EU-Kommission: Artificial Intelligence Act (AI Act) Strengere Regeln bei der Anwendung von KI

Anbieter zum Thema

Fsas Technologies GmbH

Impossible Cloud GmbH

Zadara Ltd.

Die Grundzüge des AI Act liegen auf dem Tisch. Ist der Kompromiss der langersehnte Schritt hin zu einer einheitlichen Regulierung oder wurde ein neues Bürokratiemonster geschaffen? Ist der Weiterentwicklung der Künstlichen Intelligenz die Zukunft verbaut?

Nach zweieinhalb Jahren zäher Verhandlungen liegt nun das weltweit erste KI-Gesetz vor. Der sogenannte Trilog, bestehend aus Unterhändlern des EU-Parlaments, EU-Staaten und EU-Kommission, einigte sich nach einem Verhandlungsmarathon auf Grundzüge des geplanten Artificial Intelligence Act. EU-Binnenmarktkommissar Thierry Breton bezeichnete die Einigung bereits als „historisch“ und als „Startrampe für europäische Start-Ups und Forscher, um das globale KI-Wettrennen anzuführen“. Doch das Ergebnis ist durchaus kontrovers und der Teufel steckt bekanntlich im Detail. Zwar folgt die Einigung dem Ruf nach einer einheitlichen Regulierung bei der Nutzung von KI. Andererseits befürchten viele Unternehmen, dass die Regulierung der Weiterentwicklung der Technologie im Wege steht.

Die vier neuen Risikoklassen

Die Vorschriften sollen sicherstellen, dass die Qualität der für die Entwicklung von Algorithmen genutzten Daten gewährleistet ist. Zudem soll verhindert werden, dass während des KI-Entwicklungsprozesses keine Urheberrechtsverletzungen auftreten. Der Ansatz des AI Act ist risikobasiert. Je höher die Klasse, desto mehr Nachweispflichten bestehen. Unter anderem maßgeblich für die Einteilung eines Anbieters ist die Rechenleistung der Basismodelle. Die Grenze für „systemisch riskante“ Modelle liegt bei 10²⁵ FLOPS (Floating Point Operations). Ein ziemlicher hoher Wert, der im Moment wohl nur von amerikanischen Anbietern erreicht werden kann. KI-Technologien werden somit in die folgenden vier Risikoklassen eingeteilt:

• Risikoarme Systeme: Hierzu zählt der Großteil an KI-Anwendungen. Nutzer dieser Anwendungen müssen darüber informiert werden, dass sie mit einer KI interagieren. Weitere Anforderungen bestehen nicht.

• Begrenzt riskante Systeme:. Künstliche Intelligenz für weniger kritische Bereiche wie Chatbots im Servicebereich. Hierunter fallen auch KI-Basismodelle wie z.B. GPT-4, der Basis für ChatGPT. Für die Anbieter gelten Transparenz- und Kennzeichnungspflichten. Die EU-Urheberrechtsbestimmungen müssen eingehalten und eine technische Dokumentation ist verpflichtend. Weiterhin muss offengelegt werden, dass Inhalte durch KI generiert werden. Die Anwendung darf keine illegalen Inhalte erstellen. Und es muss ersichtlich sein, welche urheberrechtlich geschützten Daten genutzt wurden, um die Modelle zu trainieren.

• Hochrisiko-Systeme: KI-Systeme, die potenziell negative Auswirkungen auf Sicherheit oder Grundrechte haben. Anwendungen in sensiblen oder systemkritischen Bereichen fallen in diese Kategorie.

• Systeme mit unannehmbarem Risiko: Anwendungen in dieser Kategorie sind laut der Einigung komplett verboten. Gemeint sind Systeme, die Menschen aufgrund ihres Verhaltens, sozioökonomischer Merkmale oder biometrischer Daten einsortieren. Darunter fällt auch die breit diskutierte Gesichtserkennung

Gesichtserkennung gegen böse Buben

Bei der Verfolgung schwerer Straftaten behält sich der geplante AI Act aber eine Ausnahme vor. Biometrische Identifizierungssysteme im öffentlichen Raum sind erlaubt, wenn eine gerichtliche Genehmigung vorliegt. Diese Form der Echtzeit-Identifizierung wurden im Vorfeld von vielen Seiten kritisch betrachtet. Auch beim Verband der Internetwirtschaft eco sieht man das so und hätte sich gewünscht, dass der Trilog diesen Teil der Einigung ausgespart hätte. Vorstandvorsitzender Oliver Süme kommentiert dazu:

