AI-Act: EU-Gesetz zur Regelung Künstlicher Intelligenz in Kraft

Die Mitgliedstaaten der Europäischen Union haben am 13. Juni 2024 das Gesetz über die Künstliche Intelligenz ("AI-Act") verabschiedet. Es wurde am 12. Juli im Amtsblatt veröffentlicht und tritt ab 1. August 2024 in mehreren Schritten in Kraft. Ab dem 2. Februar 2025 wird das Verbot von KI-Systemen, die unannehmbare Risiken darstellen, gelten. Was sollten Arbeitgeber wissen?

Die Verordnung bildet einen einheitlichen rechtlichen Rahmen für den Einsatz von Künstlicher Intelligenz in der Europäischen Union. Denn KI-Technologien entwickeln sich rasant und können von vielfältigem Nutzen sein, aber auch Risiken mit sich bringen. Die Vorgaben sollen gewährleisten, dass KI-Systeme, die in der EU eingesetzt werden, sicher, transparent, nachvollziehbar, nicht diskriminierend und umweltfreundlich sind. 

AI-Act: Risikobewertung von KI-Systemen

Die KI-Verordnung legt Verpflichtungen für Anbieter und Nutzer fest, die sich nach dem jeweiligen Risiko, das von dem KI-System ausgeht, richten. Es wird unterschieden in KI-Systeme mit minimalem, hohem oder unannehmbarem Risiko. Die meisten Verpflichtungen treffen die Anbieter (Entwickler) von risikoreichen KI-Systemen. Aber auch Betreiber/Nutzer werden in die Pflicht genommen. Dies sind natürliche oder juristische Personen, die ein KI-System beruflich einsetzen, nicht aber betroffene Endnutzer. Unternehmen, die KI-Systeme entwickeln und/oder einsetzen müssen beispielsweise sicherstellen, dass ihre Mitarbeitenden, die mit den Systemen befasst sind, über ausreichende KI-Kompetenz verfügen. 

KI-Systeme mit unannehmbarem Risiko

KI-Systeme mit einem unannehmbarem Risiko werden verboten. Als solche gelten KI-Systeme, die durch kognitive Verhaltensmanipulation von Personen oder bestimmten marginalisierten Gruppen Menschen gefährden. Verboten sein wird sogenanntes "Soziales Scoring", also die Klassifizierung von Menschen auf der Grundlage von Verhalten, sozioökonomischem Status und persönlichen Merkmalen. Auch biometrische Identifizierung und Kategorisierung natürlicher Personen sowie biometrische Echtzeit-Fernidentifizierungssysteme wie zum Beispiel Gesichtserkennung sind unzulässig. Nur zur Strafverfolgung sind sie möglicherweise zulässig.

KI-Gesetz: Definition Hochrisiko-KI-Systeme

KI-Systeme, die ein hohes Risiko für die Gesundheit und Sicherheit oder für die Grundrechte natürlicher Personen darstellen, unterliegen strengen Regeln. Hierzu gehören KI-Systeme spezifischer, auch für HR relevanter Bereiche, darunter: die allgemeine und beruflichen Bildung (Bewertung von Lernergebnissen, Steuerung des Lernprozesses und Überwachung von Prüfungsbetrug) oder der Bereich Beschäftigung, Verwaltung der Arbeitnehmer und Zugang zur Selbstständigkeit (z. B. Veröffentlichung gezielter Stellenanzeigen, Analyse und Filterung von Bewerbungen sowie Bewertung von Bewerbern).

Software im HR-Bereich wird also häufig als Hochrisiko-System eingestuft werden. Für KI-Systeme mit hohem Risiko wird es ein verpflichtendes Risikomanagementsystem geben. Sie werden vor dem Inverkehrbringen und während ihres gesamten Lebenszyklus bewertet. Bürger haben das Recht, bei den zuständigen nationalen Behörden Beschwerden über KI-Systeme einzureichen.

