AI Regulation and Justice. Legal and Technology concept. Hologram of the Brain and Statue of Goddess Themis: Symbols of Law, Equality, Legislation and artificial intelligence.

Ratgeber

Artificial Intelligence Act - das müssen Unternehmen wissen

Künstliche Intelligenz (KI) ist zu einem zentralen Bestandteil der digitalen Wirtschaft geworden. Ob in der Fertigung, im Gesundheitswesen oder im Finanzsektor – KI treibt Innovationen voran und schafft neue Möglichkeiten. Die Europäische Union hat mit dem Artificial Intelligence Act (AI Act) dazu einen rechtlichen Rahmen verabschiedet mit dem Ziel, vertrauenswürdige KI und verantwortungsvolle KI-Innovationen in Europa zu fördern. Basierend auf einen risikobasierten Ansatz ist die Verordnung seit dem 1. August 2024 in Kraft getreten. Die EU-Mitgliedsstaaten sind nun in der Verpflichtung, den AI Act ins nationale Recht einzubinden. Die Konkretisierung der rechtlichen Anforderungen erfolgt aktuell noch an diversen Stellen. KI-entwickelnde wie auch KI-nutzende Unternehmen sollten sich trotzdem jetzt schon auf die Umsetzung vorbereiten. Dafür gilt es, sich früh mit den komplexen Anforderungen des AI Acts auseinanderzusetzen.

Inhaltsnavigation

Warum gibt es den AI Act?
Für wen gilt der AI Act?
Risikobasierter Ansatz
Pflichten für Anbieter von Hochrisiko-KI
Pflichten für Betreiber von Hochrisiko-KI
KI-Kompetenzvermittlung (Artikel 4)
KI mit allgemeinem Verwendungszweck
Pflichten für Anbieter von GPAI
Pflichten für Betreiber von GPAI
KI-Aufsichtsbehörde in Deutschland
Was passiert bei Regelbrüchen?
Welche Umsetzungsfristen müssen Unternehmen kennen?
Checkliste AI Act
Mismatch AI Act und Datenschutz
Was sind Sandboxes und wie unterstützen sie Unternehmen bei der konformen KI-Entwicklung?
IHK Positionspapier AI Act
BIHK-Webinarreihe: AI Act umsetzen
Hilfreiche Links

Warum gibt es den AI Act?

Der AI Act wurde eingeführt, um die potenziellen Risiken, die mit dem Einsatz von Künstlicher Intelligenz verbunden sind, zu minimieren. Es gibt Bedenken, dass KI-Systeme diskriminieren könnten,

  • z. B. wenn sie auf voreingenommenen Datensätzen basieren (KI Bias),
  • Nutzer manipulieren oder täuschen
  • oder verwendet werden könnten, um Menschen unrechtmäßig zu überwachen.

Dabei ist der AI Act eine sektorübergreifende Verordnung, die sicherstellt, dass KI die mit EU Bürgerinnen und Bürgern agiert deren Sicherheit, Gesundheit und Grundrechte wahrt und im Einklang mit europäischen Werten eingesetzt wird.

Übersicht: Für wen gilt der AI Act?

Anbieter Betreiber Produkthersteller Bevöllmächtigter Einführer Händler

Entwickeln KI-Systeme, stellen sie zur Nutzung bereit oder bringen sie unter eigenen Namen oder eigener Handelsmarke auf den Markt

Nutzen KI-Systeme oder integrieren sie in interne Prozesse

Bieten oder vertreiben KI-Anwendungen unter eigenen Namen oder eigener Marke in der EU als Produkt oder Bestandteil eines Produkts an.

In der EU niedergelassene Vertreter von ausländischen KI-Anbietern

Bringen KI-Systeme von ausländischen Anbietern auf den europäischen Binnenmarkt.

Vertreiben KI-Produkte an Endnutzer oder andere Unternehmen.

Beispiel: Open AI ist Anbieter von ChatGPT

Beispiel: Eine Bank, die KI zur Betrugserkennung von Transaktionen verwendet

Beispiel: Ein Autohersteller, der KI zur Produktentwicklung nutzt

Beispiel: Anwaltskanzleien

Beispiel Eine EU-Tochtergesellschaft, die das KI-System auf den Markt bringt

Beispiel Unternehmen

Für wen gilt der AI Act?

Der Rechtsrahmen gilt nach dem Marktortprinzip

  • für jegliche Akteure innerhalb und außerhalb der EU,
  • die ein KI-System in der Union auf den Markt bringen
  • und dessen Verwendung Auswirkungen auf EU-Bürgerinnen und EU-Bürger hat.

In Anbetracht der breiten Anwendungsbereiche von KI nimmt der AI Act jegliche Akteure entlang der Wertschöpfungskette in Verantwortung, wenn auch mit unterschiedlichem Maß.

Wichtig zu wissen ist, dass im Rahmen des AI Acts verschiedene Akteure in die Rolle des Anbieters wechseln könnten, mit den dazugehörigen Pflichten.

Besondere Vorsicht gilt bei Hochrisiko-KI. Bringen Einführer, Produkthersteller oder Betreiber ein Hochrisiko-KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke auf den Markt oder nehmen es in Betrieb, gelten sie als Anbieter im Sinne des AI Acts und müssen die Pflichten aus Art. 16 (Art. 28) erfüllen. Insbesondere bei Produktherstellern kann dies der Fall sein, die Produkte meist unter eigenem Namen auf den Markt bringen.

Dies gilt auch, wenn Unternehmen die Zweckbestimmung eines Hochrisiko-KI-Systems ändern oder wesentliche Änderungen daran vornehmen, die es weiterhin als Hochrisiko-KI-System einstufen würde. Umgekehrt könnten Änderungen dazu führen, dass ein KI-System oder dessen Zweckbestimmung dieses zu einem Hochrisiko-KI-System machen könnten.

In solchen Fällen haftet der ursprüngliche Anbieter nicht mehr und der neue Anbieter ist für die Erfüllung aller Anforderungen der KI-Verordnung verantwortlich. Der ursprüngliche Anbieter muss dem neuen Anbieter jedoch die notwendigen Dokumentationen und Unterlagen zur Verfügung stellen. Diese gilt es umfassend zu prüfen und Korrekturen vorzunehmen, wenn notwendig.

Risikobasierter Ansatz

Risikopyramide AI Act

Quelle: Europäische Kommission

Der AI Act legt besondere Anforderungen für unterschiedliche Arten von KI fest, abhängig von ihrem Risikopotenzial. Kurz um gilt: je höher das Risiko, desto strenger die Anforderungen.

Was müssen Unternehmen tun?

Unternehmen müssen ihre KI-Systeme nach den klassifizierten Risiken einordnen, um entsprechende Maßnahmen zu ergreifen.

