Das EU-Parlament hat seine Verhandlungsposition zur KI-VO verabschiedet. Nun müssen sich die europäischen Institutionen auf einen endgültigen Text einigen.
Die Europäische Union (EU) schickt sich an, den Einsatz von Künstlicher Intelligenz (KI) stark zu regulieren. Bereits 2020 hatte die Kommission in ihrem Weißbuch zur KI eine klare Zielvorstellung für KI in Europa formuliert: Einerseits will die EU die Entwicklung und Nutzung von KI fördern, um Europas Position als globales Zentrum für Exzellenz in der KI zu stärken. Andererseits sollen die mit der Technologie einhergehenden Gefahren eingedämmt und sichergestellt werden, dass nur vertrauenswürdige KI-Systeme zum Einsatz kommen. Dies ist ein schwieriger Spagat, wie das Ringen der EU-Institutionen um eine gemeinsame Fassung zeigt.
Die EU-Kommission hatte am 21. April 2021 den weltweit ersten Vorschlag eines Rechtsrahmens für KI vorgelegt. Seitdem hat das geplante Gesetz über KI (KI-Verordnung, AI Act) das Gesetzgebungsverfahren der EU weiter durchlaufen und Änderungen durch den Rat der EU (Rat) und das Europäische Parlament (Parlament) erfahren. Insbesondere die am 14. Juni 2023 verabschiedete Verhandlungsposition des Parlaments sieht wesentliche Änderungen am ursprünglichen Entwurf der Kommission vor.
Einige der wichtigsten Änderungsvorschläge des Parlaments zum Entwurf der KI-Verordnung werden im Folgenden dargestellt:
Ausweitung der Liste verbotener KI-Systeme
Bestimmte KI-Systeme, die eine klare Bedrohung für die Sicherheit, die Lebensgrundlagen und die Rechte der Bürger darstellen, sollen verboten werden (Art. 5). Dieses Verbot geht auf den ursprünglichen Entwurf der Kommission zurück. Das Parlament hat die Liste der verbotenen KI-Systeme aber nunmehr noch einmal deutlich erweitert.
Nach dem Entwurf der Kommission sollte bspw. die Nutzung von biometrischen Echtzeit-Fernidentifizierungssysteme (etwa Videoüberwachung mit automatisierter Gesichtserkennung) zur Rechtsdurchsetzung im öffentlich zugänglichen Raum grundsätzlich verboten werden. Es waren aber einige Ausnahmeregelungen vorgesehen – namentlich die Nutzung durch Polizei- und Sicherheitsbehörden zur Suche nach Verbrechensopfern, zur Abwendung von Terroranschlägen oder zur Verfolgung von schweren Straftaten. Nach der Position des Parlaments sollen biometrische Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen nun ausnahmslos verboten sein (Art. 5 Abs. 1 lit. d). Gleiches gilt unter anderem auch für KI-Systeme zur Analyse von aufgezeichnetem Bildmaterial öffentlich zugänglicher Räume für die nachträgliche biometrische Fernidentifizierung (Art. 5 Abs. 1 lit. dd).
Bei Missachtung des Verbots der in Art. 5 genannten Praktiken sieht der Vorschlag des Parlaments nunmehr Geldbußen von bis zu 40 Mio. EUR oder – im Falle von Unternehmen – von bis zu 7 % des gesamten weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist (Art. 71 Abs. 3).
Änderung der Voraussetzungen für die Klassifizierung als Hochrisiko-KI-System
Für KI-Systeme, deren Einsatz ein hohes Risiko für die Gesundheit oder Sicherheit oder auch eine Beeinträchtigung der Grundrechte (Privatsphäre, Nichtdiskriminierung, Datenschutz etc.) mit sich bringt, sollen auch nach den Vorstellungen des Parlaments strenge Vorgaben gelten. Aber während die Kommission noch etwas weitergehender vorgeschlagen hatte, neben bestehender sektorspezifischer Regulierung (vgl. Anhang II) auch alle KI-Systeme automatisch als „hochriskant″ einzustufen, die unter bestimmte in Anhang III genannte Bereiche und Anwendungsfälle fallen, haben sowohl der Rat als auch das Parlament für eine solche Klassifizierung als Hochrisiko-KI-System zusätzliche Voraussetzungen aufgenommen. Nach der Position des Parlaments sollen die in Anhang III genannten KI-Systeme nur dann als hochriskant eingestuft werden, wenn sie ein „erhebliches Risiko″ für die Gesundheit und Sicherheit oder die Grundrechte von Personen – oder in einigen Fällen für die Umwelt – darstellen (Art. 6 Abs. 2). Um diese Voraussetzung näher zu konkretisieren, soll die Kommission hiernach Leitlinien erlassen, die festlegen, unter welchen Umständen von einem erheblichen Risiko in diesem Sinne auszugehen ist.
