Der AI Act tritt heute in Kraft – und wird so dein Startup-Business betreffen

Mit dem heutigen Tag, dem 1. August 2024, tritt das erste ganz große Regelwerk der Welt für Künstliche Intelligenz in Kraft: Der AI Act der EU. Allerdings wird sich dieses KI-Gesetz erst in Schritten bemerkbar machen, da es viele Unterscheidungen zwischen Risikostufen, Größe der AI-Modelle und Einsatz gebieten gibt. Jedenfalls: Jedes Unternehmen, dass mit Ai arbeiten will, muss sich die Regeln besser früher als später zu Gemüte führen.

Die Rundfunk und Telekom Regulierungs-GmbH (RTR) hat eine Servicestelle für Künstliche Intelligenz eingerichtet, sie ist die erste Anlaufstelle für alle, die mit AI arbeiten wollen. Die Behörde hat nun einen Leitfaden herausgegeben, mit dem man herausfinden kann, wie und ab wann der AI Act das eigene Business betrifft.

Verbote ab 2. Februar 2025

Ab diesem Tag dürfen die als „verboten“ klassifizierten Praktiken nicht mehr angewandt werden, heißt es seitens RTR in Bezug auf den AI Act. Verboten werden dann:

• KI-Systeme, die das menschliche Verhalten manipulieren, um den freien Willen des Menschen zu umgehen
• KI-Systeme, die eingesetzt werden, um die Schwächen von Menschen auszunutzen (aufgrund ihres Alters, einer Behinderung, ihrer sozialen oder wirtschaftlichen Lage)
• KI-Systeme, die auf der Grundlage von Sozialverhalten oder persönlichen Merkmalen von natürlichen Bewertungen vornehmen, die zu einer Schlechterstellung führen können (Social Scoring)
• Risikobewertungssysteme, die auf der Grundlage von Profiling das Risiko bewerten oder vorhersagen, ob eine natürliche Person eine Straftat begeht (Predictive Policing)
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen zur Erstellung von Gesichtserkennungsdatenbanken
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (ausgenommen sind KI-Systeme zu medizinischen oder sicherheitstechnischen Zwecken)
• Biometrische Kategorisierungssysteme um Rückschlüsse auf sensible Informationen (z. B. politische, religiöse oder philosophische Überzeugungen, sexuelle Orientierung, Rasse) zu ziehen oder zu bestimmen
• Verwendung von biometrischen Echtzeit-Fernerkennungssystemen in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (mit einigen Ausnahmen wie z. B. bestimmten Opfern oder vermissten Kindern, Täter bestimmter Straftaten etc.)

AI Literacy ab 2. Februar 2025

Hier geht es darum, dass Unternehmen, die KI-Systeme entweder betreiben oder anbieten, verpflichtet sind, Maßnahmen zu ergreifen, dass „ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, ausreichende Kenntnisse aufweisen“, heißt es seitens RTR.

Regeln für General Purpose AI ab 2. August 2025

Die Bestimmungen für KI-Systeme mit allgemeinem Verwendungszweck (so genannte General Purpose AI)  treten in etwa einem Jahr in Kraft. Sie betreffen die großen AI-Modelle, die viele verschiedene Dinge können (Texte schreiben, Code schreiben, Bilder generieren usw.), also prinzipiell etwa GPT-4o von OpenAI, Gemini von Google, Llama von Meta usw. Allerdings (siehe unten) haben GPAI-Systeme, die bereits am Markt sind, länger Zeit. Sie müssen erst ab dem 2. August 2027 in Übereinstimmung mit dem AI Act gebracht werden. Das bedeutet, dass GPT-5 früher mit dem AI Act in Übereinstimmung gebracht werden wird müssen als GPT-4.

Wichtig ist hier auch die Unterscheidung, ob ein GPAI ein systemisches Risiko darstellt oder nicht. Die Grenze liegt bei einem Schwellenwert von 10^25 FLOPs – also am Ende der Rechen-Power, die für die Erstellung eines AI-Modells eingesetzt wurde. Alle führenden AI-Modelle von OpenAI, Google, Meta oder Mistral AI fallen darunter (mehr dazu hier).

Ab diesem Tag gelten auch die Strafbestimmungen des AI Act. Diese Strafen beginnen bei 7,5 Mio. EUR oder 1,5 Prozent des weltweiten Jahresumsatzes eines Unternehmens und können bis zu 35 Mio. EUR oder 7 Prozent des weltweiten Gewinns erreichen.

Hier gibt es einen Überblick über die Regeln für Anbieter und Betreiber:

Regeln für alle Risikostufen ab 2. August 2026

Neben Verboten (siehe oben) definiert der AI Act auch Hochrisiko-Systeme bzw. Hochrisiko-AI-Modelle, die besondere Anforderungen erfüllen müssen (siehe Grafik oben), damit sie erlaubt sind. Also Hochrisiko wurde definiert, wenn AI in folgenden Bereichen eingesetzt wird:

• Biometrik
• Kritische Infrastruktur
• Bestimmte Systeme im Rahmen von beruflicher Aus- und Weiterbildung, insbesondere wenn diese über den Zugang zu dieser entscheiden können
• Bestimmte Systeme in Zusammenhang mit Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit, insbesondere wenn diese für Entscheidungen eingesetzt werden
• Zugänglichkeit und Inanspruchnahme grundregelnder privater und öffentlicher Dienste  und Leistungen
• Bestimmte Systeme, die zur Strafverfolgung verwendet werden
• Bestimmte Systeme zur Migrations-, Asyl- und Grenzkontrolle
• Bestimmte Systeme innerhalb der Justiz und der demokratischen Prozesse

Was nicht darunter fällt, ist entweder ohnehin verboten, oder besteht nur begrenztes oder minimales bzw. kein Risiko. Hier lässt sich herausfinden, in welche Risikostufe ein AI-System bzw. ein AI-Modell fällt:

Zusätzliche Regeln für Hochrisiko-AI ab 2. August 2027

Wenn ein KI-System als Sicherheitskomponente in einem Produkt oder Bereich (siehe Liste unten) eingesetzt wird, dann wird das ab diesem Zeitpunkt ebenfalls als Hochrisiko angesehen. Betroffen sind:

• Maschinen
• Spielzeug
• Sportboote und Wassermotorräder
• Aufzüge
• Geräte und Schutzsysteme zur bestimmungsgemäßen Verwendung in explosionsgefährdeten Bereichen
• Funkanlagen
• Druckgeräte
• Seilbahnen
• Persönliche Schutzausrüstung
• Verbrennung gasförmiger Brennstoffe
• Medizinprodukte
• In-vitro-Diagnostika
• Zivilluftfahrt
• Zwei- oder dreirädrigen und vierrädrigen Fahrzeugen
• Land- und forstwirtschaftliche Fahrzeuge
• Schiffsausrüstung
• Interoperabilität des Eisenbahnsystem
• Kraftfahrzeugen und Kraftfahrzeuganhängern sowie von Systemen, Bauteilen und selbstständigen technischen Einheiten für diese Fahrzeuge

Längere Fristen für AI, die bereits am Markt ist

Jene AI-Systeme oder GPAIs, die sich bereits am Markt befinden, haben länger Zeit, um dem AI Act zu entsprechen:

• Hochrisiko-KI-Systeme für Behörden müssen erst ab dem 2. August 2030) in Übereinstimmung mit dem AI Act sein
• GPAI-Systeme müssen ab dem  2. August 2027 in Übereinstimmung mit dem AI Act gebracht werden