Komplexe Vorgaben

Allerdings steht noch nicht fest, welche Behörde in Deutschland für die Durchsetzung der rechtlichen Vorgaben verantwortlich sein soll. „Infrage kommen hier die Datenschutzaufsichtsbehörden, das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder zum Beispiel die Bundesnetzagentur“, sagt Matthias Orthwein, Partner der Münchner Anwaltskanzlei SKW Schwarz und Lehrbeauftragter für IT und Datenschutzrecht an der Technischen Hochschule Rosenheim.

Sinnvoll: zentrale, nationale KI-Behörde

Die IHK spricht sich in ihrem Positionspapier deutlich für eine einheitliche Umsetzung durch eine zentrale, nationale KI-Behörde aus. Eine uneinheitliche Organisation der nationalen Aufsicht durch Zersplitterung auf die einzelnen Bundesländer, wie bei der Datenschutz-Grundverordnung (DS-GVO), solle auf jeden Fall vermieden werden.

Vorgesehen ist, dass die EU-Mitgliedstaaten binnen 12 Monaten nach Inkrafttreten der Verordnung die Zuständigkeit der KI-Behörde festlegen. Manko für die Unternehmen: Ansprechpartner in der zuständigen Behörde werden kurzfristig nicht zur Verfügung stehen.

AI Act und DS-GVO – Synergien realisieren

Hilfreich kann es für Unternehmen sein, sich an den Vorgaben des IT-Sicherheitsgesetzes und der DS-GVO zu orientieren. „Vermutlich werden daraus bestimmte Anwendungsregeln und Dokumentationsprozesse für das KI-Gesetz adaptiert oder übernommen“, erwartet Orthwein. Seine Kanzlei ist für den AI Act offenbar gewappnet. „Wir nutzen bereits eine spezielle KI-Lösung für Berufsgeheimnisträger, das funktioniert sehr gut.“ Die gesetzlichen Anforderungen zu Urheberschutz und Datenschutz sowie zum besonderen Schutz der Mandantengeheimnisse seien automatisch eingebunden.

Sich gegen Cyberattacken schützen

Der Rechtsexperte fügt hinzu: „Die Unternehmen, die KI einsetzen, müssen alles tun, um die Systeme gegen Hackerangriffe und andere Cybercrime-Attacken zu schützen.“ Hierzu sollte die KI in das betriebliche Risikomanagement eingebunden sein. Vorgeschrieben ist eine Risikobewertung, mit der die Firmen nachweisen, dass sie künstliche Intelligenz gesetzeskonform einsetzen und die dabei bestehenden rechtlichen Risiken im Griff haben.

Eigenprüfung ist möglich

„Sie müssen aufzeigen, welche Daten in ihre KI-Systeme einfließen und welche Risiken durch den Einsatz entstehen“, erklärt Orthwein. Dabei besteht für viele Unternehmen die Möglichkeit zur Eigenprüfung, eine Prüfpflicht durch externe Auditoren ist in diesen Fällen nicht vorgesehen.

Bußgelder in Millionenhöhe

Bei Verstößen gegen das KI-Gesetz drohen im Übrigen hohe Bußgelder: im schlimmsten Fall bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Umsatzes.    

IHK-Info zum AI Act und den Risikoklassen für KI-Systeme

Die Website der IHK für München und Oberbayern unterstützt mit vielfältigen, praxisorientierten Informationen:

• Sie bietet eine ausführliche Einordnung des europäischen AI Act.  
• Das IHK-Positionspapier „Umsetzung des AI Acts“ gibt es ebenfalls auf der Website.

Der AI Act stuft KI-Anwendungen in vier Risikoklassen ein, je nachdem, ob und wie stark sie die Gesundheit, die Sicherheit und die Grundrechte von Menschen gefährden können.

• Inakzeptables Risiko: KI-Technologien, die Persönlichkeitsrechte bedrohen, etwa Social Scoring, sind sechs Monate ab Inkrafttreten des AI Acts verboten.
• Hohes Risiko: künstliche Intelligenz, die etwa über die Einstellung von Jobkandidaten oder den Zugang zu Bildung entscheidet, oder in kritischen Infrastrukturen und in Sicherheitskomponenten von Produkten zum Einsatz kommt. Darunter können zum Beispiel KI-Anwendungen in der Medizin oder die KI-Bewertung der Kreditwürdigkeit fallen. Hier gelten besondere Vorschriften.
• Begrenztes Risiko: bezieht sich auf Risiken, die mit mangelnder Transparenz bei der KI-Nutzung verbunden sind. Beim Einsatz von Chatbots oder Deep Fakes zum Beispiel sollten Menschen informiert werden, dass sie mit einer Maschine agieren: Der Nutzer sollte wissen, dass er es mit einer KI zu tun hat.
• Minimales Risiko: keine gesetzlichen Anforderungen. Anbietern wird ein freiwilliger Verhaltenskodex nahegelegt. Beispiele sind hier Spamfilter oder KI-fähige Videospiele.

Gänzlich ausgeschlossen von dem AI Act sind KI-Systeme für militärische Zwecke, für die Forschung, zur Strafverfolgung und zur rein privaten, nicht kommerziellen Nutzung.

Das Gesetz betrifft auch KI-Systeme mit allgemeinem Verwendungszweck, in der Fachsprache General Purpose Artificial Intelligence (GPAI). Für diese gelten die Vorgaben ab 2. August 2025. Dazu gehört unter anderem ChatGPT.

IHK-Veranstaltungstipps: Webinare zur KI

• Webinarreihe AI Act

Die bayerischen IHKs (BIHK) veranstalten für Unternehmen eine mehrteilige Webinarreihe rund um das Thema AI Act. 
Alle Termine mit Anmeldung in den Karteireitern oben auf der Webseite.

• KI-Webinarreihe „Künstliche Intelligenz verstehen und nutzen“

Der Einsatz von KI in der Wirtschaft wird breit diskutiert. Doch was bringt KI konkret für den einzelnen Betrieb? In welchen Bereichen können Firmen sie einsetzen? Die BIHK-Webinarreihe will KI für Unternehmen greifbarer machen, Wissen vermitteln, Barrieren beseitigen, rechtliche Rahmenbedingungen erläutern – und neue Impulse geben.
Erster Termin: 29. Oktober 2024, 14–15 Uhr
Letzter Termin: 5. Dezember 2024, 14–15 Uhr
Weitere Infos und Anmeldung hier.