Das EU-Gesetz über künstliche Intelligenz und die Regulierung künstlicher Intelligenz

DAS GESETZ DER EUROPÄISCHEN UNION ZUR KÜNSTLICHEN INTELLIGENZ UND DIE REGULIERUNG DER KÜNSTLICHEN INTELLIGENZ

1.     Das Zeitalter der künstlichen Intelligenz und Regulierung

„Künstliche Intelligenz ist die neue Elektrizität.“ Diese treffende Feststellung von Andrew Ng fasst zusammen, dass künstliche Intelligenz nicht nur ein technologischer Trend ist, sondern eine revolutionäre Kraft, die – genau wie die Erfindung der Elektrizität – jeden Bereich des Lebens durchdringt. Heute bleibt kein Sektor von dieser Transformation verschont, von der Produktion über die Finanzbranche bis hin zum Gesundheitswesen und zum Personalwesen. KI-Systeme analysieren riesige Datenmengen in Sekundenschnelle, automatisieren Entscheidungsprozesse und verbessern unsere Fähigkeit, die Zukunft vorherzusagen. Damit verändern sie nicht nur die Art und Weise, wie Unternehmen arbeiten, sondern quasi ihre gesamte Unternehmens-DNA von Grund auf.

Dieser Wandel bringt zwar bedeutende Chancen mit sich, wirft jedoch auch ernsthafte Risiken in Bezug auf Grundrechte und -freiheiten auf, insbesondere in Bezug auf Diskriminierung, mangelnde Transparenz und fehlende Rechenschaftspflicht. Insbesondere die Auswirkungen automatisierter Entscheidungssysteme auf die Rechte des Einzelnen, die Tatsache, dass Vorurteile (Bias) in Datensätzen systematisch zu Ergebnissen führen können, die für den Nutzer der künstlichen Intelligenz nachteilig sind, sowie der „Black-Box“-Charakter von KI-Systemen haben regulatorische Eingriffe unumgänglich gemacht.

In diesem Zusammenhang hat die Europäische Union („Union“) ihren seit langem im Bereich der digitalen Technologien verfolgten risikobasierten und präventiven Regulierungsansatz auf den Bereich der künstlichen Intelligenz übertragen und in diesem Sinne den Artificial Intelligence Act („AI Act“) verabschiedet. Der AI Act legt Regeln für die Entwicklung und das Inverkehrbringen von KI-Systemen fest und zielt darauf ab, ein sicheres, menschenzentriertes und die Grundrechte achtendes KI-Ökosystem zu schaffen.

Mit dem AI Act:

• Künstliche-Intelligenz-Systeme nach ihrem Risikograd klassifiziert,
• bestimmte KI-Anwendungen vollständig verboten,
• für „risikoreiche“ Systeme umfassende technische, organisatorische und governancebezogene Verpflichtungen eingeführt,
• Transparenzpflichten für Personen, die mit KI interagieren, geregelt.

In dieser Hinsicht ist der AI Act nicht nur eine technische Regelung, sondern schreibt in einem breiten Spektrum – von den Produktentwicklungsprozessen der Unternehmen über Personalpraktiken bis hin zu Kundeninteraktionen und Datenverwaltungsstrukturen – die Einhaltung von Vorschriften und die Unternehmensführung vor. In dieser Arbeit werden die durch den AI Act eingeführten Verpflichtungen – insbesondere im Hinblick auf hochriskante KI-Systeme – aus der Perspektive von GRC LEGAL behandelt; es wird untersucht, wie Unternehmen die mit diesen Systemen verbundenen Risiken klassifizieren, ihre Rollen festlegen und welche Kontrollmechanismen sie einrichten müssen.

