Rechtsatlas KI

Künstliche Intelligenz (KI) entwickelt sich von Tag zu Tag exponentiell und wird im Alltag immer präsenter. Gleichzeitig wächst weltweit die Besorgnis über die möglichen wirtschaftlichen, sozialen und ethischen Auswirkungen der KI. Dies veranlasst immer mehr Länder, sich mit der Frage der Regulierung zu befassen, um die sichere Nutzung dieser Art von Technologie in ihren Staatsgebieten zu gewährleisten. Mehrere Länder haben bereits Gesetzgebungsverfahren eingeleitet, und seit 2023 sind einige spezifische Gesetze in Kraft getreten. Die Tendenz geht dahin, dass in den nächsten Jahren auf allen fünf Kontinenten eine Reihe von KI-Gesetzen erlassen werden.

Um die Entwicklung der Gesetzgebung auf einen Blick verfolgen zu können, zeigt die vorliegende Zeitleiste das Inkrafttreten der wichtigsten KI-Gesetze auf der ganzen Welt.

Von Dr. Julio Pereira | Berlin

Am 11. März 2025 trat in El Salvador das Gesetz über künstliche Intelligenz (Ley de Fomento a Inteligencia Artificial y Tecnologias – LFIA) in Kraft. Damit ist El Salvador das erste Land in Zentralamerika, das ein entsprechendes Gesetz verabschiedet hat, und das zweite in Lateinamerika – nach Peru. Das neue Gesetz zielt darauf ab, in dem Land ein günstiges Umfeld für die Entwicklung und den Einsatz von künstlicher Intelligenz (KI) zu gestalten. Die wichtigsten Aspekte des Gesetzes werden im Folgenden erläutert.

Ziele

Hauptziel des Gesetzes ist es, die Entwicklung, Erforschung und Anwendung von KI in El Salvador zu fördern und dabei einen angemessenen Rechtsschutz für in diesem Bereich tätige Unternehmen oder Einzelpersonen zu gewährleisten. Zu diesem Zweck sollen Unternehmen gefördert werden, damit sie innerhalb ihrer Organisationsstrukturen in Ausbildungsprogramme für KI investieren. Was den öffentlichen Sektor betrifft, so zielt das Gesetz darauf ab, die Anwendung künstlicher Intelligenz unter anderem in folgenden Bereichen zu optimieren: Gesundheit, Sicherheit und Verkehr. Darüber hinaus ist es eines der Ziele, El Salvador zu einem „Schlüsselakteur“ in der „grenzüberschreitenden Zusammenarbeit“ zwischen den Ländern der Region zu etablieren (Art. 2 LFIA).

Künstliche Intelligenz und andere relevante Begriffe

Aus Sicht der Rechtsanwendung liegt die Bedeutung des Gesetzes von El Salvador insbesondere in den darin enthaltenen Begriffsbestimmungen. Vier Begriffe sind sowohl für weitere Regelungen als auch für die künftige Rechtsprechung besonders relevant:

Künstliche Intelligenz

KI wird als ein System beschrieben, das in der Lage ist, Aufgaben auszuführen, die normalerweise menschliche Intelligenz erfordern, zum Beispiel Problemlösung und Lernvorgänge. Das System muss autonom oder teilautonom operieren. Auch die Konzepte des Lernvorgangs, der autonomen Systeme und der generativen Modelle werden in dem Gesetz ausführlich behandelt.

Öffentlich zugängliche Daten

Öffentlich zugängliche Daten, sind alle Daten oder Inhalte (Datos de Dominio Abierto – DDA), die über das Internet zugänglich sind (vom ursprünglichen Eigentümer zur Verfügung gestellt). Das Gesetz sieht vor, dass diese Daten uneingeschränkt für KI-bezogene Aktivitäten genutzt werden können. Es wird ausdrücklich festgestellt, dass solche Daten sowohl die aktuellen im Internet verfügbaren Inhalte als auch die Inhalte vor dem Inkrafttreten des Gesetzes umfassen.

KI-gestützte Entscheidungsfindung

Dies meint eine Entscheidung, die von einem KI-System (mit oder ohne Beteiligung von Menschen) getroffen wird. Dies ist ein zentrales Konzept, das in mehreren Artikeln des Gesetzes behandelt wird. Wenn KI für „kommerzielle Zwecke“ oder „öffentliche Dienstleistungen“ eingesetzt wird, besteht die Verpflichtung, den Verbraucher/Dienstleistungsnutzer darüber zu informieren, dass die Entscheidung von einem KI-System getroffen wurde. Es ist gesetzlich festgelegt, dass eine menschliche Person über Beschwerden gegen solche Entscheidungen entscheiden muss (Art. 18 LFIA).

Diskriminierung

Diskriminierung wird definiert als jeder „systematische Fehler“ in den Ergebnissen eines KI-Systems, der auf Geschlecht, Ethnie oder sozioökonomischem Status beruht und bestimmte Gruppen oder Einzelpersonen „unverhältnismäßig begünstigt oder benachteiligt“ (Art. 4 „g“ und Art. 5 LFIA).

