EU AI Act

Der EU AI Act ist die KI-Verordnung der Europäischen Union. Sie regelt nicht die Technik, sondern den Einsatz: Ein System wird nach dem Risiko seiner Anwendung eingeordnet, und aus dieser Einordnung folgen die Pflichten. Dasselbe Modell kann deshalb in einem Anwendungsfall unproblematisch und in einem anderen streng reguliert sein.

Wie ist der AI Act aufgebaut?

Vier Stufen, von oben nach unten.

Verboten sind wenige Praktiken, etwa soziale Bewertung von Menschen durch staatliche Stellen oder Emotionserkennung am Arbeitsplatz.

Hochrisiko ist die Stufe, die die meiste Arbeit macht. Dazu zählen unter anderem KI in der Personalauswahl, in der Kreditwürdigkeitsprüfung, in kritischer Infrastruktur und in Teilen der Produktsicherheit. Pflichten sind hier Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und ausdrücklich menschliche Aufsicht.

Transparenzpflichtig sind Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Wer mit einem Chatbot spricht, muss es erfahren können, und maschinell erzeugte Inhalte sind zu kennzeichnen.

Alles übrige unterliegt keinen besonderen Pflichten. Die meisten Anwendungen im Mittelstand, etwa Textentwürfe oder interne Suche, fallen in diese Kategorie.

Was heißt das praktisch?

Die erste Aufgabe ist Einordnung, nicht Umbau. Für jede geplante Anwendung ist zu beantworten, in welche Stufe sie fällt. Bei der Mehrheit ist die Antwort unaufgeregt, und diese Klarheit ist der eigentliche Gewinn.

Die zweite Aufgabe betrifft die Rolle. Wer ein KI-System entwickelt, hat andere Pflichten als wer eines einkauft und betreibt. Wird ein zugekauftes System allerdings deutlich umgebaut oder unter eigenem Namen angeboten, kann daraus die Anbieterrolle mit ihren strengeren Pflichten werden.

Die dritte betrifft Nachweise. Verlangt sind Dokumentation und Protokollierung, also genau die Dinge, die im Nachhinein kaum zu rekonstruieren sind. Sie gehören von Anfang an in die KI-Governance.

Was oft falsch verstanden wird

Der AI Act ersetzt die DSGVO nicht, er kommt dazu. Ein System kann nach dem AI Act unkritisch und datenschutzrechtlich trotzdem heikel sein.

Und er verbietet keine KI im Personalbereich, sondern verlangt dort Aufsicht und Dokumentation. Wer Human-in-the-Loop an der richtigen Stelle vorsieht, erfüllt einen wesentlichen Teil der Anforderung ohnehin.

Ebenfalls verbreitet ist die Annahme, die Verordnung gelte nur für Unternehmen, die KI entwickeln. Betreiber haben eigene Pflichten, unter anderem zur Aufsicht und zur Einweisung der Menschen, die mit dem System arbeiten.

Wie ihr die Einordnung praktisch angeht

Die Pflichten greifen gestaffelt über mehrere Jahre, weshalb der jeweils aktuelle Stand vor einer Entscheidung geprüft werden sollte. Die Vorarbeit ist davon unabhängig und lohnt sich in jedem Fall.

Sie besteht aus drei Schritten. Listet die geplanten und laufenden KI-Anwendungen auf, jeweils mit Zweck und betroffenen Personengruppen. Ordnet jede Anwendung einer Stufe zu und schreibt die Begründung dazu, denn diese Begründung ist später der Nachweis. Und klärt für jede Anwendung die Rolle: entwickelt, eingekauft, oder eingekauft und wesentlich verändert.

Bei der Mehrheit der Anwendungen im Mittelstand endet diese Prüfung ohne besondere Auflagen. Der Wert liegt darin, das belegen zu können, statt es zu vermuten. Diese Liste ist zugleich der Kern der KI-Governance.

Für die verbindliche Auslegung im Einzelfall ist juristische Beratung nötig. Dieser Eintrag ordnet den Begriff ein und ersetzt sie nicht.