„Der Verzicht auf ein vollständiges Verbot biometrischer Echtzeit-Identifizierung im öffentlichen Raum dürfte zu einem weiteren Vertrauensverlust im Zusammenhang mit KI in der Bevölkerung führen und die Akzeptanz gegenüber neuen digitalen Technologien weiter schwächen.“ Süme hofft vor allem, dass sich mit dem AI Act nicht Fehler aus der Vergangenheit, wie sie zum Beispiel bei der Datenschutzgrundverordnung gemacht wurden, wiederholen. Die Schaffung eines innovativen KI-Ökosystems sollte dadurch nicht blockiert werden. „Die EU wollte Vorreiter in Sachen KI-Regulierung sein – ob sie dem Digital und KI-Standort Europa mit der nun vorgelegten Einigung zum Europäischen AI Act einen Gefallen getan hat, darf allerdings bezweifelt werden. Ich bedaure insbesondere, dass es Deutschland, Frankreich und Italien nicht gelungen ist, sich mit ihrem Code-of-Conduct-Ansatz bei der Regulierung von Foundation Models und generativer KI gegen das Europäische Parlament durchzusetzen“, zeigt sich Süme ernüchtert.

Gemischte Reaktionen

Aus rechtlicher Perspektive bleibt für Unternehmen beim Thema KI in Zukunft also Vorsicht geboten. „Die Anforderungen an die Dokumentation steigen enorm: Wer KI-Modelle ohne Unterstützung der Rechtsabteilung entwickelt, entwickelt umsonst und verliert damit wertvolle Zeit in einem sehr kompetitiven Markt. Die KI-Verordnung zeigt: Mittelfristig durchsetzen werden sich nur Anbieter, die Compliance-by-Design berücksichtigen. Die Übrigen werden vom Markt wieder verschwinden“, prognostiziert Dr. Markus Kaulartz von der internationalen Wirtschaftskanzlei CMS. Doch Kaulartz sieht den AI Act auch als positiven Schritt in die richtige Richtung: „Die Befürchtung ist, dass KI-Anbieter künftig einen Bogen um die EU-Regulierung machen. Das Gegenteil wird aber der Fall sein: Wie so häufig wird auch diese EU-Verordnung eine Blaupause für die weltweite Regulierung sein.“ So wünschen es sich natürlich auch die Trilog-Parteien. Das weltweit erste KI-Gesetz soll den europäischen Raum schließlich in eine Vorreiterrolle bei der Weiterentwicklung der Technologie manövrieren. Welche Auswirkungen die Einigung auf Regulierungsansätze aus den USA, Indien oder China haben werden, bleibt abzuwarten. Die Vermutung liegt jedoch nahe, dass insbesondere China sich wenig für das Regelwerk interessieren und einen Wettbewerbsvorsprung wittern wird. Zumindest in den USA gibt es mit der „Blueprint for an AI Bill of Rights“ Versuche, der Technologie ein verantwortungsvolles Regelwerk zu geben, welches mit ähnlichen Zielsetzungen, jedoch deutlich sanfter und weniger restriktiv geplant ist.

Unternehmen, die in der EU gegen die Regulierungen des AI Act verstoßen, haben jedenfalls mit Strafen zu rechnen. Der Strafenkatalog errechnet sich ähnlich wie bei der europäischen DSGVO je nach Verstoß prozentual nach dem Jahresumsatz. Verwendet ein Unternehmen verbotene KI-Anwendungen, werden 35 Millionen Euro oder 7 Prozent des Jahresumsatzes fällig. 15 Millionen Euro bzw. 3 Prozent des Umsatzes stehen auf Verstöße gegen die Verpflichtungen des AI Act und 7,5 Millionen Euro oder 1,5 Prozent gibt es für die Erteilung von Falschauskünften.

Die Geburt eines Bürokratiemonsters?