Unterschieden wird in vier Risikokategorien:

Gemäß Artikel 5 des AI Act sind bestimmte KI-Praktiken verboten, da sie ein unannehmbares Risiko für die Sicherheit, die Grundrechte oder die Werte der Europäischen Union darstellen.. Diese müssen seit dem 2. Februar 2025 vom EU-Binnenmarkt genommen werden. Dazu gehören:

  • Manipulative Techniken: KI-Systeme, die durch unterschwellige Methoden das Verhalten von Personen beeinflussen und deren Willensfreiheit beeinträchtigen.
  • Ausnutzung von Schwächen besonders schutzbedürftiger Personen (Ältere, Kinder, Menschen mit Behinderung oder in einer sozioökonomisch schwachen Situation), um deren Verhalten zu beeinflussen. Beispiel: wenn Krankenkassen von älteren Menschen mit chronischen Krankheiten höhere Beitragsforderungen verlangen würden.
  • Bewertung des sozialen Verhaltens, etwa Social Scoring für öffentliche und private Zwecke, die zu ungerechtfertigten oder diskriminierenden Behandlungen führt, z.B. wenn ein Vermieter Bewerber aufgrund von Information aus sozialen Medien oder aus anderen digitaler Daten potentielle Mieter bewertet.
  • Biometrischen Echtzeit-Fernidentifizierung: Einsatz von KI zur biometrischen Echtzeit-Fernidentifizierung (z. B. Gesichtserkennung) in Echtzeit in öffentlichen Bereichen, mit bestimmten Ausnahmen wie der Strafverfolgung bei schweren Straftaten, terroristischen Attacken oder der Suche von Vermissten.
  • Biometrischen Kategorisierung zur Ableitung der ethnischen Herkunft, religiösen Zugehörigkeit, politischen Auffassung, Mitgliedschaft in einer Gewerkschaft oder sexuellen Orientierung - mit Ausnahmen bei der Strafverfolgung
  • Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen - Der Einsatz von KI zur Emotionserkennung am Arbeitsplatz ohne Zustimmung der Mitarbeiter ist verboten.. Ausnahme bestehen bei medizinischen Zwecke oder sicherheitsrelevanten Aspekte

Am 4. Februar 2025 veröffentlichte die Europäische Kommission Leitlinien der zur Definition von verbotenen KI-Systemen. Aus dem umfangreichen Dokument wird deutlich, dass die Grenzen zwischen verbotenen und erlaubten KI-Systemen oft schmal sind und eine sorgfältige Prüfung erfordern:

Praxisbeispiele zur Verdeutlichung:

  • Verboten: Ein Einzelhändler setzt ohne Wissen der Kunden KI ein, um deren Emotionen während des Einkaufs zu analysieren und das Kaufverhalten zu beeinflussen.
  • Erlaubt: Ein Online-Shop empfiehlt Produkte basierend auf früheren Käufen eines Kunden, wobei der Kunde über diese Funktion informiert wurde und sie deaktivieren kann.
  • Verboten: Eine Regierung bewertet Bürger basierend auf ihrem Online-Verhalten und gewährt oder verweigert ihnen daraufhin bestimmte Dienstleistungen.
  • Erlaubt: Eine Bank bewertet die Kreditwürdigkeit eines Kunden basierend auf finanziellen Daten, wobei transparente Kriterien verwendet werden und der Kunde die Möglichkeit hat, die Entscheidung anzufechten.

Die überwiegende Mehrheit der im AI Act angegebenen Maßnahmen beziehen sich auf Hochrisiko-KI-Systemen. Sie können in sensiblen Bereichen eingesetzt werden und bei Fehlfunktionen oder Missbrauch ernsthafte Konsequenzen haben könnten, z.B. beim autonomen Fahren. Für sie gelten strenge Verpflichtungen. Ob ihr KI-System als hochriskant gilt, hängt davon ab, ob es unter eine der Produktregulierung nach Anhang I erfüllt oder in eines der acht Bereiche unter Anhang II gelistet ist.

Anhang I bezieht sich auf KI-Systeme, die als Sicherheitskomponenten von Produkten verwendet werden oder selbst als Produkt gemäß der diversen EU-Harmonisierungsvorschriften gelten, die eine Konformitätsprüfung durch Dritte brauchen. Hiervon sind Unternehmen betroffen, die u.a. Spielzeuge, Maschinen oder Fahrzeuge herstellen.

Anhang III hingegen listet acht Bereiche auf, in denen der Einsatz von KI-Anwendungen als hochriskant für die persönlichen Grundrechte eingestuft werden:

  • Biometrischen Fernidentifizierungssysteme
  • KI-Systeme, die als Sicherheitsbauteile in kritischer Infrastruktur eingesetzt werden, etwa im Straßenverkehr, der Wasser-, Gas-, Wärme- oder Stromversorgung
  • KI-Systeme, die die Eignung, Zugangsberechtigung zur oder die Lernergebnisse in der allgemeinen und beruflichen Bildung von Personen bewerten
  • KI-Systeme, die in der Beschäftigung, im Personalmanagement und Zugang zur Selbstständigkeit Einfluss auf die Einstellung, auf ein Arbeitsverhältnis oder die Erteilung von Berufserlaubnissen und Lizenzen haben können, z.B. den beruflichen Aufstieg verhindern
  • Zugang und Teilhabe an grundlegenden privaten und öffentlichen Diensten und Leistungen, beispielsweise im Falle eines dringenden Polizei- oder Feuerwehreinsatzes, bei Vergabeentscheidung von Krediten oder bei der Preis- und Risikobewertung von Lebensversicherungen
  • Beim Einsatz nach der im europäischen und nationalen Recht zulässigen Strafverfolgung, etwa bei Lügendetektoren oder zur Bewertung von Beweismitteln
  • Bei Migration, Asyl und Grenzkontrollen gemäß des europäischen und nationalen Rechts, für Asyl- und Visaanträge oder zur Aufdeckung, Anerkennung und Identifizierung von Personen
  • KI-Systeme, die Justizbehörden unterstützen und demokratische Prozesse beeinflussen können, z.B. das Wahlverhalten und Wahlergebnisse.

KI-Systeme, die mit Personen interagieren und nur ein geringes Risiko darstellen, etwa Chatbots, müssen die Nutzer darüber informieren, dass es sich um eine KI handelt oder Inhalte wie Bilder künstlich erzeugt sind.

Unternehmen müssen hier die Transparenz- und Informationspflichten des AI Acts anwenden.

Insbesondere Deepfakes, die in Form von Bildern, Videos, Audio oder auch Text manipulative oder irreführende …auf …haben, bedürfen einer als KI-genierte Kennzeichnung. Dies gilt sowohl für Anbieter als auch Betreiber. für KI-Modelle mit besonders hohem Wirkungsgrad eine weitere Abstufung des systemischen Risikos gibt mit komplexeren Vorschriften für Anbieter.

Hierzu zählen Systeme, die kein nennenswertes Risiko bergen, etwa Spamfilter. Unternehmen wird nahegelegt, einen freiwilligen KI-Verhaltenskodex umzusetzen. Laut AI Act ist die Kommission verpflichtet, innerhalb von zwölf Monaten nach in Kraft treten des AI Acts einen KI-Verhaltenskodex unterstützend anzubieten.

Pflichten für Anbieter von Hochrisiko-KI

Die umfangreichsten Pflichten müssen Unternehmen erfüllen, die als Anbieter von Hochrisiko-KI definiert werden. Unter Abschnitt II des AI Acts finden Unternehmen die technischen, sicherheitsrelevanten und organisatorischen Pflichten, die im Falle von Nicht-Einhaltung zu hohen Bußgeldern führen können.

