Bild von kalhh auf Pixabay

Für Unternehmen, die langfristig mit sogenannten „High-Risk AI-Systems“ arbeiten, könnte eine kürzlich geplante EU-Verordnung zur Regelung von künstlicher Intelligenz wichtig werden. Obwohl der Zeitpunkt ihres Inkrafttretens noch unklar ist, steht eines fest: Auf die Betroffenen kommt ein umfassender Pflichtenkatalog zu.

Dessen Beachtung sollte nicht auf die leichte Schulter genommen werden, da bei Verstößen ein Bußgeld von bis zu 20 Millionen Euro bzw. 4 Prozent des weltweiten Jahresumsatzes droht. Abgesehen davon, lohnt es sich langfristig gesehen bestimmte Aspekte der Verordnung zu beachten.

Grund für die Verordnung

Bereits seit Februar 2021 war abzusehen, dass der Einsatz von künstlicher Intelligenz verbunden mit einem hohen Risiko reguliert werden soll. Schon damals wurde angekündigt, dass sowohl Transparenz als auch Genauigkeit sowie die Dokumentation von Trainingsdaten und eine Aufsichtspflicht vorausgesetzt werden sollen. Seit April 2021 ist die offizielle, noch nicht beschlossene Fassung der EU-Verordnung öffentlich einsehbar. Im Gegensatz zur DSGVO beinhaltet die Verordnung kaum Öffnungsklauseln. Somit ist sie voraussichtlich frei von Richtlinienelementen und wirkt unmittelbar auf das nationale Recht. Dennoch können Mitgliedsstaaten einige Dinge mitbestimmen. Sei es die Wahl der Behörde zur nationalen Durchsetzung oder die konkrete Art der Sanktionen bei Verstößen.

Was sind „High-Risk AI-Systems“?

Abgesehen davon, dass die Nutzung von KI reguliert werden soll, sollen Unternehmen, die mit Hochrisiko-KI-Systemen arbeiten, von weiterreichenden Verpflichtungen betroffen sein. Doch was genau sind sogenannte „High-Risk AI-Systems"? Da sich die EU-Verordnung auf bereits bestehendes Recht wie das europäische Produktsicherheitsrecht bezieht, gelten KI-Systeme, die durch einen Dritten auf Konformität geprüft werden sollen, als Hochrisiko-KI. Zudem der Einsatz von künstlicher Intelligenz wie bei Kraftfahrzeugen oder der Luftfahrt generell als „High-Risk" gewertet werden. Gleichzeitig stellen KI Systeme, die zu einem bestimmten Zweck eingesetzt werden, laut Verordnung ebenfalls und unabhängig von der Produktsicherheit ein hohes Risiko dar. Dazu zählt, die Auswahl von Bewerbern, bei einer Bonitätsüberprüfung oder im Bereich der Strafverfolgung, bzw. als Hilfssysteme für  Richter, bei der Überprüfung von Visa wie auch dem Recht auf Asyl und beim Einsatz im Bereich kritischer Infrastrukturen wie der Gas-, Wasser- sowie der Elektrizitätsversorgung.

Die Verpflichtungen aus der EU-Verordnung

Da noch nicht feststeht, welche Anforderungen an High-Risk-Systeme bis zum Inkrafttreten bestehen bleiben, kann nur gemutmaßt werden, welche sich durchsetzen werden. Allerdings könnte es durchaus sein, dass neue Maßstäbe an die Qualität von Test- und Trainingsdaten gesetzt werden. Zudem ist es vorstellbar, dass die Ergebnisse von Auswertungen nachvollziehbar sein und bestimmten Grundsätzen der Dokumentation aus dem Annex zur Verordnung entsprechen müssen. Um mehr Transparenz zu schaffen, werden gegenüber den Nutzern höchstwahrscheinlich weitergehende Informationspflichten entstehen und bestimmte Überwachungsfunktionen durch Menschen übernommen werden. Ferner scheint es plausibel, dass die Systeme sowohl robust gegenüber Angriffen wären, als auch Mindestanforderung bei der Genauigkeit und Sicherheit erfüllen sollen. Außerdem ist zu erwarten, dass auf dem Markt verfügbare High-Risk KI-Systeme dort ebenfalls überwacht werden sollen. Sollten trotz der hohen Mindestanforderungen dennoch schwerwiegende Fehlfunktionen oder Ereignisse vorkommen, wäre eine unverzügliche Meldepflicht an die zuständige Behörde zudem durchaus realistisch.

