Regulierung von KI – Gesetzgebungsprozess auf EU-Ebene biegt in die Zielgerade ein

Wer sich zur Formulierung eines Textes bereits des Sprachroboters ChatGPT bedient hat, ist vermutlich aus dem Staunen nicht mehr herausgekommen. Die Hausaufgabe im Schulfach Deutsch von ChatGPT erledigen lassen, wäre somit also durchaus denkbar. Gut möglich aber, dass der Betrug rasch ans Licht kommt. ChatGPT ist derzeit noch nicht so ausgefeilt, dass die ansonsten übliche Schreibweise / Ausdrucksweise – ggf. auch gelegentliche Rechtschreibfehler – nachgeahmt werden kann. Gut also, dass die Möglichkeiten von KI (Künstliche Intelligenz) nicht (rein) auf die Erledigung der Hausaufgaben beschränkt sind. Das Anwendungsfeld von KI ist schier unendlich. Dabei wirft der Einsatz von KI durchaus gewichtige Fragestellungen auf, immer lauter wird der Ruf nach Regulierung.

Schon seit 2021 liegt der Vorschlag der Europäischen Kommission zur Reglementierung von Künstlicher Intelligenz im Wege des Artificial Intelligence Act (AI Act) (COM/2021/206) vor. Unter großem medialen Beifall hat das Europäische Parlament am 14. Juni 2023 seine finale Position zum AI Act veröffentlicht. Somit liegen nach dem Entwurf der Europäischen Kommission und der Position des Rates der Europäischen Union nun alle Positionen vor, und die Verhandlungen (genannt Trilog) über die endgültigen Inhalte des Europäischen Regelwerks für Künstliche Intelligenz können beginnen.

Was fällt unter KI?

Der Kommissions-Entwurf des AI Acts definiert den Begriff des Systems der künstlichen Intelligenz (KI-System) relativ weit, dazu hagelte es seit Vorlage des Entwurfs Kritik: Die Begrifflichkeit der KI sei zu weit gefasst, eine Abgrenzung zur Software kaum möglich. Europa würde damit in erster Linie eines erreichen: Nämlich Rechtsunsicherheit und ein Klima der Innovationsfeindlichkeit, das zu Wettbewerbsnachteilen führt, so zahlreiche Äußerungen aus Literatur und Praxis. Bislang scheint der EU-Gesetzgeber davon aber wenig beeindruckt: Die Definition eines KI-Systems wurde sogar nach Einschätzung noch weiter gefasst: ein KI-System soll nach dem Standpunkt des EU Parlaments ein maschinenbasiertes System sein, welches mit unterschiedlich ausgeprägter Autonomie arbeitet und Vorhersagen, Empfehlungen oder Entscheidungen generieren kann, die die Umgebung (physisch oder virtuell) beeinflussen.

Risikobasierter Ansatz: Je höher das Risiko, desto strenger die Regelungen

Der AI Act klassifiziert die KI nach vier Risikogruppen, von minimalem bis zu unannehmbarem Risiko. Die Ausprägung der Einschränkungen soll dem jeweiligen Risikopotential angepasst sein: Je höher das Risiko, desto strenger die Regelungen. Gewisse Praktiken, wie etwa das „Social Scoring“, dem Bewerten des Verhaltens von Menschen innerhalb einer Gesellschaft, unterliegen einem gänzlichen Verbot.

Im Zentrum des AI Acts steht die Regulierung von Hochrisiko-KI-Systemen. Nach den bislang vorliegenden Stellungnahmen gelten KI-Systeme dann als Hochrisiko-KI, wenn sie u. a. erheblich schädliche Auswirkungen auf die Gesundheit, Sicherheit und Grundrechte nach sich ziehen können. Im Anhang III des AI Acts werden die Systeme beispielhaft genannt, darunter u. a. auch „grundlegende private und öffentliche Dienste und Leistungen“. So werden etwa Kreditwürdigkeitsprüfungen als Hochrisiko-Systeme gelten.

In einem behördlichen Verfahren soll aber auch festgestellt werden können, dass ein KI-System nicht als Hochrisiko-KI gilt.