2.     Begriffe und Akteure

Obwohl der AI Act zahlreiche Definitionen enthält, ist es für das richtige Verständnis der Rollen und Pflichten besonders wichtig, einige grundlegende Begriffe zu erläutern. Diese Definitionen sind in Artikel 3 des AI Act geregelt und umfassen die grundlegenden Elemente, die die Systematik und den Anwendungsbereich der Verordnung bestimmen. In diesem Zusammenhang werden im Folgenden die in der Praxis wichtigsten Definitionen vereinfacht dargestellt.

Künstliches-Intelligenz-System („AI System“)

Gemäß dem AI Act sind KI-Systeme maschinenbasierte Systeme, die mit unterschiedlichen Autonomiegraden arbeiten können, sich nach ihrer Bereitstellung bis zu einem gewissen Grad anpassen können und auf der Grundlage der erhaltenen Eingaben durch „Inferenz“ die Form der Ausgabe bestimmen, um bestimmte Ziele zu erreichen. Im Rahmen dieser Definition erzeugen KI-Systeme Ausgaben wie Vorhersagen (Prediction), Inhaltsgenerierung (Content Generation) oder Empfehlungen (Recommendation).

In der Praxis bedeutet dies, dass das System im Gegensatz zu klassischer Software nicht nur vorab festgelegte Regeln anwendet, sondern auch Schlussfolgerungen aus Daten ziehen kann und über eine gewisse „Lernfähigkeit“ verfügt.

Anbieter (Provider)

Im Rahmen des AI Act bezeichnet der Begriff „Anbieter“ eine natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer eigenen Marke auf den Markt bringt oder zur Nutzung bereitstellt. Diese Definition umfasst neben der technischen Entwicklungstätigkeit auch die Vermarktung eines Systems unter der eigenen Marke und führt in bestimmten Fällen dazu, dass der betreffende Akteur als „Anbieter“ eingestuft wird, selbst wenn keine direkte Entwicklung stattgefunden hat.

Nutzer (Deployer)

Der Nutzer bezeichnet eine natürliche oder juristische Person, die ein KI-System unter ihrer eigenen Verantwortung nutzt. Diese Nutzung darf jedoch nicht im Rahmen persönlicher (nicht beruflicher) Aktivitäten erfolgen. In diesem Zusammenhang gelten Unternehmen, die ein KI-System in ihre Geschäftsprozesse integrieren und in Entscheidungsmechanismen einsetzen, grundsätzlich als „Nutzer“. Endnutzer, die das System privat in ihrem Alltag nutzen, fallen hingegen nicht unter diesen Begriff.

Importeur

Ein Importeur ist eine natürliche oder juristische Person mit Sitz in der Union, die ein von einer außerhalb der Union ansässigen Person oder Organisation entwickeltes und in Verkehr gebrachtes KI-System auf dem Unionsmarkt in Verkehr bringt.

Vertriebshändler (Distributor)

Ein Vertreiber ist eine natürliche oder juristische Person, die – abgesehen vom Anbieter oder Importeur – Teil der Lieferkette ist und ein KI-System auf dem Unionsmarkt zugänglich macht.

3.     Risikobasierter Ansatz und Klassifizierung

Die Grundlage des AI Act bildet ein risikobasierter Ansatz, der vorsieht, dass KI-Systeme je nach dem Ausmaß der von ihnen ausgehenden Risiken unterschiedlichen Verpflichtungen unterliegen. Im Rahmen dieses Ansatzes unterliegen nicht alle KI-Systeme dem gleichen Regulierungsniveau; vielmehr werden die betreffenden Systeme unter Berücksichtigung ihrer potenziellen Auswirkungen auf die Grundrechte und -freiheiten sowie die Sicherheit von Personen in verschiedene Kategorien eingeteilt.

In diesem Zusammenhang klassifiziert der AI Act KI-Systeme in vier Hauptrisikokategorien:

• Inakzeptables Risiko (Unacceptable risk)
• Hohes Risiko (High-risk)
• Begrenztes Risiko (Limited risk)
• Minimales Risiko (Minimal risk)

3.1. Minimales Risiko

Für KI-Systeme, die in die Kategorie „Minimales Risiko“ fallen, sieht der AI Act keine verbindlichen Verpflichtungen vor, sodass die Nutzung dieser Systeme weitgehend freigegeben ist. Zu dieser Kategorie gehören KI-Anwendungen, die im täglichen Gebrauch weit verbreitet sind und kein erhebliches Risiko für Einzelpersonen darstellen.

