5 KI-VO) bereits ab dem 2. Februar 2025, d.h. 6 Monate nach Inkrafttreten Anwendung (Art. 113 S. 2 lit. a) KI-VO).
Zu diesen verbotenen Praktiken zählen KI-Systeme, die der Emotionserkennung am Arbeitsplatz und in Schulen, dem Social Scoring, teilweise auch Predictive Policing, der Manipulation menschlichen Verhaltens oder dem Ausnutzen menschlicher Schwachstellen dienen, sowie KI-Systeme, die auf sensiblen Merkmalen basierende biometrische Kategorisierungssysteme, das ungezielte Gesichtsbilder-Scraping im Internet sowie sog. Closed-Circuit Television-Aufnahmen mit dem Ziel der strategischen Erstellung einer Gesichtserkennungsdatenbank vornehmen.
Verkürze Übergangsfrist von 12 Monaten für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen
Bereits ab dem 2. August 2025, d.h. 12 Monate nach Inkrafttreten, finden die nachfolgenden Kapitel bzw. Art. der KI-VO Anwendung (Art. 113 S. 2 lit. b) KI-VO):
- Kapitel III Abschnitt 4 (Notifizierende Behörden und notifizierende Stellen)
- Kapitel V (KI-Modelle mit allgemeinem Verwendungszweck)
- Kapitel VII (Governance)
- Kapitel XII (Sanktionen) mit Ausnahme von Art. 101
- Art. 78 (Vertraulichkeit)
Für Unternehmen besonders relevant ist hier die Vorverlagerung der in Kapitel V geregelten Pflichten der Anbieter* von KI-Modellen mit allgemeinem Verwendungszweck. Dabei ist zu beachten, dass ein Verstoß gegen diese Pflichten aufgrund des Ausschlusses des Art. 101 KI-VO von der Vorverlagerung erst ab dem Zeitpunkt der allgemeinen Anwendbarkeit sanktioniert bzw. bußgeldbewehrt ist.
Verlängerte Übergangsfrist von 36 Monate für bestimmte Hochrisiko-KI-Systeme
Als letzte Ausnahme vom allgemeinen Geltungsbeginn sieht Art. 113 S. 2 lit. c) KI-VO vor, dass die Regelungen für bestimmte Hochrisiko-KI-Systeme im Sinne des Art. 6 Abs. 1 KI-VO ab dem 2. August 2027, d.h. 36 Monate nach Inkrafttreten der KI-VO gelten. Bei diesen KI-Systemen handelt es sich um solche, die ein von den in Anhang I der KI-VO genannten Harmonisierungsrechtsvorschriften der Union erfasstes Produkt oder ein Sicherheitsbauteil eines solchen Produkts sind und die darüber hinaus vor dem Inverkehrbringen einem Konformitätsbewertungsverfahren durch Dritte unterzogen werden.
Sonderregeln für bereits in Verkehr gebrachte KI
Darüber hinaus im sind im Zusammenhang mit den Übergangsfristen die in der KI-VO vorgesehenen Bestandsschutzregelungen für zum Zeitpunkt des Inkrafttretens der KI-VO bereits in Verkehr gebrachte KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck zu beachten.
Leider hat es der europäische Gesetzgeber versäumt, die Bestandsschutzregeln in Art. 111 KI-VO klar zu formulieren, sodass derzeit eine gewisse Rechtsunsicherheit besteht. Es kann zwar erwartet werden, dass die Europäische Kommission hier in den nächsten Monaten mit Leitlinien nachsteuert. Derzeit sollten aber die Bestimmungen des Art. 111 KI-VO restriktiv ausgelegt werden.
Bestandsschutz für KI-Systeme als Bestandteil bestimmter IT-Großsysteme
Am eindeutigsten ist noch die erste Bestandsschutzregelung des Art. 111 Abs. 1 KI-VO formuliert. Demnach müssen KI-Systeme, die Bestandteile bestimmter durch EU-Recht geschaffener IT-Großsysteme in den Bereichen Freiheit, Sicherheit und Recht sind und vor dem 2. August 2027, d.h. 36 Monate nach Inkrafttreten der KI-VO, in der EU in Verkehr gebracht oder in Betrieb genommen werden, erst bis zum 31. Dezember 2030 den Bestimmungen der KI-VO entsprechen. Ein Beispiel für ein solches IT-Großsystem ist etwa das Schengener Informationssystem.