Daneben hat das Parlament die Liste in Anhang III erweitert. Neu aufgenommen wurden etwa KI-Systeme, die für Entscheidungen über eine Kranken- oder Lebensversicherung verwendet werden sollen oder KI-Systeme, die von Social-Media-Plattformen genutzt werden, um Nutzern* der Plattform verfügbare nutzergenerierte Inhalte zu empfehlen.
Weitere Verschärfung der Pflichten für die Betreiber von Hochrisiko-KI-Systemen
Die im Vorschlag des Parlaments vorgesehenen Verantwortlichkeiten und Pflichten für Betreiber von Hochrisiko-KI-Systemen (im ursprünglichen Vorschlag der Kommission war insoweit noch von „Nutzern“ die Rede) gehen weit über die bisher vorgesehenen Regelungen hinaus. Aus dem ursprünglichen Entwurf der Kommission stammen etwa noch die Verpflichtungen, die hochriskanten KI-Systeme ausschließlich entsprechend der den Systemen beigefügten Gebrauchsanweisungen zu nutzen (Art. 29 Abs. 1), die Relevanz von Eingabedaten im Hinblick auf die bestimmungsgemäßen Verwendungszwecke von hochriskanten KI-Systemen sicherzustellen (Art. 29 Abs. 3) sowie den Betrieb der Hochrisiko-KI zu überwachen (Art. 29 Abs. 4). Die Position des Parlaments sieht nun zusätzlich vor, dass die Betreiber Endnutzer darüber informieren müssen, dass sie einem KI-System mit hohem Risiko ausgesetzt sind und ihnen eine Beschwerdemöglichkeit zusteht (Art. 29 Abs. 6a). Die wohl größte Veränderung für die Betreiber von Hochrisiko-KI-Systemen dürfte sich jedoch aus der neuen Verpflichtung ergeben, eine Folgenabschätzung im Hinblick auf die Grundrechte der betroffenen Personen durchzuführen, bevor das Hochrisiko-KI-System in Betrieb genommen wird (Art. 29a Abs. 1).
Die Folgenabschätzung soll nach dem Vorschlag des Parlaments als Faktoren unter anderem den beabsichtigten Verwendungszweck, den geplanten geografischen und zeitlichen Anwendungsbereich, die Kategorien von wahrscheinlich betroffenen Personen, die Vereinbarkeit der Nutzung des Systems mit den einschlägigen EU- und nationalen Rechtsvorschriften sowie die nach vernünftigem Ermessen vorhersehbaren Auswirkungen auf die Grundrechte einbeziehen.
Zudem müssten Betreiber von Hochrisiko-KI-Systemen einen detaillierten Plan erstellen, wie die Schäden und negativen Auswirkungen auf die Grundrechte abgemildert werden sollen. Liegt ein solcher Plan zur Abmilderung der im Rahmen der Folgenabschätzung für die Grundrechte dargelegten Risiken nicht vor, müsste der Betreiber von der Inbetriebnahme des Hochrisiko-KI-Systems absehen (Art. 29a Abs. 2). Der Vorschlag des Parlaments fordert schließlich auch, dass Betreiber der als hochriskant klassifizierten KI-Systeme im Verlauf der Folgenabschätzung die nationalen Aufsichtsbehörden benachrichtigen und die einschlägigen Interessengruppen konsultieren müssen (Art. 29a Abs. 4; mehr zu Hochrisiko-KI-Systemen erfahren Sie zeitnah in unserem Blog und der Blog-Serie „Künstliche Intelligenz″ ).
Neue Verpflichtungen für Anbieter von sog. Basismodellen
Der Rat hatte in seinem Änderungsvorschlag erstmals spezifische Regelungen zu sog. Basismodellen vorgesehen. Darunter sind KI-Systemmodelle zu verstehen, die auf einer breiten Datenbasis trainiert wurden, auf eine allgemeine Ausgabe ausgelegt sind und an ein breites Spektrum unterschiedlicher Aufgaben angepasst werden können (so nun Art. 3 Abs. 1c). Aufgrund der vielfältigen Wiederverwendungsmöglichkeiten in „in zahllosen nachgelagerten KI- oder Allzweck-KI-Systemen″ sind diese Basismodelle von wachsender Bedeutung (vgl. Erwägungsgrund 60e).
Das Parlament sieht mit Blick auf die Pflichten für Anbieter von Basismodellen nun vor, dass diese spezifische Leitplanken in Bezug auf Data Governance, Risikomanagement, Modellbewertung, Energieeffizienz und Qualitätsmanagement einhalten müssen (Art. 28b). Ferner haben Anbieter von Basismodellen nach dem Vorschlag des Parlaments „umfassende technische Dokumentation und verständliche Gebrauchsanweisungen″ bereitzustellen, um den Anbietern von nachgelagerten Hochrisiko-KI-Systemen, die auf dem Basismodell beruhen, bei der Erfüllung ihrer rechtlichen Verpflichtungen zu helfen (Art. 28b Abs. 2e). Schließlich müssen sie Vorkehrungen gegen die Erzeugung von Inhalten treffen, die gegen bestehende Gesetze verstoßen.