Der Ruf nach einer einheitlichen Regulierung bei KI-Anwendungen ist seit einigen Jahren klar zu vernehmen. Doch der neue AI Act vermittelt durchaus den Eindruck, dass die Mitglieder des Trilogs mit dem Regelwerk an einigen Stellen über das Ziel hinausgeschossen sind und mit bürokratischen Hürden der KI-Innovation Steine in den Weg legen. Ähnlich sieht es auch Viacheslav Gromov, CEO bei AITAD, der in seinem Unternehmen zur Entwicklung von lokalen KI-Lösungen für Industrieanlagen, selbst KIs trainiert und entwickelt: „Wir werden sehen, welche Abwanderung oder Hürden durch den Bürokratiewust der Dokumentation, technische Nachweise und Datenbank-„Transparenz“ wir bekommen – da freuen sich manche geopolitisch.“ Er befürchtet, dass sich die jungen europäischen KI-Hoffnungsträger wie Aleph Alpha oder das französische Start-up Mistral sich aufgrund der neuen Regulierungen aus dem Markt zurückziehen: „Entweder es wird ein kämpfender Abgang der jungen Branche sein oder manche werden, gerade solche wie Aleph Alpha, abziehen, was deren Rettung sein kann.“ Sowohl Aleph Alpha als auch Mistral reißen übrigens die bereits erwähnte Grenze der Rechenleistung nicht und werden zumindest nicht in die Gruppe der systemisch riskanten Modelle einsortiert. Auch Open-Source-Modelle sind von der strikten Regulierung nicht betroffen. Ob sich die Bewertung von Risiken bei der Anwendung von KI mit der bloßen Rechenleistung oder der Frage nach Closed-Source-Modell oder Open-Source-Modell eignet, sei mal dahingestellt. Fest steht, dass jedes Unternehmen, das plant Basismodelle zu entwickeln, nun mit dem AI Act nachweisen müssen, wie die eigenen Modelle trainiert werden. Das ist unabhängig von der Risikogruppeneinteilung. Laut Trilog-Parteien soll so eine größtmögliche Transparenz erzielt werden, die sich Nutzer besonders bei der generativen KI wünschen. Bernd Greifeneder, CTO von Dynatrace, möchte diesem Wunsch mit Aufklärung begegnen:

„Auf der Suche nach mehr Transparenz im Bereich der generativen KI wird es wichtig sein, aufzuzeigen, wie diese mit anderen, besser erklärbaren Formen der KI – wie kausaler beziehungsweise prädiktiver KI – kombiniert werden können. Denn diese Arten der KI unterscheiden sich grundlegend von generativen Modellen, da sie keinem probabilistischen Ansatz folgen. Stattdessen sind sie auf Präzision ausgelegt und verwenden Graphen-basierte und statistische Modelle, die bereichsspezifische, kontextbezogene Daten nutzen.“ Dadurch würden sie sich besser für spezielle Anwendungsfälle eignen und resistenter gegen Halluzinationen und Verzerrungen sein, so Greifeneder. „Sie sind außerdem so konzipiert, dass sie transparent sind, sodass die Nutzer darauf vertrauen können, dass die von ihnen generierten Antworten zu einer zuverlässigen Automatisierung führen, anstatt dass diese Erkenntnisse in der 'Blackbox' der KI verborgen bleiben. Der EU AI Act wird einen guten Start haben, wenn es Klarheit über diese wichtigen Unterschiede zwischen KI-Modellen schafft.“

Damit der Start nicht ähnlich wie bei der DSGVO ins Stocken gerät, brauchen die Unternehmen schnelle Unterstützung bei der Umsetzung des AI Act. Beim Digitalverband Bitkom sieht man bei gelungener Umsetzung durchaus gute Chancen bei der Entwicklung der KI in der EU: „Die Herausforderung ist, in der Praxis eine echte Balance zwischen Risikomanagement und Förderung von Innovation herzustellen“. Dann habe Europa die Chance, „eine Vorreiterrolle bei der ethischen und verantwortungsvollen Entwicklung von KI einzunehmen“, sagt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder. Gelingt dies nicht, handele es sich bei dem AI Act lediglich um einen „politischen Schaufenster-Erfolg zu Lasten von Wirtschaft und Gesellschaft“.

Die KI-Verordnung wurde im Rahmen der EU-Digitalstrategie ausgearbeitet. Vieles hängt auch noch von Detailformulierungen ab. Der endgültige, formale Beschluss des AI Act soll im kommenden Jahr erfolgen. In Kraft treten kann er dann nach zwei Jahren, also frühestens 2026.

Neue Regeln zu KI von EU-Parlament

Der EU AI Act will die Arbeit mit KI regeln

Aleph Alpha

Der KI-Hoffnungsträger aus Deutschland

(ID:49836560)