Damit nachstehende Akteure voll und ganz über die Funktionen, den Verwendungszweck und die Gefahren der KI-Systeme Kenntnis haben, müssen Anbieter ihnen eine gut verständliche Gebrauchsanweisung übermitteln. Dazu gehören u.a.:

  • Name und Kontaktdaten des Anbieters (ggf. Auch des Bevollmächtigten)
  • Merkmale, Fähigkeiten und Leistungsgrenzen des Hochrisiko-KI-Systems (inkl. Zweckbestimmung)
  • Maßnahmen zur menschlichen Aufsichtspflicht
  • Mechanismen für den Zugriff auf die Protokollierung
  • Die ausführlichen Informationen sind unter Artikel 13 gelistet.

Ein Risikomanagementsystem für Hochrisiko-KI-Systeme muss eingerichtet, dokumentiert und kontinuierlich während des gesamten Lebenszyklus aufrechterhalten werden. Anbieter müssen umfassende Risikomanagementmaßnahmen ergreifen, um bekannte und vorhersehbare Risiken für die Gesundheit, Sicherheit und Grundrechte von Personen zu identifizieren, zu analysieren und zu bewerten, einschließlich möglicher Fehlanwendungen und Risiken, die nach der Markteinführung auftreten könnten. Zudem müssen Hochrisiko-KI-Systeme während der Entwicklung regelmäßig getestet werden

Die verwendeten KI-Modelle müssen mit Datensätzen trainiert, validiert und getestet werden, die den Qualitätsanforderungen des AI Acts (Artikel 17) entsprechen. Dies betrifft die Menge, Verfügbarkeit und Eignung der Datensätze und die Vermeidung möglicher Verzerrungen, Datenlücken oder Mängel.

Vor dem Inverkehrbringen oder der Inbetriebnahme eines Hochrisiko-KI-Systems in der EU muss eine technische Dokumentation erstellt werden. Sie muss belegen, dass alle Anforderungen an Hochrisiko-KI-Systeme erfüllt sind und den Behörden ermöglichen, die Konformität des Systems zu überprüfen.

Hochrisiko-KIs sind so zu entwickeln, dass eine automatische Protokollierung der Ergebnisse abrufbar ist. Dies dient für den Fall, dass wesentliche Änderungen vorgenommen wurden, und können von den Behörden verlangt werden.

Unternehmen müssen bei der Entwicklung einer Hochrisiko-KI eine Mensch-Maschine-Schnittstelle ermöglichen. Durch die Möglichkeit der Überwachung durch natürliche Personen sollen Risiken für die Gesundheit, Sicherheit und Grundrechte verhindert bzw. minimiert werden. Die Verpflichtung zur KI-Kompetenzvermittlung kommt hier ebenso zum Tragen. Dabei ist sicherzustellen, dass die verantwortliche Person in der Lage ist das KI-System zu verstehen, bei Fehlausführungen entsprechend einzugreifen und die Ergebnisse stehts zu hinterfragen (Vermeidung einer Automatisierungsbias). Kommt es zu erheblichen Ausfällen muss das KI-System technisch ausgeschaltet werden können, beispielsweise mittels einer Stopptaste.

Ebenso sollte ein Mensch stets die letzte Entscheidung beim Einsatz von KI haben. Beispiel: Eine Bank benutzt KI zur Ermittlung der Kreditwürdigkeit von Personen. Das Ergebnis der KI sollte dabei nicht ohne menschliche Einbindung Anwendung finden.

  • Genauigkeit bezieht sich darauf, wie gut die Vorhersagen des Modells mit den tatsächlichen Daten übereinstimmen.
  • Robustheit bedeutet, dass das System widerstandsfähig gegenüber Fehlern, Störungen und Unstimmigkeiten ist, insbesondere in seiner Interaktion mit Menschen oder anderen Systemen.
  • Cybersicherheit soll sicherstellen, dass das System gegen Angriffe resistent ist, die seine Leistung oder Sicherheitsmerkmale beeinträchtigen könnten oder Nutzer böswillig manipulieren könnten.

Darüber hinaus müssen Anbieter folgenden Pflichten nachkommen:

  • Qualitätsmanagement gemäß Artikel 17 einhalten
  • Kennzeichnungspflicht (Informationen über den Anbieter)
  • Aufbewahrung der Dokumente gemäß Artikel 18
  • Korrekte Aufbewahrung der Protokolle
  • Konformitätsbewertungsverfahren bevor das KI-System eingeführt oder in Betrieb genommen wird
  • EU-Konformitätserklärung gemäß Artikel 47 erstellen
  • CE-Kennzeichnung kenntlich machen an KI-System oder seiner Verpackung
  • Registrierungspflichten gemäß Artikel 49, Abs. 1 nachkommen
  • Bei Korrekturmaßnahmen die erforderlichen Informationen bereitstellen gemäß Artikel 20
  • Nachweispflicht über eingehaltene Verpflichtungen nach Abschnitt II des AI Acts, sofern eine Behörde dies anfordert
  • Barrierefreiheitsanforderungen gemäß den Richtlinien (EU) 2016/2102 und (EU) 2019/882 erfüllen

Pflichten für Betreiber von Hochrisiko-KI

Betreiber von Hochrisiko-KI haben vor allem eine Transparenz- und Informationspflicht zu erfüllen, die denen der Anbieter ähnelt sowie bestimmte Umsetzungspflichten des Anbieters zu überprüfen. Dabei handelt es sich um:

  • KI-Kompetenzvermittlung der Mitarbeiter
  • angemessene technische und organisatorische Maßnahmen ergreifen, um den sicheren und ordnungsgemäßen Betrieb des KI-Systems zu gewährleisten, wie vom Anbieter in der Gebrauchsanweisung beschrieben
  • Menschliche Aufsichtspflicht erfüllen
  • auf eine zweckgebundene Nutzung achten, um nicht in die Rolle des Anbieters zu rutschen
  • Benachrichtigung des Anbieters, Händlers oder der Marktüberwachungsbehörde bei Zweifeln über die Konformität der Hochrisiko-KI bis hin zum Aussetzen des KI-Systems im Notfall
  • Aufbewahrungspflicht der vom Anbieter erstellten Protokolle (mind. 6 Monate)
  • Prüfen, ob die EU-Konformitätserklärung vom Anbieter erstellt wurde
  • Prüfen, ob das KI-System in der EU-Datenbank registriert wurde (Hochrisiko-KI in kritischer Infrastruktur wird in der nationalen Datenbanken registriert)
  • Kooperation mit den zuständigen Behörden

Arbeitgeberpflicht zur KI-Kompetenzvermittlung (Artikel 4)

Seit dem 2. Februar 2025 ist die Arbeitgeberpflicht in der KI-Kompetenzvermitllung in Kraft getreten. Demnach gilt es sicherzustellen, dass alle Mitarbeitenden die entweder„nur“ Chat GPT benutzen oder KI-Systeme entwickeln über ein ausreichendes Maße an KI-Kompetenz verfügen müssen. über die erforderlichen Kompetenzen und Kenntnisse verfügen.