Zuständige Behörde

Das Gesetz sieht die Einrichtung der Nationalen Agentur für Künstliche Intelligenz (Agencia Nacional de Inteligencia Artificial – ANIA) vor, die für die Überwachung und Förderung der Entwicklung von KI im Land zuständig ist (Art. 7 ff LFIA). Zu den Hauptaufgaben der ANIA gehört die Verwaltung eines nationalen Registers von KI-Entwicklern und -Betreibern (Registro Nacional de Desarrollo, Innovación y Aplicación de AI – RNDIA). Die Leitung der ANIA, die oberste Autorität in diesem Bereich, wird vom Präsidenten der Republik für eine Amtszeit von fünf Jahren ernannt.

Haftungsbeschränkung

Das Gesetz zielt darauf ab, El Salvador für in- und ausländische KI-Unternehmen attraktiv zu machen (Art. 15 LFIA). Zu diesem Zweck sieht es eine Reihe von rechtlichen Garantien (Art. 19 LFIA) vor, um die Haftung von KI-Entwicklern wie folgt auszuschließen:

• Rechtsstreitigkeiten: Gerichtsverfahren, die die Nutzung von DDA für die Entwicklung von KI erschweren könnten, sind einzuschränken.
• Tests: Aktivitäten in Testumgebungen (ohne kommerzielle Zwecke) begründen keine Haftung für KI-Entwickler, selbst im Falle „unerwünschter Folgen oder Fehler“.
• Missbräuchliche Nutzung von KI-Tools durch Dritte (im In- oder Ausland): Keine Haftung für Entwickler im Inland.

In diesen und anderen Fällen knüpft das Gesetz solche Garantien an die Einhaltung der Rechte des geistigen Eigentums, den Schutz personenbezogener Daten und die Einhaltung ethischer Grundsätze.

Zum Thema:

• Nationalkongress von El Salvador (Asamblea Legislativa)

Von Dr. Julio Pereira | Berlin

Anwendungsbereich des neuen KI-Gesetzes

Das am 21. Januar 2025 bekannt gegebene "Rahmengesetz zur Künstlichen Intelligenz" (KI-Gesetz) besteht aus 43 Artikeln in 6 Kapiteln.

Das neue KI-Gesetz findet nach seinem Art. 4 Abs. 1 auch extraterritorial Anwendung auf Handlungen außerhalb Südkoreas, die den koreanischen Markt oder inländische Nutzer betreffen. 

Erfüllen sie hinsichtlich Nutzerzahl und Umsatz bestimmte Kriterien, müssen nicht in Korea ansässige KI-Betreiber dort lokale Vertreter benennen, Art. 36 des Gesetzes.

Vom Anwendungsbereich des Gesetzes ausgenommen ist insbesondere KI, die ausschließlich für Zwecke der nationalen Verteidigung oder Sicherheit entwickelt und genutzt wird (Art. 4 Abs. 2 des Gesetzes).

Förderung der KI-Industrie und KI-Technologie

Da neue Gesetz soll insbesondere die Entwicklung der KI-Industrie und KI-Technologie fördern und Risiken vorbeugen, die durch die KI entstehen könnten. Mehr Sicherheit und Verlässlichkeit im KI-Bereich sollen zur Verbesserung der Lebensqualität der Menschen beitragen (vgl. Art. 3 Abs. 1 des Gesetzes). In Kapitel 4 des Gesetzes geht es insbesondere um die Gewährleistung ethischer Prinzipien.

Nach seinem Art. 1 bezweckt das Gesetz unter anderem die Stärkung der nationalen Wettbewerbsfähigkeit. So sollen insbesondere Forschung und Entwicklung (dazu Art. 13) sowie internationale Zusammenarbeit (Art. 22) im KI-Bereich staatlich gefördert und KI-Technologien weiterentwickelt werden (dazu insbesondere Kapitel 3). Das koreanische Ministerium für Wissenschaft und IKT hat gemäß Art. 6 des Gesetzes regelmäßig Basispläne für KI aufzustellen. 

Das Gesetz enthält in Art. 17 und 18 besondere Vorgaben für die Förderung kleiner und mittlerer Unternehmen sowie Start-ups im KI-Bereich. 

Die Rechtsgrundlage für den sogenannten nationalen KI-Ausschuss, der sich mit den wesentlichen politischen Maßnahmen befasst, schafft das Gesetz in Art. 7 ff. KI-Gesetz. Zu den möglichen neuen Einrichtungen gehören außerdem zum Beispiel das "AI Safety Research Institute" (Art. 12) und das "AI Policy Center" (Art. 11) oder auch die Förderung der Einrichtung von KI-Rechenzentren ("AI Data Centers", Art. 25).