3.2. Begrenztes Risiko (Limited Risk)

Für KI-Systeme der Kategorie „begrenztes Risiko“ verfolgt der AI Act einen weniger strengen Regulierungsansatz und sieht im Wesentlichen Transparenzpflichten vor. In diesem Zusammenhang muss deutlich angegeben werden, dass Nutzer mit einem KI-System interagieren. Derzeit wird angegeben, dass die überwiegende Mehrheit der KI-Systeme in der Europäischen Union ein begrenztes oder minimales Risiko aufweist.[1]

3.3. Hohe Risiken (High-Risk AI Systems)

Hochrisikobehaftete KI-Systeme sind Systeme, die das Potenzial haben, erhebliche Auswirkungen auf die Sicherheit oder die Grundrechte von Personen zu haben. Für diese Systeme sieht der AI Act ein umfassendes Compliance-Regime vor und führt insbesondere für Anbieter und Nutzer zahlreiche technische, organisatorische und administrative Verpflichtungen ein.

„Anbieter“, die ein KI-System mit hohem Risiko entwickeln und unter ihrem eigenen Namen in Verkehr bringen, unterliegen im Rahmen dieser Regelung den strengsten Verpflichtungen. Diese Verpflichtungen beginnen bereits in der Entwurfsphase des Systems und erstrecken sich über den gesamten Lebenszyklus, einschließlich der Entwicklungs-, Test-, Inverkehrbringungs- und Nachverfolgungsprozesse nach der Nutzung.[2]

In diesem Zusammenhang müssen die Anbieter sich nicht darauf beschränken, lediglich den technischen Betrieb des Systems sicherzustellen, sondern auch einen umfassenden Compliance-Mechanismus zur frühzeitigen Erkennung, Minderung und Überwachung von Risiken einrichten. Die geltenden Verpflichtungen für KI-Systeme mit hohem Risiko sollen in diesem Zusammenhang am 2. August 2026 in Kraft treten.[3]

Welche KI-Systeme im Rahmen des AI Act als „risikoreich“ eingestuft werden, ist in Artikel 6 des Gesetzes sowie in Anhang III (Annex III) geregelt. In diesem Zusammenhang wurden risikoreiche Systeme auf der Grundlage bestimmter Sektoren und Anwendungsbereiche kategorisiert. Die wichtigsten Risikobereiche lassen sich wie folgt zusammenfassen:

3.3.1. Verpflichtungen in Bezug auf KI-Systeme mit hohem Risiko

In Bezug auf KI-Systeme mit hohem Risiko sieht der AI Act insbesondere für Anbieter ein umfassendes Compliance-Regime vor. Die Verpflichtungen erstrecken sich dabei über den gesamten Lebenszyklus des Systems, von der Entwurfsphase bis hin zur Überwachung nach der Inbetriebnahme. In diesem Zusammenhang lassen sich die wichtigsten Verpflichtungen für KI-Systeme mit hohem Risiko wie folgt zusammenfassen:[4]

