EU-Gesetz zur künstlichen Intelligenz nimmt weitere Hürde

In den Verhandlungen zum KI-Gesetz der EU ist es zu einem ersten Durchbruch gekommen. Bei den ersten, weniger umstrittenen Teilen ist es zu einer Einigung gekommen. Weitere könnten bald folgen. 

Mit dem KI-Gesetz will die EU-Kommission künstliche Intelligenz auf der Basis ihres Schadenspotenzials regulieren. Der Gesetzesentwurf befindet sich derzeit in der letzten Phase des Gesetzgebungsverfahrens, den sogenannten Trilogen zwischen EU-Rat, Parlament und der Kommission.

Die spanische Präsidentschaft des EU-Ministerrats teilte am Montag (10. Juli) ein Dokument zur Vorbereitung des Trilogs, das EURACTIV einsehen konnte. Darin werden die anderen Mitgliedstaaten gebeten, bereits vereinbarte Teile des Textes zu bestätigen und Flexibilität bei weiteren politischen Fragen zu zeigen.

Bei den Teilen, die auf politischer Ebene bestätigt werden sollen, handelt es sich um die Verpflichtungen von Anbietern und Nutzern von Hochrisikosystemen, Konformitätsbewertungsstellen und technischen Standards. Bei den Innovationsbestimmungen und der Folgenabschätzung für die Grundrechte wird um Flexibilität gebeten.

Das Dossier wird am Freitag dem Ausschuss der Ständigen Vertreter vorgelegt – am selben Tag, an dem die EU-Verhandlungsführer zur letzten technischen Sitzung vor dem politischen Trilog am 18. Juli zusammenkommen, um das Innovationskapitel und die Schlussbestimmungen zu diskutieren.

Verpflichtungen für Anbieter und Nutzer mit hohem Risiko

Das KI-Gesetz enthält eine strengere Regelung für Anbieter von KI-Modellen, bei denen ein hohes Risiko besteht, dass sie Schaden anrichten.

Die Informationspflichten wurden verschärft, einschließlich der Angabe der Handelsmarke und der Kontaktadresse der Anbieter. Außerdem müssen sie eine EU-Konformitätserklärung ausstellen und sicherstellen, dass die Systeme den EU-Zugänglichkeitsanforderungen entsprechen.

Das geforderte Qualitätsmanagementsystem wurde mit denjenigen kompatibel gemacht, die auch in anderen Rechtsvorschriften vorgeschrieben sind, wie dies bei Finanzdienstleistungen der Fall ist. Die Verpflichtung zur Aufbewahrung der technischen Unterlagen erlischt 10 Jahre, nachdem das System auf den Markt gebracht wurde.

Darüber hinaus müssen die Anbieter von Hochrisikoprodukten die automatisch erstellten Protokolle mindestens sechs Monate lang aufbewahren. Die Bestimmungen für die bevollmächtigten Vertreter von Anbietern von Hochrisikosystemen und die Verpflichtungen für Importeure und Händler von Hochrisikosystemen wurden ebenfalls geregelt.

Notifizierende Behörden und benannte Stellen

Das KI-Regelwerk schreibt vor, dass Systeme, die biometrische Identifizierungstechnologien verwenden, einer Konformitätsbewertung durch Dritte, d. h. durch zertifizierte Prüfer, sogenannte benannte Stellen, unterzogen werden müssen. Diese Stellen müssen von einer nationalen Behörde, der notifizierenden Behörde, ermächtigt werden.

Der vereinbarte Text sieht vor, dass es in jedem Mitgliedstaat mindestens eine notifizierende Behörde geben soll, die das erforderliche Benennungsverfahren in Zusammenarbeit mit anderen EU-Behörden einrichten muss. Diese werden auch die Möglichkeit haben, zusammen mit der Europäischen Kommission, die Akkreditierung einer Stelle anzufechten.