Besondere Vorgaben für bestimmte KI-Systeme 

In Bezug auf die KI-Regulierung verfolgt das KI-Gesetz einen risikobasierten Ansatz. 

Dabei unterscheidet das neue Gesetz zwischen 

• generativer KI (zum Beispiel zur Text- und Bilderstellung; siehe Definition in Art. 2 Nr. 5 des Gesetzes) und 
• KI-Systemen mit großen Auswirkungen ("high-impact AI", dazu: Art. 2 Nr. 4 und Art. 33 des Gesetzes) auf das Leben, die körperliche Sicherheit und die Grundrechte oder solche mit Gefahrenpotential in bestimmten aufgeführten Bereichen wie etwa Trinkwasser- oder Energieversorgung, Gesundheitswesen, Analyse biometrischer Daten oder bei wesentlichen Transportsystemen.

In diesen Bereichen müssen KI-Betreiber bestimmte Compliance-Vorgaben einhalten. Nutzer solcher Systeme sind zum Beispiel im Voraus über die Mitwirkung von KI zu informieren (Sicherstellung der Transparenz, Art. 31 des Gesetzes). Im Falle der "KI mit großen Auswirkungen" sind nach Art. 34 des Gesetzes weitere Maßnahmen wie unter anderem ein Risikomanagementplan und menschliche Überwachung vorgeschrieben. Artikel 35 des Gesetzes gibt ferner eine vorherige Folgenabschätzung in Bezug auf die Grundrechte vor.

Mögliche Sanktionen 

Artikel 40 des Gesetzes ermöglicht in bestimmten Fällen Ermittlungen durch die zuständigen Behörden und bei festgestellten Verstößen etwa den Erlass von Berichtigungsanordnungen (Abs. 3). 

Bei bestimmten Gesetzesverstößen sieht das Gesetz in Art. 43 Sanktionen in Form von Bußgeldern von bis zu 30 Millionen Südkoreanische Won (entspricht ca. 20.000 Euro) vor - unabhängig vom Umsatz oder der Unternehmensgröße. 

Ausblick 

Das Gesetz wird größtenteils ein Jahr nach seiner Verkündung (21. Januar 2025) in Kraft treten, also am 22. Januar 2026. Mit dem Erlass von Umsetzungsbestimmungen hinsichtlich verschiedener Aspekte ist in Zukunft noch zu rechnen. 

Südkorea ist damit das erste Land in Asien und eines der ersten weltweit mit einem eigenen Rahmengesetz zur KI. Der Entwurf des nun verabschiedeten Gesetzes befand sich bereits seit 2020 im Gesetzgebungsverfahren. 

Zum Thema: 

• Text des KI-Gesetzes auf Koreanisch ("인공지능 발전과 신뢰 기반 조성 등에 관한 기본법"; "Framework Act on the Development of Artificial Intelligence and the Creation of a Foundation for Trust")
• Bekanntgabe des Gesetzes vom 21. Januar 2025 mit Gesetzesbegründung (Koreanisch)
• Meldung des Ministry of Science and ICT (MSIT) vom 27. Dezember 2024 (Koreanisch)
• Website des MSIT (Englisch)
• GTAI-Rechtsbericht Südkorea: E-Commerce und Datenschutzrecht
• Rechtsatlas KI

Von Julia Merle | Bonn

Kein umfassendes Bundesgesetz 

In den Vereinigten Staaten von Amerika existiert aktuell kein umfassendes Gesetz auf Bundesebene, das den Umgang mit und den Einsatz von künstlicher Intelligenz (KI) regelt. Allerdings greifen einige Bundesgesetze den Themenkomplex in vereinzelten Vorschriften im beschränkten Umfang auf. 

Ein Beispiel hierfür ist der National Defense Authorization Act for Fiscal Year 2019, der das US-Verteidigungsministerium (U.S. Department of Defense) anweist, einen Koordinator zur Überwachung von KI-bezogenen Aktivitäten zu etablieren. Ein weiteres Bundesgesetz ist der National AI Initiative Act of 2020. Dieser konzentriert sich auf den Ausbau der KI-Forschung und -Entwicklung und sieht vor, dass das National Artificial Intelligence Initiative Office für die Überwachung und Umsetzung der nationalen KI-Strategie der USA verantwortlich ist.

Leitlinien zur Regulierung von KI

In den USA sind in den letzten Jahren und Monaten eine Vielzahl von frameworks und guidelines zur KI-Forschung und-Entwicklung verabschiedet worden. US-Präsident Biden hat unter anderem am 30. Oktober 2023 die Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence erlassen, die auf der Annahme beruht, dass die Entwicklung und Verbesserung von KI auf einer sicheren Grundlage beruhen sollte. Die Executive Order richtet sich vor allen Dingen an die Bundesbehörden und fordert sie auf, Bundesstandards für die Entwicklung von KI-Systemen zu schaffen und verlangt von Entwicklern der leistungsstärksten KI-Systeme, Ergebnisse von Sicherheitstests und andere wichtige Informationen mit der US-Regierung zu teilen.

