Das Europäische Parlament hat kürzlich mit dem „AI-Act“ die weltweit erste staatliche Regulierung von KI verabschiedet. Die Verordnung soll die Entwicklung und den Einsatz von KI-Technologien maßgeblich regeln, indem sie Transparenz, Rechenschaftspflichten und Sicherheitsstandards vorschreibt. Ziel ist es, die Grundrechte der Bürgerinnen und Bürger zu schützen und ethisch vertretbare KI-Modelle zu fördern. CARMAO, Spezialist für organisationale Resilienz, zeigt auf, vor welchen Aufgaben Unternehmen jetzt stehen und wie sie dem AI-Act Rechnung tragen können.
Der AI-Act gilt in erster Linie für alle Anbieter von KI-Systemen, welche auf dem europäischen Markt angeboten werden. Der Begriff „Anbieter“ umfasst Personen oder Einrichtungen, die ein KI-System entwickeln und in Verkehr bringen. Auch Importeure, Händler und Nutzer unterliegen dem Gesetz, müssen in den meisten Fällen jedoch lediglich die erforderlichen Dokumentationsnachweise des Anbieters beschaffen.
Sicherheit, Transparenz und Ethik für KI-Technologien ein Muss
Die neue Verordnung unterteilt KI-Systeme in verschiedene Risikoklassen, abhängig von ihrem potenziellen Schadensrisiko: 1. Inakzeptables Risiko, 2. Hohes Risiko (Hochrisiko-KI-Systeme), 3. Begrenztes Risiko und 4. Niedriges Risiko. KI-Systeme mit einem hohen Risiko für die Demokratie, die Gesundheit oder die Sicherheit unterliegen besonders strengen Vorschriften und einer intensiven Überwachung.
Je nach Risikoklasse gelten unterschiedliche Auflagen und Vorschriften für die Entwicklung, Bereitstellung und Nutzung der KI-Systeme. Dies ermöglicht eine differenzierte Regulierung, um sicherzustellen, dass KI-Technologien sicher, transparent und ethisch verantwortlich eingesetzt werden. Diskriminierende KI-Modelle beispielsweise sollen damit vereitelt werden.
Ulrich Heun sagt: „Je höher das potenzielle Risiko eines KI-Systems, desto strenger sind die Auflagen wie beispielsweise Risikobewertungen, Dokumentationspflichten, EU-Konformitätserklärungen oder Monitoring auf Unternehmensseite. Das schließt auch Verbote für KI-Systeme mit besonders hohem Risiko ein. Dazu zählen unter anderem Systeme, die im großen Stil Gesichtserkennung mit öffentlich verfügbaren Bildern nutzen. Systeme mit erheblichem Schadenspotenzial werden ebenfalls streng reguliert, während andere, wie Chatbots, weniger Auflagen haben.“
ISO-Norm als Schlüssel zu Konformität
Der AI-Act führt zu Chancen, aber auch Herausforderungen, zum Beispiel für Anbieter von KI-Systemen. Diese sind verpflichtet, ein Risikomanagement-System einzuführen und die Anforderungen in puncto Datenqualität und -integrität zu erfüllen. Dabei kommen zahlreiche administrative Anforderungen auf die Anbieter zu, wie zum Beispiel die Sicherstellung von Qualität, (technischer) Dokumentation und proaktiver Information. Dabei gilt es, den EU-AI-Act inklusive der ISO 42001 durch den Einsatz eines geeigneten Managementsystems zu gewährleisten.
Für die Konformität mit dem AI-Act spielt die ISO 42001 eine maßgebliche Rolle. „Die Norm bietet sowohl Anbietern als auch Anwendenden einen umfassenden Rahmen für die Entwicklung, Bereitstellung und verantwortungsvolle Nutzung von KI-Systemen. Die Implementierung eines KI-Managementsystems nach ISO 42001 ermöglicht es Unter-nehmen, mit dem EU-KI-Gesetz und anderen relevanten Vorschriften in Einklang zu sein und potenzielle schwerwiegende Strafen zu vermeiden. Als Experte für organisationale Resilienz bieten wir entsprechende Beratung, um wesentliche Aspekte des AI-Acts umzusetzen“, erklärt Ulrich Heun.
Regelverletzungen haben finanzielle Konsequenzen
Verstöße gegen das KI-Gesetz können zu hohen Geldstrafen führen, teilweise in Millionenhöhe. Ein Beispiel: Unternehmen, die falsche Informationen über ihre KI-Modelle liefern, könnten mit Strafen von 1,5 Prozent ihres Umsatzes oder mindestens 7,5 Millionen Euro belegt werden. Mittelständische Unternehmen und Start-Ups können gemäß den aktuellen Gesetzesbestimmungen mit geringeren Strafen rechnen.
