Durchführungsgesetz zur europäischen KI-Verordnung beschlossen

Die im Juni 2024 verabschiedete europäische KI-Verordnung (AI Act) ist der weltweit erste umfassende Rechtsrahmen zur Regulierung von Künstlicher Intelligenz. Sie verfolgt einen risikobasierten Ansatz, bei dem KI‑Systeme je nach Gefährdungspotenzial in unterschiedliche Risikoklassen eingeteilt werden – von minimalem Risiko bis hin zu verbotenen Anwendungen. Ziel der Verordnung ist es, Innovation zu ermöglichen, gleichzeitig aber Grundrechte, Sicherheit und Transparenz zu schützen. Besonders strenge Anforderungen gelten für sogenannte Hochrisiko‑KI, etwa in den Bereichen Personalwesen, Kreditvergabe oder kritische Infrastrukturen.

Vorgaben für KI-Systeme

Die EU‑Verordnung definiert abgestufte Vorgaben abhängig vom jeweiligen Risikoniveau von KI‑Systemen. Einige Anwendungen sind grundsätzlich untersagt, wie der Einsatz von Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen sowie die Gesichtserkennung im öffentlichen Raum. Für Strafverfolgungsbehörden sind jedoch Ausnahmen vorgesehen. 

Unternehmen sind verpflichtet, ihre KI‑Systeme zu prüfen und – je nach Risikokategorie – entsprechende Transparenz‑ und Sicherheitsanforderungen einzuhalten. 

Der Risikobewertungsprozess im Rahmen der EU‑KI‑Verordnung (AI Act) erfolgt strukturiert und orientiert sich am potenziellen Einfluss eines KI‑Systems auf Menschen, Grundrechte und Sicherheit. 

• Einordnung des KI‑Systems
  Zunächst wird geprüft, ob es sich überhaupt um ein KI‑System im Sinne der Verordnung handelt und in welchen Risikobereich es fällt (unzulässiges Risiko, hohes Risiko, begrenztes oder minimales Risiko).
• Analyse des Einsatzkontexts
  Entscheidend ist nicht nur die Technik, sondern auch wo und wofür das System eingesetzt wird (z.B. Personalentscheidungen, Kreditvergabe, Überwachung). Der Anwendungskontext kann das Risiko deutlich erhöhen oder senken.
• Bewertung potenzieller Risiken
  Unternehmen müssen mögliche Auswirkungen auf Grundrechte, Sicherheit, Gesundheit und Datenschutz, etwa Diskriminierung, Fehlentscheidungen oder mangelnde Nachvollziehbarkeit analysieren.
• Risikoklassifizierung
  Auf Basis dieser Analyse wird das System einer Risikokategorie zugeordnet. Hochrisiko‑KI unterliegt besonders strengen Anforderungen, während für geringes Risiko kaum Pflichten bestehen.
• Festlegung und Umsetzung von Maßnahmen
  Je nach Risikostufe müssen geeignete technische und organisatorische Maßnahmen umgesetzt werden, z.B. Transparenzpflichten, menschliche Aufsicht, Qualitäts‑ und Sicherheitsmechanismen oder eine umfassende Dokumentation.
• Kontinuierliche Überprüfung
  Die Risikobewertung ist kein einmaliger Schritt. Systeme müssen laufend überwacht und bei Änderungen (z.B. neuer Einsatzzweck oder neue Daten) erneut bewertet werden.

Zuständigkeiten und Medienaufsicht

Die Bundesnetzagentur wird eine zentrale Rolle übernehmen. Dort soll ein Koordinierungs- und Kompetenzzentrum entstehen, welches die KI-Expertise zentral bündelt und sie anderen Behörden zur Verfügung stellt und Informationen für Unternehmen bietet. Auch die Innovationsförderung wird Aufgabe der Bundesnetzagentur sein: So soll sie unter anderem mindestens ein KI-Reallabor einrichten, in dem innovative KI-Systeme getestet werden können.