Eine neue europäische Regulierung für künstliche Intelligenz

Die EU Kommission hat am 21. April 2021 einen weitreichenden Verordnungsentwurf zur Regulierung künstlicher Intelligenz („KI“) veröffentlicht. Das Ziel des Gesetzesvorhabens ist es, den EU-Binnenmarkt als Vorreiter für die Entwicklung sicherer, vertrauenswürdiger und innovativer KI zu positionieren.

Was ist KI?

Der Gesetzesentwurf definiert KI-Systeme als Software, die mit einer oder mehreren Techniken und Verfahren (insbesondere maschinelles Lernen, logik- und wissensbasierte Verfahren und statistische Verfahren) entwickelt wurde und die für durch den Menschen vorgegebene Ziele Ergebnisse erzeugen kann, wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen, welche die Umgebung, mit der sie interagieren, beeinflussen. Diese Definition von KI-Systemen ist recht weit, was zwar einerseits Flexibilität im Hinblick auf den rasanten technischen Fortschritt bei KI-Systemen ermöglicht, allerdings auch für Entwickler, Betreiber und Nutzer von KI-Systemen mit Rechtsunsicherheit verbunden sein wird.

Unterscheidung nach Risikostufen

Je nachdem, welche Risiken mit dem KI-System verbunden sind, unterliegen diese unterschiedlich strengen regulatorischen Vorgaben:

• Besonders gefährliche KI-Systeme sind verboten. Dies betrifft z. B. KI, die menschliches Verhalten manipuliert oder die Bewertung sozialen Verhaltens durch Behörden (Social Scoring) zum Gegenstand hat.
• KI mit hohem Risiko: Hierunter fallen insbesondere KI-Systeme, mit denen ein Produktsicherheitsrisiko verbunden ist. Beispiele hierfür dürften KI-Systeme für autonomes Fahren, Drohnen oder Medizintechnik sein. Ein weiteres Beispiel sind KI-Systeme, die zur biometrischen Fernidentifizierung von Personen verwendet werden sollen. Der Gesetzesentwurf enthält zudem eine Liste, in der KI-Systeme mit hohem Risiko aufgeführt sind und die dynamisch an die Entwicklung neuer KI-Systeme angepasst werden kann. Bei KI-Systemen mit hohem Risiko bestehen erhebliche Pflichten für den Betreiber des KI-Systems. Diese betreffen u. a. die Qualität der Daten, die Genauigkeit und Robustheit des KI-Systems sowie Pflichten zur Dokumentation, Rückverfolgbarkeit, Transparenz und die Sicherstellung menschlicher Aufsicht. Vor Inverkehrbringen in die EU müssen KI-Systeme zudem einer Konformitätsbewertung unterzogen werden, um nachzuweisen, dass das KI-System den Anforderungen der Verordnung entspricht. 
• KI mit geringem Risiko: Bei KI-Systemen mit geringem Risiko bestehen Transparenzverpflichtungen. KI-Systeme müssen grundsätzlich so konzipiert sein, dass natürliche Personen darüber informiert werden, dass sie mit einem KI-System interagieren.
• KI mit minimalem Risiko: Für KI-Systeme mit minimalem Risiko sieht der Verordnungsentwurf keine zusätzlichen regulatorischen Vorgaben vor.

Wen betreffen die Vorgaben?

Der personale Anwendungsbereich des neuen Regulierungsrahmens ist ebenfalls sehr weit. Adressaten des Verordnungsentwurfs sind zum einen die Betreiber der KI-Systeme. Betreiber ist jeder, der ein KI-System entwickelt oder entwickeln lässt, um es unter eigenem Namen oder eigener Marke entgeltlich oder unentgeltlich in der EU in Verkehr zu bringen oder in Betrieb zu nehmen. Adressaten können damit auch Anbieter außerhalb der EU sein, wenn ihre KI-Systeme in der EU genutzt werden. Neben den Adressaten richtet sich der Verordnungsentwurf aber auch an Nutzer von KI-Systemen mit hohem Risiko. Ein Beispiel hierfür ist eine Bank, die ein solches KI-System erwirbt. Den Nutzer trifft dann die Pflicht, das KI-System ordnungsgemäß zu verwenden und technische und organisatorische Vorkehrungen zum Schutz vor den mit dem KI-System verbundenen Gefahren zu treffen. Schließlich gibt es Pflichten für Importeure und Händler von KI-Systemen mit hohem Risiko. Z. B. müssen Importeure sicherstellen, dass der Anbieter ein Konformitätsverfahren erfolgreich durchgeführt hat.

Wer setzt das neue Regulierungsrecht durch und was droht bei Verstößen?

Der Verordnungsentwurf sieht eine dezentrale Durchsetzung der Regulierungsvorschriften durch die Mitgliedsstaaten vor. Jeder Mitgliedstaat soll zumindest eine nationale Behörde benennen, welche die Anwendung und Umsetzung der Vorschriften beaufsichtigt und die Marktüberwachung wahrnimmt. Bei Verstößen drohen Bußgelder, die im Grundsatz von den Mitgliedstaaten festzulegen sind. Insbesondere bei Verstößen gegen das Inverkehrbringen und den Betrieb verbotener KI-Systeme sieht der Gesetzesentwurf jedoch selbst Bußgelder vor, und zwar von bis zu EUR 30 Mio. oder, wenn der Täter ein Unternehmen ist, bis zu 6 % seines gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist.

Was sind die nächsten Schritte?

Das Gesetzesvorhaben muss vom EU Parlament gebilligt werden und auch die Gesetzgebungsverfahren der EU Mitgliedstaaten durchlaufen. Mit einem Inkrafttreten des neuen Regulierungsrechts für KI ist nicht vor dem Jahr 2024 zu rechnen.