• Einrichtung eines Risikomanagement- und Qualitätssystems: Es muss eine kontinuierliche Struktur zur Erkennung, Bewertung und Minderung von Risiken im gesamten System geschaffen werden.
• Datenverwaltung und Datenqualität: Es muss sichergestellt werden, dass die verwendeten Datensätze qualitativ hochwertig und repräsentativ sind und keine Verzerrungen (Bias) enthalten.
• Test- und Validierungsprozesse: Das System muss vor der Markteinführung anhand festgelegter Kriterien getestet werden.
• Protokollierung und Rückverfolgbarkeit: Durch die Führung von Aufzeichnungen über die Systemaktivitäten muss die Überprüfbarkeit gewährleistet sein.
• Transparenz und Benutzerinformation: Den Benutzern müssen klare Informationen über die Funktionsweise, die Kapazität und die Grenzen des Systems bereitgestellt werden.
• Technische Dokumentation und Aufbewahrung: Es müssen technische Unterlagen zum System erstellt und für einen bestimmten Zeitraum aufbewahrt werden.
• Konformitätsbewertung und CE-Kennzeichnung: Das System muss vor dem Inverkehrbringen einer Konformitätsbewertung unterzogen werden, und an einer gut sichtbaren Stelle des Systems muss die CE-Kennzeichnung angebracht werden.
• Menschliche Überwachung: Bei der Nutzung des Systems muss menschliches Eingreifen und Kontrolle gewährleistet sein.
• Cybersicherheit und Genauigkeit: Es muss sichergestellt werden, dass die Systeme sicher, robust und genau arbeiten.

3.3.2. Pflichten der Nutzer (Deployers)

Die Verpflichtungen der Akteure, die im Rahmen des AI Act als „Nutzer“ gelten, konzentrieren sich auf das Management der Risiken, die während der Nutzungsphase der Systeme entstehen, sowie auf den Schutz der Grundrechte des Einzelnen. In diesem Zusammenhang sind die wichtigsten Verpflichtungen der Nutzer im Folgenden zusammengefasst:

·         KI-Kompetenz (AI Literacy):

Die Nutzer sind verpflichtet, sicherzustellen, dass das mit dem Einsatz von KI-Systemen betraute Personal über ausreichende Kenntnisse und ein angemessenes Bewusstsein hinsichtlich der Funktionsweise, der Risiken und der Grenzen des Systems verfügt.

·         Transparenzpflichten (Transparency):

Die Nutzer sind verpflichtet, die betroffenen Personen in bestimmten Anwendungsszenarien der künstlichen Intelligenz entsprechend zu informieren. In diesem Zusammenhang:

• muss deutlich angegeben werden, dass eine Interaktion mit künstlicher Intelligenz stattfindet,
• müssen von KI erzeugte oder manipulierte Inhalte (z. B. Deepfakes) entsprechend gekennzeichnet werden,
• müssen die betroffenen Personen informiert werden, wenn Systeme zur Emotionserkennung oder biometrischen Kategorisierung eingesetzt werden.

·         Einhaltung der Gebrauchsanweisungen und Überwachung:

Bei der Nutzung von Systemen mit hohem Risiko sind die Nutzer verpflichtet, sicherzustellen, dass das System gemäß den vom Anbieter festgelegten Nutzungsanweisungen betrieben wird. Darüber hinaus ist die Überwachung der Systemausgaben sowie gegebenenfalls die Gewährleistung menschlicher Eingriffe erforderlich.

·         Überwachung der Daten und der Systemleistung:

Die Nutzer müssen die Eignung der verwendeten Datensätze überprüfen und die Systemleistung regelmäßig überwachen, um sicherzustellen, dass das System korrekt und zweckmäßig funktioniert.

·         Meldung von Vorfällen und Maßnahmen:

Wird festgestellt, dass das System Risiken in Bezug auf Grundrechte birgt oder zu einem schwerwiegenden Fehler führt, müssen die Nutzer die Nutzung des Systems einstellen und den Vorfall dem Anbieter sowie den zuständigen Behörden melden.

·         Protokollierung:

Im Rahmen der Nutzung von Systemen mit hohem Risiko müssen Aufzeichnungen über die Systemaktivitäten geführt und für bestimmte Zeiträume aufbewahrt werden.

·         Grundrechte-Folgenabschätzung:

In bestimmten Fällen (insbesondere bei öffentlichen Einrichtungen oder Organisationen, die öffentliche Dienstleistungen erbringen) müssen vor der Nutzung eines KI-Systems die Auswirkungen auf die Grundrechte bewertet werden.