Weitere Einsatzbereiche dieser Systeme sind der Zugang zu und die Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten und Leistungen, die Strafverfolgung, die Verwaltung von Migration, Asyl und Grenzkontrollen und die Unterstützung bei der Auslegung und Anwendung von Gesetzen. Ebenso gehören KI-Systeme, die in Produkten verwendet werden, die unter die Produktsicherheitsvorschriften der EU fallen, dazu. Hierzu zählen Spielzeug, Luftfahrt, Fahrzeuge, medizinische Geräte und Aufzüge.

Minimales Risiko laut AI-Act: Freiwillige Verhaltenskodizes und Transparenzgebot

Für KI-Systeme ohne oder mit nur sehr geringem Risiko gelten grundsätzlich keine besonderen Anforderungen. Die KI-Verordnung sieht aber die Möglichkeit vor, für diese freiwillig sogenannte Verhaltenskodizes aufzustellen und sich ihnen zu verpflichten. Von den meisten KI-Systemen geht wahrscheinlich nur ein geringes oder gar kein Risiko aus. So werden sogenannte "Generative Foundation-Modelle" wie ChatGPT als nicht risikoreich eingestuft, sie müssen aber Transparenzanforderungen und das EU-Urheberrecht erfüllen.

Dazu gehört die Offenlegung, dass der Inhalt durch KI generiert wurde. Das Modell muss so gestaltet werden, dass verhindert wird, dass es illegale Inhalte erzeugt. Zusammenfassungen urheberrechtlich geschützter Daten, die für das Training verwendet wurden, müssen veröffentlicht werden. Leistungsfähigere KI-Systeme, die ein Systemrisiko darstellen könnten - wie das fortgeschrittene KI-Modell GPT-4 -, müssen gründlich bewertet werden und alle schwerwiegenden Vorfälle sind der Kommission zu melden.

Kennzeichenpflicht laut KI-Verordnung

Alle Inhalte, die mithilfe von KI erzeugt oder verändert wurden – egal ob Bilder, Audio- oder Videodateien wie z. B. Deepfakes – müssen eindeutig als KI-generiert gekennzeichnet werden, damit die Nutzer Bescheid wissen, wenn sie auf solche Inhalte stoßen.

Wie geht es weiter mit dem KI-Gesetz?

Das EU-Gesetz tritt ab 1. August 2024 nach und nach in Kraft. Es wird 24 Monate nach seinem Inkrafttreten, also erst ab dem 2. August 2026, in vollem Umfang anwendbar sein. 

Einige Teile gelten allerdings schon vorab: Ab dem 2. Februar 2025 gilt bereits das Verbot von KI-Systemen, die ein unannehmbares Risiko darstellen. Die Verhaltenskodizes sollten ab dem 2. Mai 2025 vorliegen. Vorschriften für KI-Systeme mit allgemeinem Verwendungszweck, die den Transparenzanforderungen genügen müssen, gelten ab dem 2. August 2025. Die entsprechenden Bußgeldvorschriften hierfür gelten jedoch erst zwölf Monate später. Systeme mit hohem Risiko werden mehr Zeit haben, um die Anforderungen zu erfüllen: Die sie betreffenden Verpflichtungen werden 36 Monate nach dem Inkrafttreten gelten.

AI-Act: Wie geht es weiter?

Die EU-Mitgliedstaaten müssen den AI-Act nun zudem in nationales Recht umsetzen. Zur Durchsetzung der Vorschriften soll jeder Mitgliedstaat eine oder mehrere zuständige nationale Behörden benennen, die die Anwendung und Umsetzung beaufsichtigen und die Marktüberwachung wahrnehmen.

Jahreswechsel 2025: In unserem Überblick erfahren Sie, welche HR-relevanten Gesetze und Änderungen in Arbeitsrecht, Lohnsteuer und Sozialversicherung Sie im Blick haben sollten.

Das könnte Sie auch interessieren:

Rechtliche Aspekte beim KI-Einsatz in Unternehmen

Digitalisierung & KI: Diese Kompetenzlücken sollten Unternehmen schließen

HR und KI: Wo die rechtlichen Fallen lauern

Urteil: Mitbestimmung des Betriebsrats bei ChatGPT im Betrieb

Europäische KI-verordnung: Rechtsrahmen für den KI-Einsatz (personalmagazin digital)