In Anlehnung an die von US-Präsident Biden erlassene Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence hat unter anderem das US-Patent- und Markenamt (Patent and Trademark Office) eine Richtlinie für Erfindungen veröffentlicht, bei denen ein menschlicher Erfinder von künstlicher Intelligenz (Artificial Intelligence) unterstützt worden ist (Inventorship Guidance for AI-assisted Inventions). Die Richtlinie ist am 13. Februar 2024 im Federal Register veröffentlicht worden.

Die Richtlinie legt fest, dass KI-gestützte Erfindungen nicht kategorisch nicht patentierbar sind, aber im Rahmen der Erfindung ein signifikanter Beitrag des menschlichen Erfinders erkennbar sein muss. Denn Patente dienten dazu, den menschlichen Einfallsreichtum zu belohnen.

Gesetze auf Ebene der US-Bundesstaaten

Trotz der Nichtexistenz eines einheitlichen Gesetzes auf US-Bundesebene zur Regulierung von KI hat eine Vielzahl von US-Bundesstaaten in den letzten Jahren über umfassende Gesetze zur Regulierung künstlicher Intelligenz diskutiert und diese in einigen Fällen sogar erlassen.

Am 17. Mai 2024 hat zum Beispiel der US-Bundesstaat Colorado das erste umfassende KI-Gesetz in den USA erlassen, den Colorado AI Act. In Kraft treten wird das Gesetz am 1. Februar 2026. Das Gesetz verlangt unter anderem von Entwicklern und Betreibern von Hochrisiko-KI-Systemen (high-risk AI systems), dass sie algorithmische Diskriminierung (algorithmic discrimination) vermeiden und schreibt die Meldung aller Fälle von Diskriminierung an die Generalstaatsanwaltschaft von Colorado vor. Im Rahmen des Gesetzes wird jedes KI-System, das ein wesentlicher Faktor für Folgeentscheidungen ist, als "hochriskant“ angesehen. Ferner sieht das Gesetz vor, dass die Betreiber von Hochrisiko-KI-Systemen die Verbraucher:innen darüber informieren, dass sie einem Hochrisiko-KI-System unterliegen.

In einer Vielzahl von US-Bundesstaaten finden sich Regelungen zur Entwicklung und Verwendung von KI-Systemen in dem jeweiligen Datenschutzgesetz. Der California Consumer Privacy Act (CCPA) enthält zum Beispiel Bestimmungen über die Verwendung automatisierter Entscheidungsfindungssysteme. Der CCPA räumt Verbrauchern unter anderem ein Widerspruchsrecht in Bezug auf die Verwendung von Technologien zur automatisierten Entscheidungsfindung durch Unternehmen ein. Hierzu gehört unter anderem das Profiling von Verbrauchern auf der Grundlage ihrer Arbeitsleistung, wirtschaftlichen Situation, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, ihres Verhaltens oder ihres Standorts.

Gesetze zur Regulierung von KI findet man außerdem in den US-Bundesstaaten Connecticut, Delaware, District of Columbia, Florida, Georgia, Illinois, Indiana, Maine, Maryland, Montana, New Hampshire, New Jersey, New York, Oregon, Texas, Tennessee und Virginia.

Zum Thema:

• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten

Von Jan Sebisch | Bonn

Peru war das erste Land der Welt, das ein spezifisches nationales Gesetz über künstliche Intelligenz verabschiedet hat (Gesetz Nr. 31814 vom 5. Juli 2023). Mit dem Schwerpunkt auf nachhaltiger Entwicklung legt das Gesetz die Förderung neu entstehender Technologien fest. Es enthält zudem wesentliche Definitionen und bestimmt die für die KI zuständige Behörde. Die volle Wirksamkeit des Gesetzes hängt noch von der Regulierung ab, deren Überarbeitung unter breiter Beteiligung des Privatsektors in der Endphase ist.

Ziele, Grundsätze und nationales Interesse

Das Hauptziel des peruanischen Gesetzes besteht darin, die Entwicklung und Nutzung künstlicher Intelligenz im Rahmen des digitalen Transformationsprozesses des Landes zu regeln. Das Gesetz legt ausdrücklich fest, dass diese Nutzung „ethisch“ und „nachhaltig“ sein muss, um der wirtschaftlichen und sozialen Entwicklung des Landes auf der Grundlage einer sicheren Cyberumgebung Vorrang zu geben. Darüber hinaus legt das Gesetz einige wesentliche Grundsätze fest, die die Entwicklung der künstlichen Intelligenz in Peru leiten. Zu den wichtigsten für Unternehmen gehören:

1. Risikobasierte Sicherheitsstandards
2. Beteiligung des Privatsektors und anderer Akteure an der konkreten Regulierung des Einsatzes von künstlicher Intelligenz im Lande
3. Förderung der digitalen Wirtschaft, der Konnektivität und der Innovation im Hinblick auf das soziale und wirtschaftliche Wohlergehen
4. Schutz der Privatsphäre der Menschen.