3.4. Unzumutbares Risiko (Unacceptable Risk)

KI-Systeme, die in die Kategorie „unzumutbares Risiko“ fallen, sind im Rahmen des AI Act vollständig verboten, da sie eine offensichtliche und ernsthafte Bedrohung für die Grundrechte und -freiheiten von Personen darstellen. In diesem Zusammenhang ist die Entwicklung, das Inverkehrbringen oder die Nutzung der folgenden KI-Systeme nicht zulässig:[5]

Unbewusste Manipulation (subliminal manipulation):

Dies sind Systeme, die das Verhalten von Personen beeinflussen können, ohne dass diese sich dessen bewusst sind, und dadurch Schaden anrichten können. Beispielsweise kann die Beeinflussung von Personen hin zu einer bestimmten politischen Präferenz ohne deren Wissen und Zustimmung in diesen Bereich fallen.

Ausnutzung von Schwachstellen (exploitation of vulnerabilities):

Hierbei handelt es sich um Systeme, die Personen aufgrund ihrer durch Alter, wirtschaftliche Situation oder physische/psychologische Eigenschaften bedingten Schwachstellen ausnutzen, um sie zu schädlichem Verhalten zu verleiten. Beispielsweise fallen KI-gestützte Spielzeuge, die Kinder zu gefährlichem Verhalten anregen, in diesen Bereich.

Biometrische Kategorisierung auf der Grundlage sensibler Merkmale:

Es handelt sich um Systeme, die darauf abzielen, Personen anhand sensibler Merkmale wie Geschlecht, ethnischer Herkunft, politischer Überzeugung, religiöser Weltanschauung oder sexueller Orientierung zu klassifizieren.

Allgemeine soziale Bewertung (Social Scoring):

Systeme, die die Bewertung von Personen anhand ihres sozialen Verhaltens, ihrer persönlichen Eigenschaften oder ihrer Aktivitäten (z. B. Einkaufsgewohnheiten oder Interaktionen in sozialen Medien) beinhalten. Solche Systeme können dazu führen, dass der Zugang von Personen zu Arbeitsplätzen, Krediten oder anderen Möglichkeiten willkürlich eingeschränkt wird.

Biometrische Fernidentifizierung in Echtzeit (real-time remote biometric identification):

Biometrische Erkennungssysteme, die in öffentlichen Räumen eingesetzt werden, sind grundsätzlich verboten. In begrenzten Fällen, wie der Suche nach vermissten Personen, der Verhinderung von Terroranschlägen oder der Identifizierung von Verdächtigen schwerer Straftaten, können sie jedoch mit Genehmigung der Justizbehörde ausnahmsweise eingesetzt werden.

Emotionserkennungssysteme (Emotion Recognition):

Systeme zur Erkennung des emotionalen Zustands von Personen sind insbesondere am Arbeitsplatz und in Bildungseinrichtungen verboten. Allerdings können begrenzte Anwendungsfälle zu Sicherheitszwecken (z. B. die Erkennung der Müdigkeit eines Fahrers) als mit hohem Risiko behaftet eingestuft werden.

Prädiktive Polizeiarbeit (predictive policing):

Hierbei handelt es sich um Systeme, die das Risiko einer zukünftigen Straftat auf der Grundlage persönlicher Merkmale bewerten.

Scannen von Gesichtsbildern (Scraping of facial images):

Es handelt sich um Systeme, die darauf abzielen, durch die unterschiedslose Erfassung von Gesichtsbildern aus dem Internet oder aus Videoüberwachungssystemen biometrische Datenbanken aufzubauen oder zu erweitern.