„Das KI-Gesetz zielt darauf ab, die Sicherheit aller zu gewährleisten. Da die neue Regelung mit einem gewissen Grad an Aufwand verbunden ist, gilt eine Übergangsfrist. Diese ermöglicht Unternehmen die Umsetzung und das Testen von Anwendungen ähnlich wie bei der EU-Datenschutz-Grundverordnung. Trotz der damit verbundenen Herausforderungen bietet das Gesetz eine wichtige Sicherheitsgrundlage für alle Bürgerinnen und Bürger“, sagt Ulrich Heun.
Der AI-Act gilt in erster Linie für alle Anbieter von KI-Systemen, welche auf dem europäischen Markt angeboten werden. Der Begriff „Anbieter“ umfasst Personen oder Einrichtungen, die ein KI-System entwickeln und in Verkehr bringen. Auch Importeure, Händler und Nutzer unterliegen dem Gesetz, müssen in den meisten Fällen jedoch lediglich die erforderlichen Dokumentationsnachweise des Anbieters beschaffen.
Sicherheit, Transparenz und Ethik für KI-Technologien ein Muss
Die neue Verordnung unterteilt KI-Systeme in verschiedene Risikoklassen, abhängig von ihrem potenziellen Schadensrisiko: 1. Inakzeptables Risiko, 2. Hohes Risiko (Hochrisiko-KI-Systeme), 3. Begrenztes Risiko und 4. Niedriges Risiko. KI-Systeme mit einem hohen Risiko für die Demokratie, die Gesundheit oder die Sicherheit unterliegen besonders strengen Vorschriften und einer intensiven Überwachung.
Je nach Risikoklasse gelten unterschiedliche Auflagen und Vorschriften für die Entwicklung, Bereitstellung und Nutzung der KI-Systeme. Dies ermöglicht eine differenzierte Regulierung, um sicherzustellen, dass KI-Technologien sicher, transparent und ethisch verantwortlich eingesetzt werden. Diskriminierende KI-Modelle beispielsweise sollen damit vereitelt werden.
Ulrich Heun sagt: „Je höher das potenzielle Risiko eines KI-Systems, desto strenger sind die Auflagen wie beispielsweise Risikobewertungen, Dokumentationspflichten, EU-Konformitätserklärungen oder Monitoring auf Unternehmensseite. Das schließt auch Verbote für KI-Systeme mit besonders hohem Risiko ein. Dazu zählen unter anderem Systeme, die im großen Stil Gesichtserkennung mit öffentlich verfügbaren Bildern nutzen. Systeme mit erheblichem Schadenspotenzial werden ebenfalls streng reguliert, während andere, wie Chatbots, weniger Auflagen haben.“
ISO-Norm als Schlüssel zu Konformität
Der AI-Act führt zu Chancen, aber auch Herausforderungen, zum Beispiel für Anbieter von KI-Systemen. Diese sind verpflichtet, ein Risikomanagement-System einzuführen und die Anforderungen in puncto Datenqualität und -integrität zu erfüllen. Dabei kommen zahlreiche administrative Anforderungen auf die Anbieter zu, wie zum Beispiel die Sicherstellung von Qualität, (technischer) Dokumentation und proaktiver Information. Dabei gilt es, den EU-AI-Act inklusive der ISO 42001 durch den Einsatz eines geeigneten Managementsystems zu gewährleisten.
Für die Konformität mit dem AI-Act spielt die ISO 42001 eine maßgebliche Rolle. „Die Norm bietet sowohl Anbietern als auch Anwendenden einen umfassenden Rahmen für die Entwicklung, Bereitstellung und verantwortungsvolle Nutzung von KI-Systemen. Die Implementierung eines KI-Managementsystems nach ISO 42001 ermöglicht es Unter-nehmen, mit dem EU-KI-Gesetz und anderen relevanten Vorschriften in Einklang zu sein und potenzielle schwerwiegende Strafen zu vermeiden. Als Experte für organisationale Resilienz bieten wir entsprechende Beratung, um wesentliche Aspekte des AI-Acts umzusetzen“, erklärt Ulrich Heun.
Regelverletzungen haben finanzielle Konsequenzen
Verstöße gegen das KI-Gesetz können zu hohen Geldstrafen führen, teilweise in Millionenhöhe. Ein Beispiel: Unternehmen, die falsche Informationen über ihre KI-Modelle liefern, könnten mit Strafen von 1,5 Prozent ihres Umsatzes oder mindestens 7,5 Millionen Euro belegt werden. Mittelständische Unternehmen und Start-Ups können gemäß den aktuellen Gesetzesbestimmungen mit geringeren Strafen rechnen.
„Das KI-Gesetz zielt darauf ab, die Sicherheit aller zu gewährleisten. Da die neue Regelung mit einem gewissen Grad an Aufwand verbunden ist, gilt eine Übergangsfrist. Diese ermöglicht Unternehmen die Umsetzung und das Testen von Anwendungen ähnlich wie bei der EU-Datenschutz-Grundverordnung. Trotz der damit verbundenen Herausforderungen bietet das Gesetz eine wichtige Sicherheitsgrundlage für alle Bürgerinnen und Bürger“, sagt Ulrich Heun.