Das KI-Gesetz stellt außerdem ausdrücklich fest, dass es im nationalen Interesse liegt, „aufkommende Technologien“ (tecnologías emergentes) zu fördern, um unter anderem öffentliche Dienstleistungen wie Bildung, Gesundheit, Justiz, Sicherheit und Landesverteidigung sowie wirtschaftliche Aktivitäten im gesamten peruanischen Staatsgebiet zu optimieren.

Begriffsbestimmungen

Aus der Sicht der Rechtsanwendung liegt die Bedeutung des peruanischen Gesetzes vor allem in den enthaltenen Begriffsbestimmungen. Drei Begriffe sind sowohl für zusätzliche Regelungen als auch für künftige Rechtsprechung besonders relevant:

• Aufkommende Technologie: Darunter versteht das Gesetz „digitale Technologien“, mit denen innovative Lösungen für die Industrie 4.0 geschaffen werden können, unter anderem künstliche Intelligenz, Robotik und Nanotechnologie.
• Künstliche Intelligenz: Aufkommende Technologie, die das Potenzial hat, „Innovation und Produktivität zu steigern“, das menschliche Wohlbefinden zu erhöhen und zu einer nachhaltigen globalen Wirtschaftstätigkeit beizutragen.
• Auf künstlicher Intelligenz basierendes System: Ein elektronisch-mechanisches System, das nach menschlichen Zielvorgaben entwickelt wurde, um mit verschiedenen Autonomiestufen zu funktionieren, welches Vorhersagen, Empfehlungen oder Entscheidungen treffen kann und „reale oder virtuelle Umwelten“ beeinflusst.

Zuständige Behörde

Zusätzlich zu den Definitionen legt das Gesetz auch den Vorsitz des Ministerrats (Presidencia del Consejo de Ministros - PCM) als zuständige Behörde fest, und zwar über das Sekretariat für digitale Transformation (Secretaría de Gobierno y Transformación Digital - SGTD). Neben anderen Aufgaben ist der PCM befugt, die Ausbildung von Fachleuten, die Verabschiedung von ethischen Richtlinien, die Stärkung der digitalen Infrastruktur und die Entwicklung einer Dateninfrastruktur für öffentliche Informationen zu fördern.

Neben seiner Regulierungsfunktion überwacht der PCM auch den Einsatz von künstlicher Intelligenz in Peru. Er informiert den Kongress der Republik (Congreso de la República) durch jährliche Berichte über die Fortschritte bei der digitalen Transformation. Und im Falle von ernsthaften Bedrohungen oder Verletzungen der nationalen Cybersicherheit ist der PCM verpflichtet, das Parlament unverzüglich zu benachrichtigen.

Regulierungsprozess

Obwohl die Regulierung innerhalb von 90 Tagen nach Inkrafttreten des Gesetzes hätte verabschiedet werden müssen, wurde diese Frist nicht eingehalten. Die Ausarbeitung der Regulierung erwies sich als aufwändig, da sie die Beteiligung zahlreicher sozialer Akteure erfordert. Daher wird der Regulierungsprozess fortgesetzt, laut einer am 6. September 2024 veröffentlichten Mitteilung des Sekretariats für digitale Transformation (SGTD). Der Regulierungsentwurf wird unter anderem von Vertretern der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) geprüft. Nach Abschluss der Prüfung wird sie per Dekret des PCM verkündet.

Zum Thema:

• Vorläufige Fassung der Regulierung des peruanischen KI-Gesetzes (Reglamento de la Ley Nr. 31814, Gobierno de Perú)
• Offizielle Meldungen über die regulatorische Entwicklung der künstlichen Intelligenz in Peru (Inteligencia Artificial en Perú, PCM)

Von Dr. Julio Pereira | Berlin

Nicht jede KI wird reguliert

Der AI Act verfolgt einen risikobasierten Ansatz. Er teilt KI-Systeme in Risiko-Kategorien ein:

Inakzeptables Risiko 

Diese Kategorie bezeichnet der AI Act als „verbotene Praktiken“ (Artikel 5). Hier liegt der Fokus auf dem Einsatz der KI, aber auch das Inverkehrbringen und die Inbetriebnahme solcher Systeme sind in der EU verboten. Dies betrifft zum Beispiel sogenannte Social Scoring Systeme, die das Verhalten von Bürgerinnen und Bürgern aufzeichnen, bewerten und klassifizieren. Auch andere Arten der Beeinflussung und Manipulation des Verhaltens einer Person oder Personengruppe sind verboten, wenn sie geeignet sind, diesen Personen oder Gruppen Schaden zuzufügen.

Hochrisiko KI-Systeme (Artikel 6 ff.) 