Betreiber von generativen KI-Systemen, die auf solchen Basismodellen beruhen, müssen zunächst allgemeine Transparenzpflichten erfüllen und offenlegen, dass die Inhalte KI-generiert sind. Weiterhin müssen sie dafür sorgen, dass keine rechtswidrigen Inhalte erzeugt werden, und detaillierte Zusammenfassungen der urheberrechtlich geschützten Daten veröffentlichen, die sie zu Trainingszwecken verwendet haben (Art. 28b Abs. 4).
Stärkung der Betroffenenrechte
Der Entwurf des Parlaments sieht erstmals das Recht von Einzelpersonen oder Personengruppen vor, bei den nationalen Aufsichtsbehörden Beschwerden über mutmaßliche Verstöße gegen die KI-Verordnung einzureichen (Art. 68a Abs. 1). Eine solche Beschwerdemöglichkeit gegenüber den Aufsichtsbehörden ist im Grundsatz bereits aus dem Datenschutzrecht bekannt (Art. 77 DSGVO). Allerdings geht der Entwurf der KI-Verordnung des Parlaments noch einen Schritt weiter, indem er dieses Recht nicht nur für Einzelpersonen, sondern auch für Personengruppen vorsieht. Zudem soll betroffenen Personen das Recht eingeräumt werden, von den Betreibern eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess, zu den wichtigsten Parametern und zu den zugehörigen Eingabedaten verlangen zu können (Art. 68c Abs.1).
Nächste Schritte bis zum Inkrafttreten der KI-Verordnung
Zur Finalisierung der KI-Verordnung ist eine weitere Abstimmung zwischen Parlament, Rat und Kommission erforderlich (sog. Trilog). Erste Trilogverhandlungen haben bereits stattgefunden. Mit Blick auf die teils sehr unterschiedlichen Positionen der verschiedenen Institutionen lässt sich nicht sicher prognostizieren, wie lange es dauern wird, bis die finale Fassung der KI-Verordnung feststeht. Überwiegend wird jedoch eine Finalisierung bis Ende 2023 oder Anfang 2024 erwartet. Die KI-Verordnung wird dann aller Voraussicht nach mit einer Übergangsfrist von 24 Monaten in Kraft treten und in den EU-Mitgliedstaaten unmittelbar gelten. Sollte vor der Europawahl im Juni 2024 keine Einigung erzielt werden können, könnte sich das Inkrafttreten allerdings auch noch weiter verzögern.
Auch wenn bis zur unmittelbaren Geltung der KI-Verordnung mithin noch einige Zeit ins Land gehen wird, sind Unternehmen – nicht zuletzt im Hinblick auf die hohen Sanktionsandrohungen – gut beraten, sich frühzeitig mit den geplanten rechtlichen und technischen Herausforderungen des neuen Rechtsrahmens zu befassen. Das lehren nicht zuletzt die Erfahrungen mit der DSGVO. Auch die fortschreitende Verbreitung von KI macht eine sorgfältige und frühzeitige Befassung mit der neuen Rechtslage erforderlich. Insbesondere sollten Unternehmen die Auswirkungen der KI-Verordnung auf sämtliche bereits laufende und geplante KI-Projekte prüfen.
In unserem CMS-Blog halten wir Sie in unserer Blog-Serie „Künstliche Intelligenz“ fortlaufend mit aktuellen Beiträgen zu diesen Themen auf dem Laufenden. Sie können diese Blog-Serie über den RSS-Feed abonnieren und werden von uns über neue Beiträge benachrichtigt. Im Rahmen dieser Blog-Serie sind bereits Beiträge erschienen zu Themen wie: Künstliche Intelligenz und der Journalismus der Zukunft; Endspurt für die Regulierung von KI; Verbotene Praktiken und Hochrisiko-KI-Systeme; Hochrisiko-KI-Systeme als regulatorischer Schwerpunkt; Pflichten entlang der Wertschöpfungskette und für Anbieter von Basismodellen; Transparenzpflichten, Rechte für Betroffene, AI Office und Sanktionen sowie Robo Advisor. Weitere Informationen finden Sie zudem auf unserer Insight-Seite: Implikationen für Künstliche Intelligenz und Recht | CMS Deutschland.
Haben Sie Anregungen zu weiteren Themen rund um KI, die in unserer Blog-Serie „Künstliche Intelligenz“ nicht fehlen sollten? Schreiben Sie uns gerne über blog@cms-hs.com.
*Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