Der AI Act definiert in Artikel 4, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen müssen, „um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit […] KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI- Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind“.

Art. 3(56) definiert KI-Kompetenz als „die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroenen […] ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden“

Dies betrifft Anbieter und Betreiber, unabhängig davon, ob es sich um eine KI mit minimalem oder hohen Risiko handelt. Zusammenfassend sind folgende Aspekte zu berücksichtigen:

  • Technische Kenntnisse und Erfahrung der Mitarbeitenden
  • Umfang der Ausbildung und Schulung
  • Der Kontext, in dem KI-Systeme eingesetzt werden
  • Die betroffenen Personen oder Personengruppen

Zudem bietet es sich an, das Thema Datenschutz aufzugreifen und Mitarbeitende gemäß DSGVO aufzuklären.

Im Webinar der Europäischen Kommission zur KI-Kompetenzvermittlung am 20. Februar 2025 gab die Kommission an, dass eine Zertifizierung über relevante Schulungen von seiten der Europäischen Kommission nicht verpflichtend sei. Vielmehr sei es ratsam, den Zeitpunkt und die Teilnehmenden der Schulungen zu dokumentieren u.a. für den Fall von Haftungsfragen.

Um den gesetzlichen Anforderungen nachzukommen, sollten Unternehmen folgende Maßnahmen ergreifen:

  • Erstellung eines KI-Inventars: Erfassen Sie alle im Unternehmen verwendeten KI-Anwendungen. Nutzen Ihre Mitarbeitenden ChatGPT oder Co-Pilot? Entwickeln sie KI-Systeme selbst?
  • Rollen und Verantwortlichkeiten klären: Welche Rolle nehmen Ihre Mitarbeitenden ein, und welche Pflichten sind damit verbunden? Sind sich alle Beteiligten ihrer Verantwortung bewusst?
  • Bestandsaufnahme der KI-Kompetenz: Welche Kenntnisse haben Ihre Mitarbeitenden bereits? Gibt es Unterschiede im Kenntnisstand?
  • Schulungsprogramme entwickeln und implementieren: Sorgen Sie für strukturierte Schulungen, die die notwendigen technischen und ethischen Grundlagen für den Umgang mit KI vermitteln. Sind alle auf dem gleichen Stand? Reicht eine generelle Schulung aus oder muss ich einzelne Mitarbeitenden oder Abteilungen einen vertieften Kenntnisstand vermitteln?
  • Trainings zur sicheren Nutzung von KI-Systemen bereitstellen: Insbesondere in sicherheitskritischen oder sensiblen Bereichen sind spezifische Schulungen notwendig.
  • Regelmäßige Auffrischungskurse anbieten: Halten Sie Ihr Team durch kontinuierliche Fortbildungen auf dem neuesten Stand der KI-Entwicklung und Best Practices.

KI mit allgemeinem Verwendungszweck: mit und ohne systemischem Risiko

KI mit allgemeinem Verwendungszweck, auch General Purpose Artificial Intelligence (GPAI) genannt, hat ein erhebliches Einsatzspektrum. Dies macht sie zu einem kraftvollen Werkzeug für Innovation und Effizienzsteigerung etwa als virtueller Assistent im Kundenservice oder bei der Analyse von Krankheitsdaten.

Der Unterschied zwischen GPAI ohne und mit systemischem Risiko besteht hauptsächlich in der Höhe des Wirkungsgrades, die sie für den Markt und die Gesellschaft darstellen. Daraus ergeben sich strengere regulatorischen Anforderungen und Schutzmaßnahmen, die von Anbietern und Bevollmächtigten erfüllt werden müssen.

GPAI mit systemischem Risiko (Artikel 51)

Als GPAI mit systemischem Risiko werden KI-Modelle bezeichnet, die eine der folgenden Bedingungen erfüllen. Zum einen, wenn es sich um GPAIs mit einem hohen Wirkungsgrad handelt. Unter Artikel 51, Absatz 2 wird hierzu eine Gesamtrechenleistung von mehr 10^25 FLOPs (Floating Point Operations) genannt, die beim Training verwendet wurden. Zum anderen, wenn eine der acht in Anhang XIII gelisteten Kriterien zutrifft. Diese reichen von der Größe oder Qualität der Datensätze bis zu der Anzahl der Parameter. Interessant sind hierbei auch Buchstabe f) und g) des Anhangs, die auf die Reichweite eingehen. Während die Zahl der registrierten Endnutzer offen bleibt, können mindestens 10.000 gewerblich in der EU registrierte Nutzer das GPAI-Modell als systemisch riskant einstufen. Daraus ließe sich schließen, dass ChatGPT als ein solches gelten dürfte.

Pflichten für Anbieter von GPAI ohne und mit systemischem Risiko

Anbieter von generativen KI-Modellen (GPAI) müssen detaillierte technische Dokumentationen des KI-Modells sowie der Trainings-, Testverfahren und damit einhergehende Ergebnisbewertungen erstellen. Diese sind stets zu Aktualisierung und müssen die Mindestanforderungen von Anhang XI enthalten, z.B. Informationen über den Verwendungszweck oder die Lizenz.

Anbieter von GPAI müssen eine Gebrauchsanweisung für nachgelagerte Anbieter erstellen, die eine zweckbestimmte Nutzung ermöglicht sowie die Risiken des KI-Systems erklärt. Diese müssen die Transparenzinformationen von Anhang XII entsprechen, damit Betreiber oder Händler ihren Pflichten nachgehen können.

KI-entwickelnde Unternehmen müssen eine entsprechende technische Lösung implementieren, die beim Trainieren der Modelle das Urheberrecht nicht verletzt. Gleichzeit sind Unternehmen beraten darauf zu achten, ob Urheber der genutzten Daten ein Verbot für Testzwecke erlassen hat. Dies ist zum Beispiel der Fall bei der New York Times, die dies in ihren AGBs verboten hat.

Anbieter müssen eine detaillierte Zusammenfassung der Trainingsdaten anfertigen. Zur Unterstützung ist das Europäische Amt für KI dabei, eine Vorlage für Unternehmen auszuarbeiten.

Anbieter sollen bei Auskunftsfragen mit der Europäischen Kommission und den zuständigen nationalen Behörden zusammenarbeiten. Dies beinhaltet auf Anfrage die notwendigen Dokumentationen auszuhändigen.

In diesem Fall müssen nebst der oben erklärten Transparenzpflichten für GPAI, zusätzliche Compliance Anforderungen durchgeführt werden.

Dazu gehört ein Risikomanagementsystem wie im Falle einer Hochrisiko-KI, eine Meldepflicht gegenüber dem Europäischen Amt für Künstliche Intelligenz (ggf. auch an die nationale Behöre) bei erheblichen Vorfällen sowie über die Implementierung der Maßnahmen zur IT-Sicherheit.

