Jahrelang wird verhandelt, zum Ende hin Tag und Nacht. Dann, wir schreiben Mitte Dezember 2023, folgt der Jubelschrei von Thierry Breton. Man habe eine „historische Einigung“ vollbracht, lässt der EU-Kommissar wissen. Grund für die Euphorie des Franzosen ist der AI Act, ein europäisches Gesetz für den Umgang mit Künstlicher Intelligenz (KI). Zwar gibt es auch in China oder den USA Regulierung für den Einsatz von KI, der europäische Ansatz aber greift viel weiter.
Bis zuletzt wurde zwischen EU-Parlament und den Mitgliedsstaaten um den Verordnungstext gerungen. Während sich etwa das Parlament bei sogenannten „Foundation Models“ – also den großen, vielseitig einsetzbaren KI-Modellen wie jenem hinter ChatGPT – für rigorose Regeln aussprach, kämpften Staaten wie Deutschland oder Frankreich für eine Selbstregulierung der Unternehmen.
Die Übergangsfristen
Andererseits fesselte die Verhandlerinnen und Verhandler ein Punkt an die Tische, der das KI-Gesetz beinahe zu Fall brachte: Ein mögliches Verbot von KI zur Echtzeit-Erfassung und Verknüpfung biometrischer Daten. Das wollten sich nämlich die Nationalstaaten nicht in dieser Klarheit oktroyieren lassen. Schlussendlich setzten sie sich durch. Das lässt sich aus dem finalen Text der Verordnung gut herauslesen, der bei diesem Punkt Ausnahmen zulässt.
Lange wartete man auf die finale Version des Textes, am 12. Juli schließlich war es so weit und die Verordnung wurde im Amtsblatt der EU veröffentlicht. Was bedeutet, dass der AI Act mit 1. August in Kraft tritt. Vollständig anwendbar ist die Verordnung ob verschiedener Übergangsfristen, von einem „Wasserfallmechaismus“ ist die Rede, in drei Jahren.
Was aber heißt das alles jetzt unmittelbar für Österreich und für heimische Unternehmen? Jeannette Gorzala zählt vermutlich zu jenen Menschen im Land, die derlei Fragen am besten beantworten könnten. Die Juristin war maßgeblich am Entstehungsprozess des AI Act beteiligt, zudem übt sie eine zentrale Rolle in Österreichs KI-Beirat aus. Also in jenem Gremium, das die Bundesregierung in allen KI-Fragen berät.
„In Österreich geht es jetzt einmal um notwendige Weichenstellungen“, schildert Gorzala im Gespräch. So gilt es etwa, zu entscheiden, welche Behörde die Kompetenz für den AI Act bekommt. „Bis Ende des Jahres“, sagt Gorzala, „muss Österreich die Behörde benennen“. Ginge es nach der Juristin, würde die neue KI-Behörde „im Umkreis der RTR angesiedelt“. Einerseits dockte dort bereits eine KI-Servicestelle an, andererseits seien in der RTR die Fachbereiche Medien und Telekommunikation gebündelt. Zwei wichtige Felder in Bezug auf die KI-Regulierung.
Österreich braucht ein Gesetz
Um den behördlichen Vollzug zu regeln, braucht es in Österreich auch ein Durchsetzungsgesetz. Dort kommt dann gewisser Spielraum zum Tragen, den die Verordnung den Nationalstaaten gibt. Grundsätzlich unterscheidet der AI Act nach drei Risikoklassen und damit verbundenen Anforderungen. „Begrenztes Risiko“ wird beispielsweise KI-Chatbots zugeschrieben. „Hohes Risiko“ bergen KI-Systeme, die etwa im Gesundheits- oder Bankwesen eingesetzt werden oder die Strafverfolgung und kritische Infrastruktur betreffen. KI-Modelle, die ein „unannehmbares Risiko“ darstellen – zum Beispiel Systeme, die soziales Verhalten auswerten und zu einer Benachteiligung führen („Social Scoring“) – werden verboten.
Die mit vielen Restriktionen – u.a. der Einrichtung eines Risikomanagementsystems und der Erstellung von technischen Unterlagen für die Behörde – verbundene Einstufung als „Hochrisiko-KI“ sieht Jeannette Gorzala entspannt. „Ich glaube dort an eine 80:20-Regelung“, sagt die KI-Expertin. „80 Prozent der Fälle, die einen Hochrisiko-Bereich streifen, werden nicht als solche eingestuft werden“, glaubt Gorzala. Der AI Act würde wie ein Filter funktionieren. Der KI-Elemente herausfiltert, die vorbereitenden Charakter haben, also etwa „nur“ als Basis für eine menschliche Entscheidung gelten.
Klar ist freilich: Jene KI-Systeme, die nach Ablauf der Übergangsfristen den Anforderungen der Verordnung nicht entsprechen, dürfen nicht mehr vertrieben und verwendet werden. Passiert das trotzdem, drohen drakonische Strafen. Die Verordnung sieht Bußgelder in Höhe von bis zu sieben Prozent des weltweiten Nettoumsatzes der betroffenen Unternehmen und bei natürlichen Personen bis zu 35 Millionen Euro vor.