4.     Künstliche Intelligenz aus der Perspektive von GRC LEGAL

Die durch den AI Act eingeführten Verpflichtungen sollten nicht nur als technische und rechtliche Anforderungen betrachtet werden; sie erfordern vielmehr die Einrichtung einer ganzheitlichen Governance-Struktur für Unternehmen. In diesem Zusammenhang zielt die Governance im Bereich der künstlichen Intelligenz darauf ab, Rollen und Verantwortlichkeiten im Prozess der Entwicklung und Nutzung von KI-Systemen festzulegen, den menschlichen Faktor zu stärken und Risiken effektiv zu managen.

4.1. Festlegung von Rollen und Verantwortlichkeiten

Damit die im Rahmen des AI Act eingeführten Verpflichtungen korrekt umgesetzt werden können, muss zunächst die Position des jeweiligen Akteurs gegenüber dem System richtig bestimmt werden. In diesem Zusammenhang ist die Unterscheidung zwischen „Anbieter“ (provider) und „Nutzer“ (deployer) entscheidend.

Anbieter sind Akteure, die das KI-System entwickeln oder unter ihrem eigenen Namen auf den Markt bringen; sie sind für den gesamten Lebenszyklus des Systems verantwortlich, beginnend mit dessen Konzeption. Im Gegensatz dazu sind Nutzer Akteure, die das betreffende System im Rahmen ihrer eigenen Geschäftsprozesse einsetzen; ihre Verpflichtungen beziehen sich vor allem auf das Risikomanagement während der Nutzungsphase des Systems.

Allerdings bestimmt diese Rollenunterscheidung im Rahmen des AI Act nicht unmittelbar den Status als „Verantwortlicher“ oder „Auftragsverarbeiter“ im Sinne der Datenschutzvorschriften. Tatsächlich wird der Verantwortliche im Rahmen der Datenschutz-Grundverordnung („DSGVO“) als die natürliche oder juristische Person definiert, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (DSGVO, Art. 4 Abs. 7), während der Auftragsverarbeiter als die Person gilt, die Daten im Auftrag des Verantwortlichen verarbeitet (DSGVO, Art. 4 Abs. 8).

4.2. KI-Kompetenz (AI Literacy)

Der AI Act schreibt vor, dass Personen, die mit KI-Systemen interagieren, über ausreichende Kenntnisse und Bewusstsein verfügen müssen, damit diese Systeme sicher und effektiv genutzt werden können. In diesem Zusammenhang müssen Unternehmen regelmäßige Schulungs- und Sensibilisierungsmaßnahmen für Mitarbeiter durchführen, die KI-Systeme nutzen, um ein Bewusstsein für die Funktionsweise, die Leistungsfähigkeit, die Grenzen und die potenziellen Risiken des Systems zu schaffen.

In diesem Sinne ist es wichtig, dass nicht nur die technischen Teams, sondern alle Abteilungen, die mit KI-Systemen in Berührung kommen (z. B. Personalwesen, Marketing, operative Teams), über die Risiken und Verantwortlichkeiten informiert werden, die diese Systeme mit sich bringen können.

KI-Kompetenz wird nicht nur als Schulungsverpflichtung betrachtet, sondern auch als entscheidendes Governance-Instrument für die effektive Umsetzung des oben genannten Mechanismus der menschlichen Aufsicht sowie für die Schaffung einer KI-Kultur im gesamten Unternehmen.

4.3. Integration der DPIA- und FRIA-Prozesse

Der Einsatz von KI-Systemen ist nicht nur eine technische Angelegenheit, sondern schafft einen vielschichtigen Risikobereich, der direkte Auswirkungen auf die Verarbeitung personenbezogener Daten und die Grundrechte des Einzelnen hat. Daher besteht ein direkter Zusammenhang zwischen den im Rahmen des AI Act geregelten Verfahren zur Grundrechtsfolgenabschätzung („FRIA“) und den im Rahmen der DSGVO vorgesehenen Verfahren zur Datenschutz-Folgenabschätzung („DPIA“).

