Welche Pflichten haben Anbieter von KI-Systemen nach dem EU AI Act?

Der EU AI Act ist die weltweit erste umfassende gesetzliche Regulierung für Künstliche Intelligenz. Seit seinem Inkrafttreten im August 2024 stellt er Unternehmen, die KI-Systeme entwickeln oder einsetzen, vor konkrete rechtliche Anforderungen. Wer als Anbieter tätig ist, sollte die eigenen Pflichten genau kennen – die Konsequenzen bei Verstößen sind erheblich.

Was ist der EU AI Act und wen betrifft er?

Der EU AI Act ist eine EU-Verordnung zur Regulierung von Künstlicher Intelligenz, die für alle Personen und Unternehmen gilt, die KI-Systeme in der EU entwickeln, vertreiben, einsetzen oder importieren. Die Verordnung verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen.

Die KI-Verordnung betrifft nicht nur Technologieunternehmen, sondern auch Behörden, Krankenhäuser, Banken, Personaldienstleister und viele andere Organisationen. Selbst Unternehmen außerhalb der EU fallen darunter, wenn ihre KI-Produkte auf dem europäischen Markt eingesetzt werden. Die Verordnung unterscheidet vier Risikostufen: inakzeptables Risiko (verboten), Hochrisiko, begrenztes Risiko und minimales Risiko.

Wer gilt laut EU AI Act als Anbieter eines KI-Systems?

Als Anbieter gilt jede natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen auf dem Markt bereitstellt – unabhängig davon, ob dies entgeltlich oder unentgeltlich geschieht.

Wer ein vortrainiertes Modell anpasst und unter eigenem Namen vertreibt, gilt als Anbieter und übernimmt die entsprechenden Pflichten. Dies ist besonders relevant für Unternehmen, die KI-Lösungen auf Basis großer Sprachmodelle als eigene Produkte anbieten.

Welche Pflichten haben Anbieter von Hochrisiko-KI-Systemen?

Anbieter von Hochrisiko-KI-Systemen müssen ein Konformitätsbewertungsverfahren durchlaufen, ein Qualitätsmanagementsystem einrichten und ihre Systeme in einer EU-Datenbank registrieren, bevor sie diese auf den Markt bringen dürfen. Zu den konkreten Pflichten gehören unter anderem:

• Erstellung und Pflege einer technischen Dokumentation
• Implementierung eines Risikomanagementsystems über den gesamten Lebenszyklus
• Sicherstellung von Transparenz und Nachvollziehbarkeit durch Protokollierungsfunktionen
• Gewährleistung von Genauigkeit, Robustheit und Cybersicherheit
• Bereitstellung klarer Gebrauchsanweisungen für Betreiber

Hochrisiko-KI-Systeme müssen menschliche Aufsicht ermöglichen. Anbieter sind verpflichtet, eine EU-Konformitätserklärung auszustellen und die CE-Kennzeichnung anzubringen. Nach der Markteinführung gilt eine Überwachungspflicht: Schwerwiegende Vorfälle müssen den Behörden gemeldet werden.

Was sind verbotene KI-Praktiken nach dem EU AI Act?

Der EU AI Act verbietet KI-Systeme, die ein inakzeptables Risiko für Grundrechte und Sicherheit darstellen. Verboten sind:

• Manipulative KI-Systeme, die Verhalten durch unbewusste Beeinflussung steuern
• KI-Systeme, die Schwächen bestimmter Personengruppen ausnutzen, etwa von Kindern oder Menschen mit Behinderungen
• Social-Scoring-Systeme, die Alltagsverhalten bewerten und zu Benachteiligungen führen
• Biometrische Echtzeit-Fernidentifikation in öffentlichen Räumen, mit wenigen engen Ausnahmen
• KI-Systeme zur Straftatenvorhersage auf Basis von Persönlichkeitsmerkmalen

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Der Einsatz verbotener KI-Praktiken kann mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen Pflichten bei Hochrisiko-KI-Systemen sind mit bis zu 15 Millionen Euro oder drei Prozent des Jahresumsatzes belegt. Falsche Angaben gegenüber Behörden können bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes kosten. Für KMU gelten in bestimmten Fällen niedrigere Obergrenzen.

Wie können sich Anbieter auf den EU AI Act vorbereiten?

Anbieter sollten zunächst alle KI-Systeme inventarisieren und nach den Risikokategorien des AI Act einstufen. Eine strukturierte Vorbereitung umfasst folgende Schritte:

1. Inventarisierung: Alle KI-Systeme im Unternehmen erfassen und dokumentieren
2. Risikoklassifizierung: Jedes System einer Risikostufe gemäß EU AI Act zuordnen
3. Gap-Analyse: Bestehende Prozesse mit den gesetzlichen Anforderungen abgleichen
4. Maßnahmenplan: Fehlende Dokumentation und technische Anforderungen umsetzen
5. Schulung der Mitarbeitenden: Relevante Teams zu Anforderungen und Verantwortlichkeiten schulen
6. Kontinuierliches Monitoring: Systeme nach der Markteinführung überwachen und Vorfälle dokumentieren

Wie wir Sie bei der AI-Act-Compliance unterstützen

Wir bei mITSM bieten gezielte Schulungen und Zertifizierungen rund um Künstliche Intelligenz, damit Sie und Ihr Team die notwendige Kompetenz aufbauen können. Unser Angebot im Bereich KI-Kompetenz und Weiterbildung umfasst:

• Trainings zu den Grundlagen und Anforderungen der KI-Verordnung
• Praxisorientierte Schulungen für Fach- und Führungskräfte
• Zertifizierungsvorbereitung durch erfahrene Trainer – mit Zertifizierungen über ICO-Cert als anerkanntem Partner für KI-Themen
• Flexible Formate als Präsenztraining, Online-Live-Schulung oder Inhouse-Seminar

Sprechen Sie uns an und erfahren Sie, welches Training am besten zu Ihrem Bedarf passt. Wir helfen Ihnen, Ihre AI-Act-Compliance strukturiert und nachhaltig aufzubauen.