Bestandsschutz für Betreiber von Hochrisiko-KI-Systemen
Von zentraler praktischer Bedeutung ist die Bestandschutzregel des Art. 111 Abs. 2 KI-VO, welche Sonderregeln für Betreiber von Hochrisiko-KI-Systemen aufstellt. Im Grundsatz findet die KI-VO auf Betreiber von Hochrisiko-KI-Systemen, die vor dem 2. August 2025 in Verkehr gebracht oder in Betrieb genommen wurden, keine Anwendung.
Dieser Bestandsschutz gilt aber nicht, wenn die Hochrisiko-KI-Systeme „in ihrer Konzeption erheblich verändert wurden″. Mit dieser Begrifflichkeit dürfte der in Art. 25 KI-VO in Zusammenhang mit Hochrisiko-KI-Systemen angeführte Begriff der „wesentlichen Veränderung″ dieser Systeme gemeint sein. Derzeit ist jedoch unklar, wann dies der Fall ist, zumal es in der KI-VO keine Legaldefinition der Begriffe gibt. Die KI-VO sieht aber in Art. 96 Abs. 1 lit. c) KI-VO ausdrücklich vor, dass die EU-Kommission Leitlinien zur praktischen Durchführung der Bestimmungen über wesentliche Veränderungen erlassen kann.
Bestandschutz für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
Nicht eindeutig formuliert ist die Bestandsschutzregelung des Art. 111 Abs. 3 KI-VO. Danach müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 (d.h. 12 Monate nach Inkrafttreten der KI-VO) in Verkehr gebracht wurden, bis zum 2. August 2027 (d.h. 36 Monate nach Inkrafttreten der KI-VO), „die erforderlichen Maßnahmen″ treffen, um die in der KI-VO festgelegten Verpflichtungen zu erfüllen.
Zunächst ist festzuhalten, dass diese Regelung keinen Bestandsschutz gewährt, sondern vielmehr eine Verschiebung bestimmter Fristen für die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck darstellt. Systematisch hätte Art. 111 Abs. 3 KI-VO daher besser zu den eigentlich abschließend in Art. 113 KI-VO geregelten Bestimmungen über den Beginn der Anwendung gepasst. Zudem ist unklar, auf welche Pflichten sich Art. 113 Abs. 3 KI-VO bezieht. Vom bloßen Wortlaut her könnte die Bestimmung so verstanden werden, dass für die Anbieter erst ab dem genannten Zeitpunkt sämtliche Pflichten der KI-VO gelten. Nach Sinn und Zweck dürften damit aber nur die Anbieterpflichten aus Kapitel 5 Abschnitt 2 und 3 KI-VO gemeint sein.
Fristen spiegeln risikobasierten Ansatz wider
Die KI-VO erhält ein komplexes System von Fristen und Übergangsregelungen. Dieses ist im Wesentlichen Ausdruck des risikobasierten Ansatzes, der die KI-VO durchzieht. Hinsichtlich der Bestandsschutzregelungen besteht derzeit zum Teil noch erhebliche Rechtsunsicherheit. Insofern bleibt zu hoffen, dass die Europäische Kommission zeitnah entsprechende Leitlinien erlässt, um mehr Klarheit zu schaffen.
Vereinfacht kann dieses Fristensystem wie folgt dargestellt werden:
Haben Sie Anregungen zu weiteren Themen rund um KI, die in unserer Blog-Serie „Künstliche Intelligenz“ nicht fehlen sollten? Schreiben Sie uns gerne über blog@cms-hs.com.
Unseren englischsprachigen Ausblick auf die KI-VO finden Sie hier: Looking ahead to the EU AI Act (cms.law).
* Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