Diese Systeme sind in Anhang III der Verordnung aufgezählt. Sie fallen allerdings nur dann in diese Kategorie, wenn sie ein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen bergen. Hochrisiko KI wird sehr streng reguliert. So muss ein Risikomanagementsystem eingerichtet, angewandt, dokumentiert und aufrechterhalten werden. Das System muss registriert werden, es muss eine technische Dokumentation erstellt werden, seine Aktionen müssen aufgezeichnet werden und es muss einer menschlichen Steuerung zugänglich sein. Hochrisiko KI-Systeme müssen zudem eine Konformitätsbewertung durchlaufen und mit einer CE-Kennzeichnung versehen werden. 

Begrenztes Risiko (Artikel 50 ff.) 

Hier stehen die Transparenzpflichten im Vordergrund (siehe insbesondere Artikel 50). So müssen Chatbots als solche erkennbar sein, entsprechendes gilt für KI-generierte Audio-, Bild-, Video- oder Textinhalte. Weitere Pflichten betreffen insbesondere die Anbieter von KI (Artikel 53 ff.): technische Dokumentation, eine Strategie zur Einhaltung von Urheberrechten und eine Dokumentation der für das Training der KI-Modelle verwandten Daten sind obligatorisch.

Alle anderen KI-Systeme sind – abgesehen von den Transparenzpflichten (siehe oben) – nicht spezifisch reguliert. 

Neue Pflichten – nicht nur für OpenAI & Co

Hochrisiko-KI-Systeme schaffen nicht nur Pflichten für Anbieter, sondern auch für Bevollmächtigte der Anbieter (Artikel 22), Einführer (Artikel 23), Händler (Artikel 24) und Betreiber (Artikel 26). Bei Einfuhr und Inverkehrbringen muss insbesondere darauf geachtet werden, dass für die Systeme CE-Kennzeichnung und Konformitätsbewertung vorliegen; Betreiber müssen geeignete technische und organisatorische Maßnahmen treffen, um sicherzustellen, dass sie solche Systeme entsprechend der den Systemen beigefügten Betriebsanleitungen verwenden. Außerdem übertragen sie die Aufsicht über die Systeme ausschließlich natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Gemäß Artikel 25 treffen Händler, Einführer, Betreiber oder sonstige Dritte als Anbieter eines Hochrisiko-KI-Systems sogar die kompletten Anbieterpflichten aus Artikel 16 der Verordnung, nämlich dann, wenn sie ein System mit ihrem Namen oder ihrer Handelsmarke versehen oder eine wesentliche Veränderung vornehmen, insbesondere, wenn diese Veränderung dazu führt, dass das System als Hochrisiko-System einzustufen ist.

Innovationen sollen gefördert werden

Künstliche Intelligenz soll nicht nur reguliert, sondern auch gefördert werden. Dazu werden die Mitgliedstaaten verpflichtet, Reallabore einzurichten, die spätestens bis 2. August 2026 betriebsbereit sein müssen (Artikel 57). So können in einer kontrollierten Umgebung Tests und Entwicklungen unter Realbedingungen durchgeführt werden. Die zuständigen Behörden unterstützen die Nutzenden umfassend, insbesondere im Hinblick auf Grundrechte, Gesundheit und Sicherheit, Tests und Risikominderungsmaßnahmen sowie deren Wirksamkeit. Die Mitgliedstaaten gewähren KMU und Start-ups, die ihren Sitz oder eine Zweigniederlassung in der EU haben, vorrangigen Zugang zu den Reallaboren. Unterstützt werden die Mitgliedstaaten hierbei – wie auch bei anderen Aufgaben – durch das ebenfalls durch den AI Act eingeführte Büro für Künstliche Intelligenz der EU (Artikel 64).    

Zeitlich abgestuftes Inkrafttreten

Der AI Act tritt 20 Tage nach seiner Veröffentlichung im Amtsblatt der EU in Kraft, also am 2. August 2024. Die vollständige Anwendbarkeit der Verordnung erfolgt jedoch gestaffelt (Artikel 113):

• 2. Februar 2025: Verbot von KI-Systemen mit inakzeptablem Risiko (Artikel 1 bis 5);
• 2. August 2025: insbesondere Sanktionen (Artikel 99 ff.) und Verhaltenskodizes und Regeln für KI mit allgemeinem Verwendungszweck (Artikel 51 ff); 
• 2. August 2026: Allgemeine Anwendbarkeit der meisten Vorschriften bis auf Artikel 6 Abs. 1 und die entsprechenden Pflichten;
• 2. August 2027: Verpflichtungen für Hochrisiko-KI-Systeme (Artikel 6 Abs. 1).