Gemäß dem AI Act ist die FRIA insbesondere bei der Nutzung von KI-Systemen mit hohem Risiko für bestimmte Nutzer verpflichtend vorgeschrieben (AI Act, Art. 27). Diese Verpflichtung gilt jedoch nicht für alle Nutzer, sondern ist auf öffentliche Stellen, private Einrichtungen, die öffentliche Dienstleistungen erbringen, sowie bestimmte Anwendungsszenarien mit hoher Auswirkung beschränkt.

Während sich die DPIA auf die Risiken konzentriert, die sich aus der Verarbeitung personenbezogener Daten ergeben (DSGVO, Art. 35), bewertet die FRIA die Auswirkungen auf die Grundrechte aus einer breiteren Perspektive. In dieser Hinsicht ergänzen sich beide Mechanismen.

5.     Erwartete Änderungen im AI Act durch das digitale Omnibus-Paket

Der bei der Europäischen Union eingebrachte Vorschlag für ein „AI Digital Omnibus“-Gesetz, der darauf abzielt, die Durchführbarkeit des AI-Gesetzes zu verbessern und den Verwaltungsaufwand zu verringern, zielt darauf ab, die bestehenden Verpflichtungen in gewissem Umfang zu vereinfachen. Allerdings weist die Gemeinsame Stellungnahme Nr. 1/2026, die vom Europäischen Datenschutzausschuss („EDPB“) und dem Europäischen Datenschutzbeauftragten („EDPS“) veröffentlicht wurde, darauf hin, dass dieser Vereinfachungsansatz in einigen Aspekten Risiken für den Schutz der Grundrechte und die Rechtssicherheit bergen könnte.[7]

Insbesondere sieht der Vorschlag vor, die Rechtsgrundlage für die Verarbeitung besonders schützenswerter personenbezogener Daten zum Zwecke der Erkennung und Beseitigung von Vorurteilen zu erweitern; dies erstreckt sich nicht nur auf Systeme mit hohem Risiko, sondern auf ein breiteres Ökosystem der künstlichen Intelligenz. Auch wenn dieser Ansatz technisch gesehen die faire Funktionsweise der Systeme unterstützen könnte, betonen der EDPB und der EDPS, dass diese Ausnahme missbraucht werden könnte, wenn ihre Grenzen nicht klar abgegrenzt werden.

Darüber hinaus bergen Vorschläge zur Lockerung der Aufzeichnungs- und Dokumentationspflichten für Systeme mit hohem Risiko die Gefahr einer Schwächung der Rechenschaftspflicht der Anbieter ; insbesondere wird die Möglichkeit des Missbrauchs der Einstufung als „nicht risikoreich“ thematisiert. Ebenso wird die Ausweitung bestimmter Privilegien, die KMU gewährt werden, auf größere Unternehmensgruppen als ein Faktor angesehen, der den risikoproportionalen Regulierungsansatz untergraben könnte.

Im Rahmen des Vorschlags wird zudem empfohlen, die Verpflichtung zur KI-Kompetenz aus der direkten Verantwortung der Unternehmen herauszunehmen und in eine Anreizstruktur umzuwandeln. Dieser Ansatz wird jedoch mit der Begründung kritisiert, dass er das Risiko einer Schwächung der internen Sensibilisierung und der Mechanismen zur menschlichen Aufsicht mit sich bringen könnte.

Ähnlich auffällig sind die Vorschläge zur Verschiebung des Zeitplans. Die Verschiebung des Inkrafttretens der Verpflichtungen für risikoreiche Systeme mag den Unternehmen kurzfristig die Anpassung erleichtern, könnte jedoch aufgrund von „Legacy-Systemen“, die möglicherweise außerhalb des Regelungsbereichs bleiben, zu einer vorübergehenden Absenkung des Schutzniveaus in Bezug auf die Grundrechte führen.