Pflichten für Betreiber von GPAI

Die Verordnung erwähnt bei der Nutzung von GPAI keine speziellen Pflichten für Betreiber. Trotzdem ist es ratsam, gerade bei der Nutzung von GPAI mit systemischem Risiko eine Überprüfung der Anbieterverpflichtungen zu erwägen.

KI-Aufsichtsbehörde in Deutschland

Die nationale KI-Aufsichtsbehörde muss spätestens bis zum 2. August 2025 von der Bundesregierung ernannt werden.

Als zentrale Anlaufstelle wird ihre Hauptaufgabe sein, die Einhaltung der Vorgaben des AI Acts in Deutschland zu überwachen. Dazu gehören:

  • die Überprüfung und Zulassung von Hochrisiko-KI-Systemen,
  • Beratung und Unterstützung für Unternehmen
  • Durchführung von Audits und Inspektionen
  • bei Verstößen Sanktionen zu verhängen, die von Bußgeldern bis hin zu Nutzungsbeschränkungen oder dem vollständigen Verbot eines KI-Systems reichen können.

Das Bundesministerium für Wirtschaft und Klimaschutz sieht dafür die Bundesnetzagentur vor, die nebst der Aufsichtsaufgaben auch Maßnahmen zur Innovationsförderung umsetzen soll gemäß der Sandboxes. Der Bundesnetzagentur sollen jedoch nicht alle Kompetenzen im Bereich KI zugeschrieben werden. Produktrelevante Fragen für den Automotivebereich zum Beispiel soll weiterhin das Kraftfahrtbundesamt ausüben.

Die Verhandlungen dazu sind noch nicht abgeschlossen.

Was passiert bei Regelbrüchen?

Die Sanktionsregeln sehen vor, dass Mitgliedstaaten bei Verstößen gegen KI-Vorschriften wirksame und abschreckende Strafen verhängen müssen.

Die Summen variieren je nach Schwere des Verstoßes und berücksichtigen die Unternehmensgröße.

  • Verstöße bei verbotenen Praktiken aus Artikel 5 oder Verletzungen von Datenanforderungen:
    Strafen bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Vorjahresumsatzes (je nachdem, welcher Wert höher ist).
  • Verstöße gegen andere Vorschriften der Verordnung:
    Strafen bis zu 15 Millionen Euro oder 3 % des gesamten weltweiten Vorjahresumsatzes.
    Hierunter fallen Vorschriften für Hochrisiko-KI wie Konformitätsprüfung oder Risikobewältigungsmaßnahmen. Unternehmen, die entlang der Wertschöpfungskette als Akteure (Anbieter, Betreiber, Händler oder Einführer) laut AI Act fungieren, laufen Gefahr, bei nicht konformen Praktiken Geldbußen zu erhalten.
  • Nichteinhalten der GPAI-Vorschriften:
    Strafen bis zu 15 Millionen Euro oder 3 % des gesamten weltweiten Vor-jahresumsatzes.
  • Falsche, unvollständige oder irreführende Angaben an Behörden:
    Strafen bis zu 7,5 Millionen Euro oder 1,5 % des gesamten weltweiten Vorjahresumsatzes.

Für KMUs und Start-Ups gelten jeweils die niedrigeren Schwellenwerte.

Welche Umsetzungsfristen müssen Unternehmen kennen?

zeitplan_ai_act_1

Quelle: IHK für München und Oberbayern

Unternehmen sollten sich für ihre Compliance-Strategie gut mit den verschiedenen Umsetzungsfristen auseinandersetzen, um etwaige Verstöße zu umgehen und ihnen bei dabei hilfreich sein können.

Checkliste für Unternehmen

  • Identifizieren Sie Ihre KI-Systeme: Erfassen Sie alle KI-Systeme, die in Ihrem Unternehmen entwickelt, genutzt oder vertrieben werden.
  • Bewerten Sie das Risiko jedes KI-Systems basierend auf der Einstufung im AI Act (minimales, begrenztes, hohes oder unannehmbares Risiko).

  • Welche Rolle kommt Ihnen bei der Nutzung von KI zu?

  • Technische Dokumentation: Erstellen und pflegen Sie eine umfassende technische Dokumentation für jedes KI-System, insbesondere für Hochrisiko-KI. Diese sollte die Funktionsweise, den Entwicklungsprozess, verwendete Daten und die Risikobewertung umfassen.
  • Erklärbarkeit sicherstellen: Entwickeln Sie Erklärungsmodelle, die die Entscheidungsfindung Ihrer KI-Systeme für Anwender und Aufsichtsbehörden nachvollziehbar machen.
  • Verfahrensverzeichnis: Führen Sie ein Verzeichnis über die eingesetzte KI und dokumentieren Sie deren Zweck, Art und Funktionsweise.

  • Datenqualität prüfen: Stellen Sie sicher, dass die für die Entwicklung und den Betrieb von KI-Systemen verwendeten Daten vollständig, korrekt und repräsentativ sind. Personenbezogene Daten müssen DSGVO-konform verarbeitet werden. Lassen Sie bei Geschäftsgeheimnissen Vorsicht walten.
  • Erwägen Sie, ob eine Datenschutzfolgeabschätzung nach Artikel 35 der DSGVO durchgeführt werden muss.
  • Prüfen Sie, ob ein KI-Systemen auch mit anonymen oder pseudonymen Daten trainiert werden kann.
  • Bias-Vermeidung: Implementieren Sie Maßnahmen, um Verzerrungen (Bias) in den Daten zu erkennen, zu vermeiden und Diskriminierung zu verhindern.
  • Datenverantwortlichkeit: Benennen Sie Verantwortliche für die Datenerfassung, -pflege und -verarbeitung innerhalb Ihres Unternehmens.

  • Menschliche Überwachung gewährleisten: Implementieren Sie Mechanismen, die sicherstellen, dass bei Hochrisiko-KI-Systemen menschliche Eingriffe möglich sind (bis hin zur Stilllegung), wenn Entscheidungen von der KI getroffen werden.
  • Training der Mitarbeiter: Schulen Sie Mitarbeiter, die mit KI-Systemen arbeiten, hinsichtlich deren Funktionen, Risiken und der Vorgehensweise bei Fehlverhalten der KI.

  • Konformitätserklärung: Erstellen Sie eine Konformitätserklärung für jedes Hochrisiko-KI-System, in der bestätigt wird, dass es den Anforderungen des AI Acts entspricht.
  • Externe Audits: Planen und führen Sie regelmäßige Audits durch, um die Einhaltung der Vorschriften zu gewährleisten.

  • Sandbox-Umgebung nutzen: Testen Sie neue oder veränderte KI-Systeme in einer regulierten Sandbox-Umgebung, bevor sie in der Praxis eingesetzt werden.

  • Notfallpläne entwickeln: Entwickeln Sie klare Notfallpläne für den Fall, dass ein KI-System versagt oder unerwartete Entscheidungen trifft und wie in solch einem Fall zu verfahren ist.
  • Stellen Sie sicher, dass das KI-System im Notfall komplett zum Erliegen gebracht werden kann.
  • Sicherheitsupdates: Implementieren Sie regelmäßige Sicherheitsupdates für Ihre KI-Systeme, um Schwachstellen zu beheben.