Diese Behörden sollten mit angemessenem Personal ausgestattet sein, das über technologische und rechtliche Kompetenzen verfügt. Zu den Anforderungen an die benannten Stellen wurde eine angemessene Cybersicherheit sowie eine Klausel mit einer sechsmonatigen Bedenkzeit für potenzielle Interessenkonflikte aufgenommen.

Es wurden zusätzliche Verfahren für diese Konformitätsbewertungsstellen eingeführt, um unnötige Belastungen für die Anbieter zu vermeiden. Das Verfahren, nach dem eine zuständige Behörde die Zulassung einer Stelle, die die Anforderungen nicht mehr erfüllt, aussetzen kann, wurde ebenfalls weiter verfeinert.

Normen und Konformitätsbewertung

Gemäß dem KI-Gesetz kann die Europäische Kommission technische Normen erlassen. Diese Normen erleichtern den KI-Entwicklern die Einhaltung der Vorschriften enorm, da die Einhaltung der KI-Verordnung durch die Befolgung der Norm gewährleistet ist.

Der Ermessensspielraum der Kommission bei der Formulierung von Normungsaufträgen wurde erheblich eingeschränkt, da der Text nun reglementierender ist und die EU-Kommission das KI-Büro und das Beratungsgremium konsultieren muss, bevor sie die Aufträge erteilt.

In ähnlicher Weise hat die Kommission auch weniger Ermessensspielraum bei der Herausgabe von gemeinsamen Spezifikationen.

Maßnahmen zur Innovation

Die Maßnahmen zur Förderung der Innovation sind ein weiteres Kapitel, das die spanische Ratspräsidentschaft auf dem nächsten Trilog abschließen möchte. Da jedoch keine Zeit für die Ausarbeitung eines konkreten Textes blieb, forderte Madrid die Mitgliedstaaten auf, nach einer ersten Diskussion ihre Flexibilität zum Ausdruck zu bringen.

Das Europäische Parlament fordert, dass jedes EU-Land zumindest ein Reallabor einrichten muss – ein kontrolliertes Umfeld, in dem Unternehmen unter der Aufsicht einer Behörde experimentieren können.

Spanien schlug vor, diesen Ansatz unter der Bedingung zu akzeptieren, dass Reallabore auch gemeinsam mit anderen Mitgliedstaaten eingerichtet werden können oder die Verpflichtung dadurch erfüllt wird, dass man sich einem Reallabor auf EU-Ebene anschließt.

Darüber hinaus wollen die EU-Abgeordneten, dass KI-Entwickler, die ein Reallabor nutzen, von einer Konformitätsvermutung profitieren, um einen Anreiz zur Teilnahme zu schaffen. Die Ratspräsidentschaft schlug vor, diesen Vorschlag unter der Bedingung zu akzeptieren, dass die Ausstiegsberichte in die Konformitätserklärung aufgenommen werden.

Schließlich wurden die Delegationen um ihre Flexibilität hinsichtlich der möglichen Einbeziehung benannter Stellen in die Reallabore gebeten und um Auskunft darüber, ob sie für die Einführung strengerer Schutzmaßnahmen für die Teilnehmer zur Durchführung von Tests unter realen Bedingungen offen sind.

Folgenabschätzung für die Grundrechte

Die Parlamentarier haben eine Verpflichtung für die Nutzer von Hochrisikosystemen eingeführt, eine Folgenabschätzung für die Grundrechte durchzuführen, bevor die Systeme in Betrieb genommen werden. Die Ratspräsidentschaft ist der Ansicht, dass die Aufnahme dieser Verpflichtung notwendig sein könnte, um eine Einigung über das Paket zu erzielen.

Gleichzeitig schlägt Spanien vor, den Geltungsbereich dieser Verpflichtung nur auf öffentliche Einrichtungen zu beschränken. Sie solle sich nicht mit bestehenden Verpflichtungen, wie etwa der Datenschutz-Folgenabschätzung, überschneiden oder mit diesen im Widerspruch stehen.

Die Ratspräsidentschaft möchte auch, dass die Konsultation der relevanten Interessengruppen freiwillig und nicht verpflichtend ist.

[Bearbeitet von Zoran Radosavljevic]