Deep Dive zur EU-KI-VO – die einzelnen Anforderungen im Überblick

Aus organisatorischer Sicht muss der Anbieter ein Qualitätsmanagement nach Art. 17 KI-VO etablieren, das die Einhaltung der KI-VO gewährleistet. Dieses System wird systematisch und ordnungsgemäß in Form schriftlicher Regeln, Verfahren und Anweisungen dokumentiert. Art. 17 Abs. 1 KI-VO enthält eine Mindestauflistung der Aspekte, die das System leisten muss. 
 

Daneben hat der Anbieter oder gegebenenfalls sein Bevollmächtigter vor dem Inverkehrbringen oder der Inbetriebnahme eines Hochrisiko-KI‑Systems sich und sein System in einer EU-Datenbank für Hochrisiko-KI-Systeme zu registrieren (Art. 49 KI-VO). 
 

Die Konformitätsbewertung als Pflicht für das Inverkehrbringen
 

Um die Einhaltung all dieser Pflichten zu versichern und damit ein hohes Maß an Vertrauenswürdigkeit zu gewährleisten, ist es für Anbieter von Hochrisiko-KI-Systemen ebenfalls verpflichtend, vor dem Inverkehrbringen oder der Inbetriebnahme und im Falle von wesentlichen Änderungen nach diesen Zeitpunkten entweder selbst oder durch eine notifizierte Stelle ein Konformitätsbewertungsverfahren durchzuführen (Art. 16 lit. F KI-VO). Zudem muss eine EU-Konformitätserklärung, mit der die Verantwortung für die Einhaltung der Pflichten übernommen wird, abgegeben (Art. 47 KI-VO) und eine CE-Kennzeichnung an dem Hochrisiko-KI-System angebracht werden (Art. 48 KI-VO). Im dritten Teil der Beitragsserie beleuchten wir das Konformitätsbewertungsverfahren im Detail.
 

Pflichten von Anbietern nach dem Inverkehrbringen eines Hochrisiko-KI-Systems
 

Auch nach dem Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme sind Anbieter von Hochrisiko-KI-Systemen zu Maßnahmen verpflichtet. Sie müssen ein System zur Beobachtung einrichten (Art. 72 KI-VO) und schwerwiegende Vorfälle während des Betriebs den zuständigen Behörden melden (Art. 73 KI-VO), damit rechtzeitig etwaige Korrekturmaßnahmen ergriffen werden können. Außerdem bestehen Aufbewahrungspflichten hinsichtlich der technischen Dokumentation (Art. 18 KI-VO) und der automatisch erzeugten Protokolle (Art. 19 KI-VO). Sollte sich nach dem Inverkehrbringen herausstellen, dass die Konformität mit den bereits erörterten Pflichten nicht mehr gegeben ist, so haben die Anbieter die Konformität ihres Hochrisiko-KI-Systems unverzüglich wiederherzustellen oder es andernfalls zurückzurufen, zu deaktivieren oder zurückzunehmen (Art. 20 KI-VO). Auf begründete Anfrage der zuständigen Behörde müssen auch sämtliche Informationen und Dokumentationen übermittelt werden, um die Rechtskonformität nachzuweisen (Art. 21 KI-VO). 
 

b. Betreiber (Deployer)
 

Betreiber ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet (Art. 3 Nr. 4 KI-VO). Für Betreiber von Hochrisiko-KI-Systemen besteht die Pflicht, technische und organisatorische Maßnahmen zu treffen, um die korrekte Verwendung und Überwachung gemäß der Betriebsanleitung zu gewährleisten (Art. 26 Abs. 1 und 5 KI-VO) und sofern die Eingabedaten ihrer Kontrolle unterliegen, dafür zu sorgen, dass sie der Zweckbestimmung des Hochrisiko-KI-Systems entsprechen (Art. 26 Abs. 4 KI-VO). Die Aufsicht über die Hochrisiko-KI-Systeme muss Menschen übertragen werden, die die erforderliche Kompetenz und Ausbildung dazu besitzen (Art. 26 Abs. 2, Art. 4 KI-VO). Darüber hinaus besteht eine Reihe von Informationspflichten gegenüber Betroffenen und Behörden. Sofern sie dazu aufgrund Art. 35 DSGVO verpflichtet sind, führen Betreiber eine Datenschutz-Folgenabschätzung durch. Bestimmte Betreiber, etwa Einrichtungen des öffentlichen Rechts, müssen außerdem eine Grundrechte-Folgenabschätzung durchführen (Art. 27 KI-VO).
 