  • Regelmäßige Überprüfungen: Setzen Sie regelmäßige Überprüfungszyklen ein, um die Einhaltung der Vorschriften kontinuierlich sicherzustellen und das Risikomanagement zu aktualisieren.
  • Technologische Anpassungen: Aktualisieren Sie Ihre KI-Systeme fortlaufend, um mit technologischen Entwicklungen und regulatorischen Änderungen Schritt zu halten.
  • Interne Schulungen: Bieten Sie fortlaufende Schulungen für Ihre Mitarbeiter an, um sie über neue Anforderungen und Best Practices auf dem Laufenden zu halten.

Mismatch AI Act und Datenschutz

Unternehmen, die Künstliche Intelligenz einsetzen, müssen beim Umgang mit personenbezogenen Daten die Datenschutz-Grundverordnung (DSGVO) beachten, die eine rechtmäßige, transparente und zweckgebundene Verarbeitung verlangt.

Werden KI-Systeme mit personenbezogenen Daten trainiert oder verarbeiten sie diese, dann müssen Unternehmen befugt auf einer Rechtsgrundlage gemäß der DSGVO wie z. B. einem berechtigen Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO bzw. bei besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 lit. a DSGVO) in allen Stufen der Datenverarbeitung, d. h. beim Erheben von Trainingsdaten, beim Verarbeiten von Trainingsdaten, bei der Bereitstellung solcher KI-Anwendungen, beim Nutzen von solchen und beim Nutzen von Ergebnissen solcher KI-Anwendungen, hierin enthaltene personenbezogene Daten verarbeiten dürfen. Die ist vorab zu klären und zu dokumentieren im Verzeichnis von Verarbeitungstätigkeiten.

Zudem müssen KI-Systeme so konfiguriert oder eingestellt sein, dass sie den Rechtsgrundsätzen Datenschutz durch Technik bzw. Technikvoreinstellung sowie dem Grundsatz der Datenminimierung (Art.5, Abs. 1 lit. c DSGVO) entsprechen. Unternehmen unterliegen hinsichtlich der Datenverarbeitung den Informationspflichten nach DSGVO. Bei KI-Systemen haben sie stets auch über die involvierte Logik zu informieren. Zwischen dem Anbieter und dem Betreiber einer KI ist ein Vertrag über Auftragsverarbeitung (weisungsgebundene Auftragsverarbeitung) abzuschließen. Hier sind die Vorgaben der DSGVO zu Drittstaatentransfers zu beachten. Je nach Sachverhaltsgestaltung kann anstelle eines Vertrags über Auftragsverarbeitung oder nur für Teile der Datenverarbeitung ein Vertrag über gemeinsame Verantwortliche (wenn gemeinsam Mittel zur und Zwecke der Verarbeitung festgelegt werden) zu schließen sein. Zudem ist nach DSGVO i.V.m. Nr. 11 der sog. „Blacklist“ der DSK (Datenschutzkonferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder) beim Einsatz von KI immer dann eine Datenschutz-Folgenabschätzung durchzuführen, wenn mit dieser KI die Interaktion mit Betroffenen gesteuert oder persönliche Aspekte der betroffenen Person bewertet werden.

Die DSGVO verbietet abgesehen von engen Ausnahmen zudem ein automatisiertes Profiling von Personen, wenn hierdurch erzeugte Entscheidungen dieser Person gegenüber rechtlicher Wirkung entfalten oder diese Person in ähnlicher Weise beeinträchtigen (Art. 22 DSGVO).

Zusätzlich sollten Geschäftsgeheimnisse durch Maßnahmen wie Verschlüsselung, Zugriffsbeschränkungen und Vertraulichkeitsvereinbarungen gesichert werden.

Mehr Informationen: Datenschutz & Künstliche Intelligenz - was bringt der AI Act?

Was sind Sandboxes und wie unterstützen sie Unternehmen bei der konformen KI-Entwicklung?

Sandboxes sind geschützte Umgebungen, in denen Unternehmen ihre KI-Systeme testen und entwickeln können, bevor sie in realen Szenarien eingesetzt werden. Ihr Vorteil für Unternehmen, und speziell KMUs oder Start-Ups, ist die Erprobung in einem sicheren Rechtsrahmen, in dem Risiken erkannt und unter behördlicher Aufsicht behoben werden können. Dadurch sollen Konformitätsbrüche mit dem AI Act vermieden werden. Unternehmen müssen dabei auf gewisse Schutzvorkehrungen achten: Zustimmung der Nutzer, Ausschluss negativer Auswirkungen, Ergebnisse müssen umkehrbar sein und die Daten am Ende des Tests gelöscht werden.

Vorteile von Sandboxes:

  • Sicherheit: Minimierung potentieller Risiken, in dem neue KI-Systeme in einer kontrollierten Umgebung getestet werden
  • Regulatorische Unterstützung: Konformität der getesteten KI-Systeme durch die Zusammenarbeit mit Aufsichtsbehörden

Sandboxes sind per se nichts Neues. Im Bereich FinTech und Krypto betreibt die Bundesanstalt für Finanzdienstleistungsaufsicht bereits ein Reallabor zur Testung neuer Geschäftsmodelle und Technologien von Unternehmen. Im Bereich KI fehlt solch eine Unterstützung bisher. Der AI Act sieht deshalb vor, dass bis zum 2. Februar 2025 pro EU-Mitgliedsstaat mindestens eine Sandbox errichtet werden muss.

Positionierung der IHK zum AI Act

Mit Inkrafttreten des AI Acts am 1. August 2024 steht Deutschland vor der Herausforderung, diese Verordnung in nationales Recht umzusetzen, wobei Unternehmen bereits in den ersten sechs Monaten erste Regelungen beachten müssen. Die Art und Weise, wie Deutschland den AI Act umsetzt, wird entscheidend für die Wettbewerbsfähigkeit der heimischen Wirtschaft sein. Insgesamt hinkt die EU im internationalen Vergleich hinterher.

Die IHK für München und Oberbayern fordert daher in ihrem Positionspapier zur Umsetzung des AI Acts eine zügige Vorlage des Durchführungsgesetzes der Bundesregierung, um Rechtssicherheit zu gewährleisten, europäische Innovationen zu fördern und bürokratische Hürden zu minimieren.

Konkret fordern wir:

  • Eine Harmonisierung des AI Acts mit bestehenden Verordnungen (z.B. der DGSVO, Data Act etc.) statt Doppelregulierung
  • Keine zusätzlichen, national einschränkenden Regulierungen (Gold Plating)
  • Terminologische Auslegungsspielräume z.B. zu KI oder der Bewertung eines KI-Hochrisikosystems zügig konkretisieren
  • Keinen weiteren Bürokratieaufwuchs für Unternehmen
  • Die Bennungen einer zentralen Bundesbehörde, um einen Flickenteppich von 16 Länderbehörden nach dem Vorbild der DSGVO zu vermeiden
  • Eine zeitnahe Einsatzfähigkeit
  • Ausreichend Ressourcen, z.B. um rechtzeitig qualifizierte Fachkräfte anzuwerben
Lesen Sie unser vollständiges IHK-Positionspapier zur Umsetzung des AI Acts HIER.