Folgen für den Anbieter / Nutzer von KI

Derjenige, der eine KI anbietet, also die KI entwickelt oder entwickeln lässt, um sie unter seinem eigenen Namen in Verkehr zu bringen oder in Betrieb zu nehmen (Anbieter), muss die Einhaltung der Anforderungen an Hochrisiko-KI sicherstellen und ein Risikomanagementsystem einrichten, das besondere Anforderungen zu erfüllen hat (z. B.: Qualitätsmanagement- und Registrierungspflichten, Dokumentationspflicht, CE-Kennzeichnung). An Generative KI (wie ChatGPT) werden besondere Anforderungen gestellt (u. a. Transparenz, öffentliche Dokumentation bei Verwendung von urheberrechtlich geschützten Trainingsdaten).

Aber auch die Nutzer von Hochrisiko-KI haben Pflichten, wie Überwachungspflichten anhand der Gebrauchsanweisungen sowie Informationspflichten an den Anbieter im Falle von schwerwiegenden Vorfällen; ggf. ist sogar eine Verständigung der Marktaufsichtsbehörde erforderlich. Sobald Nutzer in die Hochrisiko-KI eingreifen oder die Zweckbestimmung einer Hochrisiko-KI ändern, treffen sie die gleichen Pflichten wie einen Anbieter von Hochrisiko-KI.

Bei Missachtung drohen empfindliche Strafen, die jene der DSGVO sogar noch übersteigen können.

Wer haftet, wenn die KI einen Fehler macht?

Offen ist auch die Frage, wer dafür einzustehen hat, wenn durch ein KI-System ein Schaden entsteht. Mit dem Vorschlag zum Erlass einer Richtlinie zur Anpassung der Vorschriften über außervertragliche zivilrechtliche Haftung für Künstliche Intelligenz (COM/2022/496, KI-Haftungsrichtlinie), soll die Rechtsdurchsetzung bei Schäden im außervertraglichen Bereich erleichtert werden. Unter gewissen Umständen soll gerichtlich angeordnet werden können, dass Beweismittel zu einer Hochrisiko-KI offengelegt werden müssen (die Ergebnisse können in weiterer Folge auch zur Geltendmachung vertraglicher Ersatzansprüche verwendet werden). Zudem wird widerlegbar vermutet, dass ein ursächlicher Zusammenhang zwischen Verschulden und dem vom KI-System hervorgebrachten Ergebnis besteht.

Es soll auch eine Novellierung der Richtlinie über die Haftung für fehlerhafte Produkte (COM2022/495) und die Verordnung über Maschinenprodukte (Maschinenverordnung) (COM2021/0105) erfolgen.

Ab wann gelten die Regelungen?

Ob der AI Act und die KI-Haftungsrichtlinie noch 2023 verabschiedet werden, ist noch ungewiss. Für den Rechtsanwender sollen die Regelungen dann nach Ablauf weiterer 24 Monate gelten, wobei die KI-Haftungsrichtlinie im Vorfeld noch innerstaatlich umzusetzen ist.

Kooperation mit 7lytix

Gemeinsam mit der renommierten Linzer Softwareentwicklungsfirma 7lytix GmbH unter der Leitung von Franziskos Kyriakopoulos bieten wir eine neu entwickelte Due Diligence Prüfung speziell für den Einsatz von künstlicher Intelligenz an. Diese unterstützt Unternehmen beim Erwerb solcher Systeme, indem sie einerseits die technischen Fähigkeiten bzw. Ausgereiftheit des Einsatzes von KI bewertet und andererseits aufzeigt, ob deren Einsatz den aktuellen und vor allem künftig geltenden gesetzlichen Regelungen entspricht.

Wir sind zudem stolz, Unterstützer des OÖ KI Venture Hub zu sein, in welcher sich die AI Community in Oberösterreich zusammengeschlossen hat, um sich der vielen spannenden Fragen rund um den Einsatz von KI gemeinsam zu stellen. Einen Rückblick zum vergangenen OÖ KI Venture Hub Kick-Off-Event im März finden Sie hier. Mehr Infos zum Thema AI u. a. von 7lytix und uns gibt es am 28.09.2023 beim 2. AI Ventures Event. Dort wird neben internationalen Gästen auch Staatssekretär Florian Tursky, MSc. MBA., vor Ort sein.

Disclaimer

Dieser Beitrag stellt lediglich eine allgemeine Information dar und ersetzt keine Rechtsberatung. Die Haslinger / Nagele Rechtsanwälte GmbH übernimmt keinerlei Haftung für Inhalt und Richtigkeit dieses Beitrages.

22. Juni 2023