c. Händler und Einführer
 

Händler und Einführer sind verpflichtet, vor dem Bereitstellen oder Inverkehrbringen die Konformität der Hochrisiko-KI-Systeme mit den Pflichten zu überprüfen (Art. 23, 24 KI-VO). Dabei dienen das von den Anbietern durchzuführende Konformitätsbewertungsverfahren und die CE-Kennzeichnung als „Passierschein“. Händler und Einführer kommen ihren Pflichten dadurch nach, dass sie überprüfen, ob ein Konformitätsverfahren durchgeführt wurde und die entsprechende Dokumentation vorhanden ist.
 

3. Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme
 

Für Anbieter und Betreiber bestimmter KI-Systeme gelten außerdem spezifische Transparenzpflichten, die ab der ersten Interaktion der betreffenden Personen mit dem System zu erfüllen sind (Art. 50 KI-VO). 
 

So müssen Anbieter von KI-Systemen, die für die direkte Interaktion mit Menschen bestimmt sind, die betreffenden Personen darüber informieren, dass sie mit einem KI-System interagieren oder wenn das KI-System synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, dass es sich um von KI-Systemen erzeugte Inhalte handelt (Art. 50 Abs. 1 f. KI-VO).
 

Ebenfalls über den Einsatz des KI-Systems informieren müssen Betreiber eines Emotionserkennungssystems die davon betroffenen Personen. Betreiber von KI-Systemen, die Deep Fakes erzeugen, müssen offenlegen, dass es sich um künstlich erzeugtes Material handelt (Art. 50 Abs. 3 f. KI-VO).
 

4. KI-Systeme mit allgemeinem Verwendungszweck – GPAI
 

KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, kurz: GPAI) werden danach unterschieden, ob sie ein systemisches Risiko beinhalten oder nicht (Art. 51 KI-VO). 
 

Anbieter von GPAI ohne systemisches Risiko müssen eine technische Dokumentation erstellen und „up to date“ halten, um sie dem neu eingerichteten Büro für Künstliche Intelligenz zur Verfügung zu stellen. Sie müssen ferner anderen Anbietern, die ihr KI-Modell in ihr KI-System integrieren wollen, Informationen zu dem Modell bereitstellen. Darüber hinaus muss bei generativen GPAI-Modellen eine Strategie zur Einhaltung des Urheberrechts erstellt werden. Zuletzt muss auch eine detaillierte Zusammenfassung der Inhalte, die für das Training verwendet werden, erstellt und veröffentlicht werden (Art. 53 KI-VO).
 

Anbieter von GPAI mit systemischem Risiko müssen zusätzlich eine Modellbewertung durchführen, um Risiken, die sich aus der Verwendung ergeben können, zu bewerten und zu mindern. Zudem müssen sie schwerwiegende Vorfälle dokumentieren und an die EU-Kommission berichten sowie ein angemessenes Maß an Cybersicherheit gewährleisten (Art. 55 KI-VO).
 

EY Law Insight
 

Eines der wichtigsten Instrumente zur Umsetzung der zuvor genannten Anforderungen werden Standards, Verhaltenskodizes und Leitlinien sein. Hier bleibt abzuwarten, wann beispielsweise das Büro für Künstliche Intelligenz oder andere Stellen und Einrichtungen derartige Instrumente veröffentlichen. 
 

Es gibt es bereits Normen wie die ISO 42001 für „AI management systems“. Bisher stellen solche Normen aber nur Standards und Methoden für einzelne Anforderungen der KI-VO wie beispielsweise das Risikomanagement (ISO 23894) dar und sind kein Nachweis für ganzheitliche KI-Compliance von Unternehmen oder einzelnen KI-Systemen. 
 

Unternehmen und Organisation, die KI-Systeme entwickeln oder einsetzen, benötigen darüber hinaus einen ganzheitlichen Ansatz, um sämtlichen Anforderungen gerecht zu werden. Insbesondere bei Hochrisiko-KI-Systemen sollten sie neben einem Bußgeldrisiko nicht auch das wesentlich gravierendere Risiko eingehen, dass ihr Hochrisiko-KI-System durch die Marktaufsichtsbehörden vom Markt verbannt wird.