Webinarreihe: AI Act umsetzen

Die Webinarreihe "AI Act umsetzen" präsentiert von Oktober 2024 bis Februar 2025 im Rahmen der gemeinsamen Digitalisierungsinitiative der Industrie- und Handelskammern in Bayern unterstützt Unternehmen dabei, alle wichtigen Umsetzungspflichten, Herangehensweisen und Risten zu erhalten, um die Herausforderungen der komplexen KI-Gesetzgebung zu meistern.

Referent: Prof. Dr. Christian Djeffal, Assistant Professor für Law, Science and Technology, Technische Universität München

Aufzeichnung des Vortrags: Webinar AI Act, Urheberrecht, Datenschutz – ein Überblick für Unternehmen

Präsentation

Inhalt:
Dieses Webinar bietet eine umfassende Einführung in die am 1 August 2024 in Kraft getretene KI-Verordnung. Beleuchtet wird, welche Ziele die Verordnung verfolgt, was bei der Datennutzung bezüglich der DS-GVO und des Urheberrechts beachtet werden muss sowie die unterschiedlichen Anforderungen gemäß der KI-Risikoklassen. Zudem beleuchten wir den Adressatenkreis entlang der KI-Wertschöpfungskette und geben Ihnen praxisnahe Tipps zur Vorbereitung auf die neuen Regelungen.

  • Überblick über den AI Act und seine Zielsetzungen
  • Definition von „künstlicher Intelligenz“
  • Worauf müssen Unternehmen beim Einsatz von personenbezogenen Daten gemäß DS-GVO achten?
  • Was gilt es bzgl. des Urheberrechts bei Trainingsdaten zu beachten?
  • Kategorisierung von KI-Systemen nach Risiko (unannehmbar, hochriskant, begrenzt, minimal, systemisch)
  • Akteure und Pflichten im AI Act
  • Haftung
  • Erste Schritte zur Vorbereitung für Unternehmen auf die neuen Regelungen

Referent: Dr. Till Klein, Head of Trustworthy AI, appliedAI Institute for Europe gGmbH

Inhalt:
Die richtige Einordnung von KI-Systemen gemäß der vier Risikokategorien des AI Acts ist für Unternehmen von entscheidender Bedeutung. An ihr knüpfen sich technische und organisatorische Auflagen, die umso höher sind, je riskanter die KI ist - insbesondere für Anbieter dieser Technologie.
Doch wie sollen Unternehmen dabei vorgehen? Welche Pflichten bestehen je nach Risikoklasse und Akteur? Diesen und weiteren Fragen werden wir in diesem Webinar nachgehen, um Sie bestmöglich auf die praktische Risikobewertung vorzubereiten.

  • Betrachtung der Klassifikation von KI-Systemen nach Risikokategorien
  • Wie erkennt man hochriskante KI-Systeme im eigenen Unternehmen?
  • Welche Pflichten müssen Akteure je nach KI-Risikoklasse kennen?
  • Welche Anforderungen an Governance und Risikomanagementsysteme müssen erfüllt werden?
  • Welche Unterstützung wird es für die rechtskonforme Entwicklung geben?
  • Vorbereitungsmaßnahmen: Wie wird die Risikobewertung praktisch durchgeführt?

Referenten: Marion Schultz, Rechtsanwältin - Geschäftsführende Gesellschafterin TRENCHANT Rechtsanwalts-GmbH - B2B-IT-Verträge und EU-Digitalrechtexpertin für Unternehmen
Julius Kirschbaum, Wissenschaftlicher Mitarbeiter der Wirtschaftsinformatik an der Friedrich-Alexander-Universität Erlangen-Nürnberg

Aufzeichnung: Webinar: Technische und organisatorische Umsetzung der Verordnung

Präsentation

Inhalt:
Dieses Webinar bietet Ihnen einen umfassenden Einblick in die konkreten Anforderungen und Best Practices zur Einhaltung der EU-Verordnung. Dabei beleuchten wir die zentralen Vorgaben zu Transparenz, Nachvollziehbarkeit, Robustheit und Sicherheit von KI-Systemen. Sie erfahren, wie technische Kontrollen effektiv implementiert werden, welche Dokumentationspflichten bestehen und wie Daten sicher gespeichert werden können, um den regulatorischen Anforderungen gerecht zu werden.

Darüber hinaus gehen wir auf wichtige organisatorische Maßnahmen ein, wie die Etablierung eines KI-Compliance-Verantwortlichen im Unternehmen und die notwendigen Mitarbeiterschulungen, um KI rechtskonform zu entwickeln und zu nutzen. Angesichts der steigenden Risiken durch Cyberangriffe wird auch der Schutz von KI-Systemen vor Bedrohungen thematisiert.

  • Anforderungen an Transparenz, Nachvollziehbarkeit, Robustheit und Sicherheit von KI-Systemen
  • Implementierung von technischen Kontrollen
  • Dokumentationsanforderungen: Was muss dokumentiert und wie gespeichert werden?
  • Mitarbeiterschulung
  • Organisation im Unternehmen: KI-Compliance-Verantwortlicher?
  • Vor Cyberangriffen schützen

Referentin: Larissa Mikolaschek, Head of Tech bei Sest GmbH

Aufzeichnung: Webinar: KI-Modelle mit allgemeinem Verwendungszweck

Präsentation

Inhalt:
Mit dem rasanten Fortschritt der Künstlichen Intelligenz und dem Aufkommen von Modellen mit allgemeinem Verwendungszweck (General Purpose AI, kurz GPAI) stehen viele Unternehmen vor neuen Herausforderungen und Fragen. Welche rechtlichen und ethischen Rahmenbedingungen gelten für diese mächtigen Allrounder-Modelle aus dem AI Act, die potenziell in vielfältigen Anwendungsbereichen eingesetzt oder integriert werden können? In diesem Webinar werfen wir einen detaillierten Blick auf diese spannende und hochaktuelle Thematik.

  • Definition, Bedeutung und Beispiele von GPAI: Was macht diese KI-Modelle so besonders und welche Möglichkeiten eröffnen sie?
  • Abgrenzung zu anderen KI-Anwendungen: Worin unterscheidet sich GPAI von spezialisierten KI-Lösungen.
  • Relevanz für Unternehmen: Wo und wie können Unternehmen GPAI gewinnbringend einsetzen und welche Chancen und Risiken sind dabei zu berücksichtigen?
  • Risikoklassifizierung: Nach welchem Risikoansatz wird GPAI klassifiziert und was bedeutet dies für den Einsatz?
  • Systemisches Risiko bei GPAI: Welche GPAI-Modelle bergen systemische Risiken und welche Besonderheiten sieht der AI Act dafür vor?
  • Verantwortlichkeiten als Anwender und Betreiber: Welche Pflichten haben sie als Anwender oder Betreiber bei der Entwicklung oder Verwendung?
  • Kontrolle und Governance von GPAI-Modellen: Wie sorgen Sie für eine rechtssichere Umsetzung?