KI-Verbot

Zusätzlich könnte die Nutzung von KI-Systemen zu bestimmten Zwecken unabhängig von ihrer High-Risk-Zuordnung verboten werden. Dazu zählt unter anderem Verarbeitung von Informationen über Gruppen oder Individuen, um deren Schwächen unter gewissen Umständen auszunutzen, oder zum Zweck der Verhaltens-/Meinungsmanipulation sowie der Beeinträchtigung von Entscheidungsfreiheiten zum Nachteil der Betroffenen. Bisherige Bonitätsprüfungen sowie sonstige Scoring-Verfahren durch KI-Systeme sollen jedoch weiterhin erlaubt bleiben.

Wen trifft die Verpflichtung?

Die Verpflichtungen werden wie bereits angedeutet, wohl nicht nur die Hersteller oder Vertreiber bzw. Vermittler von KI-Systemen betreffen, sondern auch deren Nutzer. Es ist zudem durchaus vorstellbar, dass beim Einsatz von Hochrisiko-KI auch Dritte verpflichtet werden, da die Verordnung diesbezüglich nur vage Formulierungen beinhaltet.

Haftung und Sanktionen

Sollte ein KI-System trotz des generellen Verbots zu bestimmten Zwecken verwendet werden, droht abgeleitet von der DSGVO ein Bußgeld bis zu 20 Millionen Euro bzw. 4 Prozent des weltweiten Jahresumsatzes. Es liegt jedoch im Ermessensspielraum der Mitgliedsstaaten, die Höhe der Bußgelder bei weiteren Verstößen festzulegen. Somit ist davon auszugehen, dass eine EU-weite einheitliche Regelung vorliegen wird. Abgesehen davon, wird die bereits bestehende zivilrechtliche Haftung durch die Verordnung nicht gemindert, sondern verschärft.

Resümee: Folgen

Jegliche Befürchtungen darüber, dass die Verschärfung von Anforderungen nicht rechtzeitig umgesetzt werden kann, sind im Moment unbegründet. Aufgrund der Tragweite einer solchen Verordnung sowie der momentanen pandemiebedingten Situation, ist keine baldige Entscheidung zu erwarten. Dennoch scheint die EU-Kommission durchaus bestrebt, die Belange sämtlicher Ethikkommissionen baldmöglichst durchzusetzen. Somit sollte frühzeitig geprüft werden, ob eine kostengünstige Umsetzung der genannten Anforderungen möglich ist. Denn, je nachdem wie man die Verbote auslegt, könnte zudem auch jedwede Form von Handlungsmanipulation mittels eines Anreizes (sogenanntes „Nudging“) zukünftig nicht mehr erlaubt sein. Daher ist es durchaus möglich, dass die Anwendung von künstlicher Intelligenz bei Individuell zugeschnittenen Werbung nicht mehr möglich sein wird. Davon könnten auch die sozialen Medien betroffen sein. Zudem ist bereits jetzt absehbar, dass es für die Geschädigten von Verstößen künftig leichter sein wird, diese zu beweisen. Andererseits könnten sämtliche Normen aus der Verordnung als Verhaltensregeln im Sinne des UWG angesehen werden. Unabhängig davon, welche Regelungen bis zum Inkrafttreten bestehen bleiben, bietet der Vorentwurf durchaus die Möglichkeit, zukünftige Kosten durch frühzeitiges Handeln einzusparen.