FAZIT

Das EU-Gesetz zur künstlichen Intelligenz hebt die Verpflichtungen im Zusammenhang mit künstlicher Intelligenz aus dem Bereich der rein technischen Compliance heraus und rückt sie direkt in den Mittelpunkt der Unternehmensführung. In diesem Rahmen ist das Risikomanagement in Bezug auf KI-Systeme nicht mehr nur Aufgabe der IT- oder Rechtsabteilungen, sondern zu einer ganzheitlichen Führungsaufgabe geworden, die von der gesamten Organisation getragen werden muss.

Der durch den AI Act eingeführte risikobasierte Ansatz befreit Unternehmen von einem passiven Compliance-Verständnis und zwingt sie dazu, die von ihnen genutzten und entwickelten Technologien proaktiv zu klassifizieren, ihre Rollen und Verantwortlichkeiten zu klären und entsprechende Kontrollmechanismen einzurichten. Dieser Wandel ist nicht nur eine regulatorisch bedingte Notwendigkeit, sondern bietet Unternehmen auch eine strategische Chance, vertrauenswürdige, transparente und nachhaltige KI-Systeme zu entwickeln.

An dieser Stelle geht es nicht in erster Linie darum, „die Anforderungen des AI Act zu erfüllen“, sondern darum, künstliche Intelligenz zu einem natürlichen Bestandteil des unternehmensweiten Risikomanagements, der Datenverwaltung und der Entscheidungsprozesse zu machen. Tatsächlich muss dieser Wandel im Zusammenhang mit den Compliance-Prozessen im Rahmen der Datenschutzgesetzgebung (insbesondere DSGVO/KVKK) betrachtet werden; bestehende Mechanismen wie die Datenschutz-Folgenabschätzung (DPIA) sollten so erweitert werden, dass sie KI-Risiken abdecken, und es sollte eine integrierte Compliance- und Governance-Struktur geschaffen werden. Denn in naher Zukunft wird sich der Wettbewerbsvorteil nicht nur zwischen Unternehmen ergeben, die KI einsetzen, sondern zwischen solchen, die KI verantwortungsvoll, überprüfbar und in einen Governance-Rahmen einbetten können.

Andererseits wurde mit dem Vorschlag zum „AI Digital Omnibus“ eine gewisse Vereinfachung der Verpflichtungen und eine Neugestaltung der Umsetzungsprozesse ins Gespräch gebracht; es wurde jedoch deutlich, dass dieser Prozess insbesondere im Hinblick auf den Schutz der Grundrechte und die Rechtssicherheit sorgfältig gesteuert werden muss. Dies zeigt, dass die Regulierung der künstlichen Intelligenz kein statischer, sondern ein dynamischer Bereich ist; für Unternehmen bedeutet dies, dass die Einhaltung der Vorschriften nicht als einmaliges Projekt, sondern als ständig aktualisierte Governance-Kapazität betrachtet werden muss.

Daher müssen Unternehmen mehr tun, als nur die Gesetzgebung zu verfolgen; sie müssen künstliche Intelligenz nicht als „Compliance-Belastung“, sondern als ein Instrument zur Stärkung der Unternehmensführung positionieren. Dieser Ansatz wird nicht nur die Regulierungsrisiken verringern, sondern es den Organisationen auch ermöglichen, im Rahmen ihrer digitalen Transformationsprozesse eine zuverlässigere, rechenschaftspflichtige und nachhaltige Struktur aufzubauen.

[1] Europäische Kommission, KI-Gesetz

[2] https://artificialintelligenceact.eu/high-level-summary/

[3] Leitfaden zum EU-KI-Gesetz für Unternehmen außerhalb der EU

[4] EU-KI-Gesetz: 10 Dinge, die Unternehmen mit hohem Risiko wissen müssen

[5] EU-KI-Gesetz: Wie Risiken klassifiziert werden

[6] Cranium, KI-Gesetz und DSGVO: Wie diese Vorschriften zusammenwirken, um KI und Datenschutz zu gewährleisten

[7] Matheson, EDPB-EDPS veröffentlicht Stellungnahme zum Vorschlag für ein digitales Omnibus-Gesetz zur KI