Neue EU-Regel: Was man bei KI jetzt beachten muss

Sie definiert EU-weit klare Anforderungen für KI-Entwickler und -Betreiber. So sollen KI-Systeme sicher, ethisch und vertrauenswürdig sein. Mit dem 2. August starten Transparenzpflichten für KI-Systeme sowie die nationale und europäische Durchsetzung.

Gleichzeitig wurden im Rahmen einer sogenannten Digital-Omnibus-Verordnung bestimmte Regelungen vereinfacht und der Zeitplan nach hinten verschoben, etwa für die Einrichtung von sogenannten "Sandboxen", abgeschotteten KI-Testumgebungen. Generell gelten Kennzeichnungspflichten für KI-generierte Inhalte ab dem 2. August, während die maschinenlesbare Kennzeichnung bzw. Wasserzeichen für KI-generierte Inhalte auf 2. Dezember 2026 aufgeschoben wurde.

Anbieter von KI-Systemen müssen ab 2. August grundsätzlich sicherstellen, dass Personen informiert werden, wenn sie mit einem KI-System interagieren. Dies gilt insbesondere für Systeme, die direkt mit Menschen kommunizieren, beispielsweise Chatbots. Eine Ausnahme von dieser Informationspflicht gilt dann, wenn offensichtlich ist, dass eine Person mit einem KI-System interagiert.

Auch Deepfakes unterliegen einer Kennzeichnungspflicht: KI-Betreiber, die Bild-, Audio- oder Videoinhalte erzeugen oder verändern, müssen offenlegen, wenn diese Inhalte künstlich erzeugt oder manipuliert wurden. Auch hier gibt es Ausnahmen, etwa wenn Deepfakes im Rahmen der Strafverfolgung oder für künstlerische oder kreative Werke genutzt werden.

Auch KI-generierte Texte von öffentlichem Interesse müssen gekennzeichnet werden. Auch hier gelten Ausnahmen für Strafverfolgungszwecke, künstlerische und satirische Werke, sowie für Inhalte mit menschlicher Überprüfung oder redaktioneller Kontrolle, bei denen eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Die Durchsetzung dieser Regelungen erfolgt einerseits über nationale Marktüberwachungsbehörden, andererseits auf EU-Ebene durch die Europäische Kommission bzw. deren KI-Amt. Österreich ist hier im Verzug: Das Gesetz zur Benennung der zuständigen Behörden werde derzeit im Bundeskanzleramt als Regierungsvorlage in enger Abstimmung mit den anderen Ressorts ausgearbeitet, hieß es auf Anfrage der APA aus dem Bundeskanzleramt.

"Ein konkreter Zeitpunkt für eine Begutachtung kann auf Grund laufender Gespräche zum derzeitigen Zeitpunkt noch nicht genannt werden." Es wird jedoch betont, dass unabhängig davon, ob eine österreichische Behörde bis 2. August benannt wurde oder nicht, die Unternehmen und die öffentliche Verwaltung die rechtlichen Anforderungen erfüllen müssen, da diese auch aufgrund von Persönlichkeitsrechten durchgesetzt werden könnten, hieß es aus dem Bundeskanzleramt.

Die EU-Mitgliedstaaten müssen nach den jüngsten Anpassungen bis 2. August 2027 mindestens eine nationale KI-Regulierungs-"Sandbox" betriebsbereit machen. Derartige Reallabore sollen Unternehmen ermöglichen, KI-Systeme unter kontrollierten Bedingungen zu entwickeln und zu testen. Weitere Kerndaten für die Umsetzung des "AI Act" sind der 2. Dezember 2026: Verbote für KI-Systeme, die nicht einvernehmliche sexuelle Deepfakes und Material über sexuellen Kindesmissbrauch erzeugen, treten dann in Kraft; sowie der 2. Dezember 2027 - dann gelten die Vorschriften für Hochrisiko-KI-Systeme -, und der 2. August 2028 für Hochrisiko-KI-Systeme, die in Produkte eingebettet sind.

Grundsätzlich klassifiziert der "AI Act" nach vier Risikostufen: Minimales oder kein Risiko besteht etwa für Videospiele und Spamfilter, sie werden von der EU nicht reglementiert. Für Systeme mit begrenztem Risiko - z.B. Chatbots - gelten Transparenzpflichten. Als Hochrisiko-KI gelten etwa Systeme für Krankheitsdiagnosen, autonomes Fahren oder die biometrische Identifizierung von Personen für strafrechtliche Ermittlungen. Verboten sind durch die EU KI-Systeme zur kognitiven Verhaltensmanipulation, für vorausschauende Polizeiarbeit, Emotionserkennung am Arbeitsplatz und für Bildungseinrichtungen und Sozialkreditsysteme.

Stellt eine nationale Marktüberwachungsbehörde fest, dass ein KI-System nicht den Anforderungen des "AI Act" entspricht, kann sie den Betreiber zu Korrekturmaßnahmen binnen 15 Arbeitstagen aufrufen. Wenn auch dies nicht ausreichend ist, kann sie das KI-System untersagen oder einschränken, das System ganz vom Markt nehmen oder einen Rückruf anordnen. Insbesondere wenn ein Risiko besteht für die Gesundheit oder Sicherheit von Personen, die Grundrechte oder andere öffentliche Interessen, kann die Behörde Gegenmaßnahmen verlangen. Jede natürliche oder juristische Person kann eine Beschwerde bei der Behörde einreichen, wenn sie einen Verstoß gegen das KI-Gesetz vermutet.

Für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) ist die Europäische Kommission zuständig. Dazu zählen etwa die US-Giganten Amazon, Anthropic, Google, IBM, Microsoft und OpenAI, aber auch europäische Entwickler wie Aleph Alpha und Mistral AI. Die Kommission überträgt diese Aufgaben ihrem KI-Büro, welches mehr als 125 Experten beschäftigt. Das KI-Büro kann Informationen und Unterlagen anfordern, die Einhaltung der Verpflichtungen überprüfen, Maßnahmen zur Einhaltung verlangen und letztlich die Anbieter auffordern, Modelle einzuschränken oder zurückzuziehen.

Allfällige Sanktionen müssen von den EU-Mitgliedstaaten festgelegt und der EU-Kommission gemeldet werden. Für Anbieter von Allzweck-KI-Modellen kann die EU-Kommission saftige Geldstrafen verhängen. Die Höchstgrenze beträgt bis zu drei Prozent des weltweiten Jahresumsatzes des vorherigen Geschäftsjahres oder 15 Millionen Euro, je nachdem, welcher Betrag höher ist. Bei verbotenen KI-Praktiken oder Datenverstößen drohen Unternehmen Strafzahlungen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Vorjahresumsatzes.