Welche Unternehmen sind vom AI-Act betroffen?
Das EU-Gesetz über künstliche Intelligenz – Verordnung (EU) 2024/1689 – (im Folgenden „AI-Act“) ist seit dem 1. August 2024 in Kraft. Viele Unternehmen fragen sich seither, ob sie davon betroffen sind. Nicht zuletzt aufgrund der drohenden hohen Bußgelder im Falle eines Verstoßes eine wesentliche Frage. Die technische Materie und der umfassende rechtliche Rahmen des AI-Acts stellen dabei für so manchen eine erhebliche Herausforderung dar. Dieser Beitrag bietet daher einen Überblick über zentrale Fragen, die sich Unternehmen stellen sollten, um zu klären, ob der AI-Act auf sie Anwendung findet.
Setze ich ein KI System ein und ist dieses vom AI-Act umfasst?
Im Zentrum des AI-Acts steht der Begriff des KI-Systems. Die Begriffsdefinition des KI-Systems ist bewusst breit angelegt, um Software zu erfassen, die die typischen Risiken von KI mit sich bringt. Zentrale Kriterien sind dabei die Anpassungsfähigkeit des Systems sowie seine Fähigkeit zur Ableitung, also zu Lern-, Schlussfolgerungs- und Modellierungsprozessen.
Ein KI-System kann aus einem oder mehreren KI-Modellen, einer Benutzeroberfläche oder anderen Komponenten wie Inhaltsfiltern oder Informationsverarbeitungssystemen bestehen. Aus diesem Grund kann auch Software unter den Anwendungsbereich des AI-Acts fallen, die zunächst unauffällig erscheint, da sie Teil einer Anwendung oder eines Produkts ist. Ob beispielsweise ein Kunden-Chatbot auf der eigenen Website als KI-System im Sinne des AI-Acts einzuordnen ist, erfordert eine individuelle und umfassende Prüfung verschiedener Faktoren und möglicherweise die Hinzuziehung von Experten.
Aufgrund der weiten Auslegung von KI-Systemen fallen bereits viele Softwarelösungen, die aus dem operativen Geschäft von Unternehmen nicht mehr wegzudenken sind, unter den AI-Act. Dies betrifft insbesondere Branchen und Bereiche wie Qualitätskontrolle, Logistik, Finanzdienstleistungen und Sicherheit, in denen KI eine immer wichtigere Rolle spielt. Beispiele in diesen Bereichen sind Maschinen, die als Teil der Produktionskette Qualitätsüberprüfungen, Algorithmen zur Überwachung der Lagerkapazitäten, Programme, die große Datenmengen für personalisierte Anlageempfehlungen verarbeiten oder Chatbots. Darüber hinaus begegnet uns KI täglich in Form von Suchmaschinen, Streamingdiensten mit Empfehlungsalgorithmen, Sprachassistenten, Gesichtserkennungssoftware, Navigationssystemen, autonomen Fahrassistenzsystemen sowie in Textverarbeitungs- und Übersetzungsprogrammen.
In welcher Rolle nutze ich das KI-System?
Das KI-Gesetz richtet sich an einen breiten Adressatenkreis und unterscheidet zwischen Anbietern, Einführern, Händlern und Betreibern. Während die meisten Unternehmen weder Einführer und Händler sein werden, lohnt sich ein genauer Blick auf die Qualifikation als Anbieter oder Betreiber.
Ein Anbieter ist die Person, die ein KI-System oder -Modell entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Es ist allerdings zu beachten, dass andere Personen nachträglich als Anbieter klassifiziert werden können, wenn sie beispielsweise ein bereits in Verkehr gebrachtes oder in Betrieb genommenes KI-System mit ihrem Namen oder ihrer Marke versehen, eine wesentliche Änderung an einem solchen KI-System vornehmen oder die Zweckbestimmung eines solchen KI-Systems ändern, sodass es als hochriskant eingestuft wird. In der Praxis bedeutet das, dass eine Zweckänderung oder ein Nachtrainieren eines KI-Systems genügen kann, damit man Anbieter wird.
Ein Betreiber kann jede natürliche oder juristische Person, einschließlich Behörden, Einrichtungen oder sonstiger Stellen sein, die ein KI-System in eigener Verantwortung verwenden.
Ist die Art meiner Nutzung vom AI-Act umfasst?
Nicht jede Nutzung eines KI-Systems fällt unter den Anwendungsbereich des AI-Acts. Daher ist zu prüfen, ob die eigene Nutzung möglicherweise vom Anwendungsbereich des Gesetzes ausgenommen ist.
Eine Ausnahme kann unter bestimmten Voraussetzungen gelten, wenn Dienste, Verfahren oder Komponenten, die unter den Anwendungsbereich des AI-Actsfallen, kostenfrei und mit offengelegten Parametern bereitgestellt werden. Zudem gibt es spezifische Ausnahmen für den Bereich der wissenschaftlichen Forschung und Entwicklung, solange das Testen nicht unter realen Bedingungen erfolgt. Eine weitere Ausnahme besteht für Betreiber, wenn der Gebrauch ausschließlich für persönliche, nicht berufliche Zwecke erfolgt. Weiters gelten bestimmte Ausnahmen für Strafverfolgungsbehörden.
Ausblick
Vielen Unternehmen ist es vielleicht gar nicht bewusst, dass sie bereits KI-Systeme in ihrer IT-Architektur oder in der digitalisierten Produktion verwenden. Obwohl der AI-Act erst schrittweise vollständig in Kraft tritt, ist es für Unternehmen bereits jetzt unerlässlich, eine gründliche Prüfung vorzunehmen, um festzustellen, ob und in welchem Umfang ihre Tätigkeiten unter den AI-Act fallen. Jedenfalls ist dieser Aspekt bei der Anschaffung neuer, zunehmend KI unterstützten IT-Lösungen oder neuer, digitaler Produktionstechnik mitzudenken. Je nach Risikobewertung der eingesetzten KI und Rolle sind dann verschiedenste Maßnahmen, wie die Einrichtung eines Qualitätsmanagementsystems, umfassende Dokumentations-, Melde- und Registrierungspflichten und Compliance- Nachweise zu beachten.
Falls der AI-Act anwendbar ist, ist es im Hinblick auf die drohenden hohen Bußgelder ratsam, diese Maßnahmen rasch zu berücksichtigen.
Gerne steht Ihnen das Team für das Fachgebiet Geistiges Eigentum und Informationstechnologie von Binder Grösswang bei der praktischen Umsetzung des AI-Acts zur Verfügung.
Hinweis: Dieser Blog stellt lediglich eine generelle Information und keineswegs eine Rechtsberatung von Binder Grösswang Rechtsanwälte GmbH dar. Der Blog kann eine individuelle Rechtsberatung nicht ersetzen. Binder Grösswang Rechtsanwälte GmbH übernimmt keine Haftung, gleich welcher Art, für Inhalt und Richtigkeit des Blogs.