Sanktionen bei Nichteinhaltung

Unternehmen, die gegen die Vorschriften des AI Act verstoßen, müssen mit erheblichen Sanktionen rechnen. Auch hier gibt es Abstufungen: Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, werden fällig, wenn verbotene KI (Artikel 5) eingesetzt wird. Verstöße gegen die meisten anderen Vorschriften werden mit bis zu 15 Millionen Euro oder von bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, geahndet. Achtung: hierunter fallen nicht nur die Pflichten der Anbieter, sondern auch diejenigen der Bevollmächtigten, Händler, Einführer und Betreiber. Verstöße gegen Transparenzanforderungen können immer noch mit Geldstrafen von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes geahndet werden.

Zum Thema: 

• Verordnung (EU) 2024/1689 vom 12. Juli 2024 

Von Karl Martin Fischer | Bonn

Das US-National Security Agency’s Artificial Intelligence Security Center (NSA AISC) hat in Zusammenarbeit mit dem Federal Bureau of Investigation (FBI), dem Australian Signals Directorate’s Australian Cyber Security Centre (ASD ACSC), dem Canadian Centre for Cyber Security (CCCS) und dem New Zealand National Cyber Security Centre (NCSC-NZ) sowie dem United Kingdom’s National Cyber Security Centre (NCSC-UK) am 16. April 2024 einen Leitfaden für den sicheren Einsatz von KI-Systemen veröffentlicht. 

Im Rahmen des Leitfadens werden Methoden zum Schutz von Daten und Systemen, die Künstliche Intelligenz (KI) nutzen, sowie zur Reaktion auf bösartige Aktivitäten beschrieben. Zudem soll der Leitfaden die Integrität von KI-Systemen verbessern. Die Cybersicherheitsbehörden empfehlen Unternehmen, die extern entwickelte KI-Systeme einsetzen, Sicherheitsmaßnahmen zu implementieren, die den Diebstahl sensibler Daten und den Missbrauch von KI-Systemen verhindern.

Zum Thema: 

• Webseiten der am Leitfaden beteiligten Behörden: US-National Security Agency’s Artificial Intelligence Security Center, Federal Bureau of Investigation, Australian Signals Directorate’s Australian Cyber Security Centre, Canadian Centre for Cyber Security, New Zealand National Cyber Security Centre, United Kingdom’s National Cyber Security Centre
• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten

Von Jan Sebisch | Bonn

Wie wird Künstliche Intelligenz definiert?

Das Weißbuch beschreibt Künstliche Intelligenz (KI), KI-Systeme und/oder KI-Technologien als "Produkte und Dienstleistungen, die 'anpassungsfähig' und 'autonom' sind". Eine erschöpfende Definition gibt es nicht, aber zumindest konkrete Beispiele für die oben genannten Begriffe: In Bezug auf die Anpassungsfähigkeit betont das White Paper, dass KI-Systeme oft die Fähigkeit entwickeln, aus vorhandenen Informationen Schlüsse zu ziehen, die ihre menschlichen Programmierer nicht vorausgesehen hatten. In Bezug auf die Autonomie der KI sagt das Weißbuch, dass KI-Systeme unter Umständen schon Entscheidungen treffen können, ohne dass es eine ausdrückliche Absicht oder laufende Kontrolle eines Menschen gegeben hat.

Welche KI-spezifischen Risiken werden identifiziert?

Im Weißbuch werden spezifische Risiken genannt, die durch die Nutzung von KI entstehen können. 

• Risiken für die Menschenrechte (Beispiel: generative KI wird genutzt, um Deepfake-Videoinhalte zu erstellen, die den Ruf einer Person schädigen)
• Sicherheitsrisiken (Beispiel: ein auf LLM-Technologie basierendes KI-System empfiehlt eine gefährliche Aktivität, die es im Internet gefunden hat, ohne den Kontext in der ursprünglichen Quelle zu verstehen oder zu kommunizieren)
• Risiken für die Fairness (Beispiel: ein KI-Tool bewertet mit falschen oder veralteten Daten die Kreditwürdigkeit, so dass Kredite gar nicht oder zu unangemessenen Bedingungen angeboten werden)
• Risiken für die Privatsphäre und die Handlungsfähigkeit (Beispiel: vernetzte Geräte sammeln in einem Haushalt kontinuierlich Daten – einschließlich Gesprächen – und erstellen ein möglicherweise nahezu vollständiges Porträt des Privatlebens einer Person)
• Risiken für Demokratie und Gesellschaft (Beispiel: von KI erzeugte und verbreitete Desinformationen über politische oder gesellschaftliche Fakten können das Vertrauen in demokratische Institutionen und Prozesse untergraben)
• Risiken für die Sicherheit (Beispiel: KI-Tools werden verwendet, um die Auswirkungen gezielter Cyberangriffe zu automatisieren, zu beschleunigen und zu verstärken).

Diese Risiken sollen durch einen auf Prinzipien basierenden Regulierungsansatz ausgeschaltet oder doch zumindest gemindert werden. Dabei soll immer ein verhältnismäßiger Ansatz gewählt werden. Das bedeutet, dass die Intensität der Regulierung von der Wichtigkeit des bedrohten Rechts und der Schwere der Beeinträchtigung abhängen muss.

