Neue KI-Transparenzregeln gelten ab August

Mit der KI-Verordnung (Artificial Intelligence Act) hat die Europäische Union erstmals ein einheitliches Regelwerk für den Einsatz und die Entwicklung von Künstlicher Intelligenz geschaffen. Nachdem die Verordnung bereits am 1. August 2024 in Kraft getreten ist, gelten ab 2. August weitere Bestimmungen. Dazu zählen insbesondere Transparenzpflichten für KI-Systeme sowie Regelungen zur nationalen und europäischen Aufsicht. Im Zuge der sogenannten Digital-Omnibus-Verordnung wurde der Zeitplan einzelner Maßnahmen angepasst. So gelten Kennzeichnungspflichten für KI-generierte Inhalte wie geplant ab 2. August, während die verpflichtende maschinenlesbare Kennzeichnung beziehungsweise Wasserzeichen auf den 2. Dezember 2026 verschoben wurden.

Kennzeichnung für Chatbots und Deepfakes

Anbieter von KI-Systemen müssen Nutzer künftig darüber informieren, wenn diese mit einer Künstlichen Intelligenz interagieren. Das betrifft vor allem Anwendungen wie Chatbots, sofern nicht bereits offensichtlich ist, dass die Kommunikation mit einem KI-System erfolgt. Auch künstlich erzeugte oder veränderte Bild-, Audio- und Videoinhalte müssen grundsätzlich als solche gekennzeichnet werden. Ausnahmen gelten unter anderem für Anwendungen im Bereich der Strafverfolgung sowie für künstlerische oder kreative Werke. Für KI-generierte Texte, die Themen von öffentlichem Interesse betreffen, besteht ebenfalls eine Kennzeichnungspflicht. Diese entfällt unter anderem bei satirischen oder künstlerischen Inhalten sowie bei Texten, die einer menschlichen Prüfung oder redaktionellen Kontrolle unterliegen.

Österreich ohne zuständige Behörde

Für die Umsetzung des AI Act sind sowohl nationale Marktüberwachungsbehörden als auch die Europäische Kommission mit ihrem KI-Büro zuständig. In Österreich steht die Benennung der zuständigen Behörde noch aus. Nach Angaben des Bundeskanzleramts wird die entsprechende Regierungsvorlage derzeit gemeinsam mit den zuständigen Ressorts ausgearbeitet. Ein konkreter Zeitplan für das Gesetzgebungsverfahren wurde bislang nicht genannt. Unabhängig davon müssen Unternehmen und öffentliche Stellen die Vorgaben der EU-Verordnung einhalten. Das Bundeskanzleramt verweist darauf, dass die Bestimmungen auch über bestehende Persönlichkeitsrechte durchgesetzt werden könnten.

Weitere Fristen für den AI Act

Die jüngsten Anpassungen verschieben einzelne Umsetzungsschritte. Bis zum 2. August 2027 muss jeder EU-Mitgliedstaat mindestens eine sogenannte KI-Sandbox einrichten. Diese Testumgebungen sollen Unternehmen ermöglichen, KI-Systeme unter kontrollierten Bedingungen zu entwickeln und zu erproben. Weitere zentrale Termine sind der 2. Dezember 2026, wenn unter anderem Verbote für KI-Systeme zur Erstellung nicht einvernehmlicher sexueller Deepfakes und von Material über sexuellen Kindesmissbrauch gelten. Ab 2. Dezember 2027 treten die Vorschriften für Hochrisiko-KI-Systeme in Kraft, ein Jahr später folgen entsprechende Regelungen für Hochrisiko-KI, die in Produkte integriert ist.

Vier Risikoklassen für KI-Systeme

Der AI Act unterscheidet zwischen vier Risikostufen. Systeme mit geringem oder keinem Risiko, etwa Videospiele oder Spamfilter, unterliegen keinen besonderen Vorgaben. Für Anwendungen mit begrenztem Risiko, darunter Chatbots, gelten Transparenzpflichten. Als Hochrisiko-KI gelten unter anderem Systeme zur medizinischen Diagnostik, für autonomes Fahren oder zur biometrischen Identifizierung im Rahmen strafrechtlicher Ermittlungen. Verboten sind unter anderem KI-Systeme zur kognitiven Verhaltensmanipulation, für vorausschauende Polizeiarbeit, zur Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen sowie Sozialkreditsysteme.

Behörden können Maßnahmen anordnen

Stellen nationale Marktüberwachungsbehörden Verstöße gegen den AI Act fest, können sie Betreiber zunächst zu Korrekturmaßnahmen innerhalb von 15 Arbeitstagen auffordern. Werden die Mängel nicht behoben, sind weitergehende Schritte bis hin zur Einschränkung oder Untersagung des KI-Systems, dessen Rückruf oder Entfernung vom Markt möglich. Beschwerden über vermutete Verstöße können sowohl von Privatpersonen als auch von Unternehmen eingebracht werden.

EU-KI-Büro überwacht Allzweck-KI

Für KI-Modelle mit allgemeinem Verwendungszweck ist die Europäische Kommission zuständig. Die Aufsicht übernimmt das europäische KI-Büro, das unter anderem Informationen und Unterlagen von Anbietern anfordern, die Einhaltung der Vorgaben überprüfen sowie Maßnahmen bis hin zur Einschränkung oder Rücknahme von Modellen verlangen kann.

Hohe Geldstrafen möglich

Die Mitgliedstaaten legen die nationalen Sanktionen fest und melden diese der Europäischen Kommission. Für Anbieter von Allzweck-KI-Modellen kann die Kommission Geldbußen von bis zu drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder 15 Millionen Euro verhängen – je nachdem, welcher Betrag höher ist. Bei verbotenen KI-Praktiken oder Verstößen im Zusammenhang mit Daten drohen Strafen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes des Vorjahres.

(APA/red)