Referent: Andreas Sachs, Vizepräsident des Bayerischen Landesamts für Datenschutzaufsicht und Bereichsleiter Cybersicherheit und Technischer Datenschutz

Aufzeichnung: Webinar: Webinar: Künstliche Intelligenz und Datenschutz in der Praxis

Präsentation

Inhalt:
Künstliche Intelligenz (KI) ist in aller Munde und viele Unternehmen in Bayern setzen diese, sei es Chat GPT & Co. oder mittels anderer Softwaresysteme, bereits ein. Die KI-Verordnung (KI-VO) greift schrittweise ab 2025 und bringt zwangsläufig im Augenblick noch mehr Fragen als Antworten mit sich. Zugleich bleibt die Datenschutzgrundverordnung unangetastet beim Themenfeld KI bestehen. In diesem Webinar zeigen wir auf, welche spezifischen Anforderungen und Einschränkungen die Verordnungen für den Umgang mit Daten und KI-Systemen festlegen.

  • Anforderungen an KI aus Sicht des Datenschutzes
  • Gemeinsamkeiten und Unterschiede zum AI Act
  • Tipps für Kleinstunternehmen und KMUs zur rechtssicheren Umsetzung

Referent: Klaus Kilvinger, Geschäftsführer, Opexa Advisory GmbH

Präsentation

Inhalt:
Der Einsatz von KI im Unternehmen hat verschiedene Aspekte, darunter auch organisatorische und regulatorische Fragen. Denn durch die KI-Verordnung setzt die EU einen Mindeststandard zur Bewertung des KI-Einsatzes, zum Risikomanagement sowie zur Dokumentation und der Behandlung der Daten. Die gesetzlichen Anforderungen, auch an Datenschutz und Informationssicherheit, gelten über den ganzen Lebenszyklus der Systeme. Ziel des Webinars ist es, die Norm ISO42001 in den wesentlichen Elementen kennenzulernen und im Kontext zur KI die einfache und gesetzeskonforme Anwendung zu behandeln.

  • KI-Verordnung und die Anforderungen: Kurzer Überblick
  • Managementsysteme: Kurze Beschreibung und konkreter Nutzen im Unternehmen
  • KI-Managementsystem-Norm ISO 42001: Inhalte und Struktur
  • Umsetzung der KI-Verordnung mit Hilfe der ISO 42001: Wo hilft die Norm weiter?
    • Die Rolle des Qualitätsmanagements
    • Die Rolle des Datenschutzes und der Informationssicherheit
    • Umsetzungsoptionen mit Hilfe von Dokumenten und/oder Softwarelösungen
  • Integrative Vorteile bei Kombination von Normen
  • Warum die Norm nutzen?

Referentin: Paula Cipierre, LL.M., Director of Data Ethics & Innovation, ada Learning GmbH

Aufzeichnung: Webinar: Webinar: KI-Kompetenz gemäß Artikel 4

Präsentation

Inhalt:
Ab Februar 2025 müssen alle Unternehmen, die in der EU KI entwickeln oder einsetzen, sicherstellen, dass ihre Beschäftigten über ein ausreichendes Maß an KI-Kompetenz verfügen. Dies ist eine rechtliche Anforderung, die sich aus Artikel 4 der europäischen KI-Verordnung (auch bekannt als AI Act) ergibt. Ziel des Webinars ist es, zu vermitteln, wie der AI Act KI-Kompetenz definiert und welche Anforderungen sich daraus ergeben. Darüber hinaus wird anhand konkreter Praxisbeispiele erläutert, wie Unternehmen Artikel 4 schrittweise in die Praxis umsetzen können.

  • KI-Kompetenz gemäß Artikel 4: Definition und Anforderungen
  • Grundkenntnisse der KI-Kompetenz gemäß Artikel 4
  • Rollen- und kontextspezifische Anforderungen
  • Praxisbeispiele
  • Tipps für die Umsetzung

Referent: Andreas Sachs, Vizepräsident des Bayerischen Landesamts für Datenschutzaufsicht und Bereichsleiter Cybersicherheit und Technischer Datenschutz und Carolin Loy, Bereichsleiterin Digitalwirtschaft und Rechtsfragen der Künstlichen Intelligenz

Aufzeichnung: Webinar: AI Act Umsetzung: Künstliche Intelligenz und Datenschutz in der Praxis, Teil 2

Präsentation

Inhalt:
Künstliche Intelligenz (KI) ist in aller Munde und viele Unternehmen in Bayern setzen diese, sei es Chat GPT & Co. oder mittels anderer Softwaresysteme, bereits ein. Die KI-Verordnung (KI-VO) greift schrittweise ab 2025 und bringt zwangsläufig im Augenblick noch mehr Fragen als Antworten mit sich. Zugleich bleibt die Datenschutzgrundverordnung unangetastet beim Themenfeld KI bestehen. In diesem Webinar zeigen wir auf, welche spezifischen Anforderungen und Einschränkungen die Verordnungen für den Umgang mit Daten und KI-Systemen festlegen.

  • Anforderungen an KI aus Sicht des Datenschutzes
  • Gemeinsamkeiten und Unterschiede zum AI Act
  • Tipps für Kleinstunternehmen und KMUs zur rechtssicheren Umsetzung

Hilfreiche Links

Zur Entwicklung von KI-Kompetenzen hat das Bayerische Staatsministerium für Digitales gemeinsam mit appliedAI Institute für Europe den Bayerischen KI-Innovationsbeschleuniger ins Leben gerufen.

Erste Schulungen und Trainings finden Sie hier: KI-Innovationsbeschleuniger

Als ersten Ansatzpunkt können Online Tools helfen, um einen Überblick über die jeweiligen Pflichten und Veranwortlichkeiten zu erhalten, anhand einer eigenen Einschätzung.

KI-Compliance Online Tool von EU Artificial Intelligence Act (keine offizielle EU Seite)

AI Act Risk Navigator de TÜV AI.Labs

Das Bayerische Landesamt für Datenschutzaufsicht hat eine Checkliste mit Prüfkriterien nach der DS-GVO für die datenschutzkonforme KI Nutzung bereitgestellt.

Applied AI hat untersucht, welche Kriterien zur Risikoklassifizierung des AI Acts auf KI-Innovationen in Unternehmen Einfluss haben und welche Fragen geklärt werden müssen, um mehr Klarheit und Planungssicherheit zu schaffen.

Link zur Studie: AI Act: Risikoklassifizierung von KI-Anwendungen aus der Praxisperspektive

Den AI Act finden Sie im EU Amtsblatt der Europäischen Kommission in den Amtssprachen der EU-Mitgliedsstaaten.

EU Verordnung (EU) 2024/1689

IHK Positionen

IHK-Positionspapier Umsetzung des AI Acts (2024)
DIHK-Stellungnahme zu den Trialogverhandlungen zum EU AI Act (2023)
DIHK-Stellungnahme zum AI Act (2021)
IHK-One-Pager - Auswirkungen des EU AI Acts (2021)

Studie

Ifo Studie: Künstliche Intelligenz - Verbreitung, Anwendungen und Hindernisse in Deutschland im europäischen Vergleich

IHK Ratgeber

Was ist künstliche Intelligenz
Generative KI: ChatGPT & Co.