Welcher Regulierungsansatz wird gewählt?

In ihrer Antwort auf die Konsultation zum Weißbuch erläutert die Regierung ihre künftige Herangehensweise an die KI-Regulierung. Es wird aktuell kein formelles Gesetz mit Ge- und Verboten geben. Der britische Ansatz unterscheidet sich also fundamental von demjenigen der EU. 

Die britische Regierung hat etliche Regulierungsbehörden dazu aufgefordert, ihre strategische Herangehensweise an das Thema KI zu veröffentlichen. Einige Beispiele gibt es insofern bereits, so etwa vom Information Commissioner oder der Medicines and Healthcare products Regulatory Agency. Weitere, so zum Beispiel Ofgem oder die Civil Aviation Authority, haben entsprechende Veröffentlichungen für später im Jahr 2024 angekündigt.

Die Behörden sollen auch weiterhin selbst regulieren, auch sofern künstliche Intelligenz betroffen ist. Allerdings sollen sie dabei an fünf Prinzipien gebunden sein, die die Regierung vorgibt und die sektorübergreifend die Regulierung der künstlichen Intelligenz prägen sollen:

1. KI muss sicher und robust sein, also verlässlich. Dies dürfte ganz besonders bei technischen Anwendungen relevant sein, etwa bei selbstfahrenden Autos. Diese Anforderung resultiert in einer umfassenden Pflicht, die Risiken der jeweiligen KI regelmäßig einzuschätzen und zu kontrollieren.
2. KI muss transparent und erklärbar sein, insbesondere in Bezug auf die Natur und den Zweck des jeweiligen KI-Systems, die benutzten Daten und auch die Verantwortlichkeit für das System und seine Ergebnisse. 
3. KI muss fair sein, zum Beispiel wenn sie zur Beurteilung der Kreditwürdigkeit einer Person oder eines Unternehmens eingesetzt wird.
4. Rechenschaftspflicht und Governance: Die Regulierungsbehörden bestimmen, wer für die KI und ihre Ergebnisse verantwortlich ist. Sie unterstützen beispielsweise in puncto Risikomanagement und Berichtspflichten. 
5. Anfechtbarkeit und Wiedergutmachung: Entscheidungen, die KI getroffen hat, dürfen nie das letzte Wort sein. Sollte ein Schaden eingetreten sein, muss angemessene Entschädigung gewährleistet sein. 

Die britische Regierung hält diesen Regulierungsansatz, der auf Gesetze verzichtet, für besonders agil. Damit sei er besonders geeignet, den aktuellen Veränderungen einer sich sehr schnell entwickelnden Technologie gerecht zu werden. Ausdrücklich bleibt eine gesetzliche Regelung aber für einen späteren Zeitpunkt vorbehalten.

Zum Thema: 

• Weißbuch und Konsultation „A pro-innovation approach to AI regulation“ aus August 2023 (englisch)
• Antwort der britischen Regierung auf den Input der Konsultation aus Februar 2024 (englisch)

Von Karl Martin Fischer | Bonn

Mit der Technologie der generativen künstlichen Intelligenz (KI) können etwa Texte, Videos oder Bilder geschaffen werden. Anbieter generativer KI-Dienste sind nach den neuen Regeln solche Organisationen und Einzelpersonen, die mittels dieser Technologie entsprechende KI-Dienste bereitstellen (Begriffsbestimmungen in Art. 22 der Measures).

Die 24 Artikel umfassenden Übergangsbestimmungen (chinesische Fassung) gehören zu den ersten derartigen KI-Regeln der Welt überhaupt. Sie enthalten Vorgaben für Anbieter generativer KI-Dienste und basieren insbesondere auf dem chinesischen Cybersicherheitsgesetz, dem Datensicherheitsgesetz sowie dem Gesetz zum Schutz persönlicher Daten.

Wer generative KI-Dienste anbietet, hat nach den Maßnahmen bestimmte Verpflichtungen, vor allem in Bezug auf den Datenschutz und Schutz geistigen Eigentums (dazu Art. 7 ff.). Bei Verstößen greifen insbesondere die Sanktionsmöglichkeiten der genannten Gesetze, Art. 21.

Die Bestimmungen gelten innerhalb Chinas (Art. 2). Werden entsprechende KI-Dienste außerhalb Chinas der Öffentlichkeit in China bereitgestellt, kann Chinas nationale Cyberspace-Behörde Verstöße gegen chinesisches Recht den zuständigen Institutionen zur Maßnahmenergreifung melden, Art. 20. Unter anderem ist zu beachten, ob es in der jeweiligen Branche Beschränkungen für ausländische Investitionen gibt (vgl. Art. 23 Abs. 2).

In China soll in naher Zukunft ein eigenes KI-Gesetz entstehen.

Zum Thema:

• GTAI-Rechtsbericht China: E-Commerce und Datenschutz vom 6. September 2022

Von Julia Merle | Bonn