EU AI Act
EU beschließt KI-Etikette

»Die EU hat geliefert«, freut sich der Europaabgeordnete Dragos Tudorache über den Beschluss des Europäischen Parlaments zum EU AI Act. »Wir haben es geschafft, das Konzept der Künstlichen Intelligenz mit den grundlegenden Werten zu verknüpfen, die das Fundament unserer Gesellschaften bilden. «

Etwas weniger euphorisch äußert sich der Präsident des Branchenverbands Bitkom Dr. Ralf Wintergerst: »Deutschland muss die Chancen der KI in den Mittelpunkt rücken. Erst 13 Prozent der hiesigen Unternehmen setzen Künstliche Intelligenz ein, obwohl 82 Prozent ihr eine große Bedeutung für die künftige Wettbewerbsfähigkeit unserer Wirtschaft zusprechen. «

EU-Verordnung regelt Risikoklassen

Um was geht es? Das KI-Gesetz der Europäischen Union legt ethische Leitlinien und einen Rechtsrahmen für die Entwicklung, den Einsatz und die Nutzung von Systemen der Künstlichen Intelligenz (KI) in der Europäischen Union fest. KI-Systeme werden auf der Grundlage von Risikostufen kategorisiert, die von einem minimalen bis zu einem inakzeptabel hohen Risiko reichen und jeweils eine Reihe von regulatorischen Verpflichtungen nach sich ziehen.

Im Einzelnen: KI-Systeme mit begrenztem Risiko (limited-risk) wie etwa Chatbots, müssen die in der Verordnung festgelegten Transparenzpflichten erfüllen. Und KI-Systeme, deren Risiko als gering (minimal-risk) eingestuft wurde – darunter fallen Videospiele und Spam-Filter – können einem im Gesetz festgelegten freiwilligen Verhaltenskodex folgen.

Dagegen sind KI-Systeme, denen ein inakzeptables Risiko (unacceptable-risk) zugeordnet wird, schlicht verboten. Diese umfassen laut Europäischem Parlament

• kognitive Verhaltensmanipulation von Personen oder bestimmten gefährdeten Gruppen, zum Beispiel sprachgesteuertes Spielzeug, das gefährliches Verhalten bei Kindern fördert;
• Soziales Scoring: Klassifizierung von Menschen auf der Grundlage von Verhalten, sozioökonomischem Status und persönlichen Merkmalen;
• biometrische Identifizierung und Kategorisierung natürlicher Personen;
• biometrische Echtzeit-Fernidentifizierungssysteme, zum Beispiel Gesichtserkennung.

Dabei können einige Ausnahmen, darauf weist das EU-Parlament ausdrücklich hin, für Strafverfolgungszwecke zugelassen werden.

Achtung bei Hochrisikosystemen

Von besonderem Interesse für Unternehmen sind die sogenannten Hochrisikosysteme (high-risk). Sie werden in zwei Hauptkategorien unterteilt:

1. KI-Systeme, die in Produkten verwendet werden, die unter die Produktsicherheitsvorschriften der EU fallen. Dazu gehören Spielzeug, Luftfahrt, Fahrzeuge, medizinische Geräte und Aufzüge.

2. KI-Systeme, die in spezifische Bereiche fallen, und die in einer EU-Datenbank registriert werden müssen. Dazu gehören unter anderem Verwaltung und Betrieb von kritischen Infrastrukturen, allgemeine und berufliche Bildung, Beschäftigung, Verwaltung der Arbeitnehmer und Zugang zur Selbstständigkeit, Strafverfolgung, Verwaltung von Migration, Asyl und Grenzkontrollen sowie die Unterstützung bei der Auslegung und Anwendung von Gesetzen.

Für solche KI-Systeme mit hohem Risiko gelten strenge Anforderungen in den Bereichen Risikomanagement, Datenverwaltung, Transparenz und Überwachung durch Menschen. Anbieter, aber auch Unternehmen, die solche Systeme einsetzen, stehen in der Pflicht, diese Anforderungen zu erfüllen. Hochrisiko-KI-Systeme zum Beispiel für autonome Fahrzeuge oder medizinische Geräte können eine erhebliche Bedrohung für die Gesundheit, Sicherheit oder die Grundrechte der Einzelnen darstellen. Sie müssen eingehend geprüft und bewertet werden, bevor sie auf den Markt gebracht werden. Diese Bewertung wird vom Anbieter selbst durchgeführt.

Whitepaper ordnet Anforderungen an KI-Systeme ein

Forscherinnen und Forscher des Fraunhofer-Instituts für Kognitive Systeme IKS haben ein Whitepaper verfasst, das sich mit den Anforderungen an KI-Systeme mit hohem Risiko befasst, wie sie in den Artikeln 9 bis 15 des EU-KI-Gesetzes festgelegt sind. Im Mittelpunkt dabei steht deren praktische Umsetzung im Unternehmen. Dabei werden auch Lücken in Bezug auf bestehende Sicherheitsstandards aufgezeigt.

Darauf aufbauend hat das Fraunhofer IKS ein Framework entwickelt, um diese Lücken zu schließen. In dem Rahmenwerk werden konkrete Anforderungen aus dem EU-KI-Gesetz abgeleitet, angelehnt an den Ansatz des vertragsbasierten Designs (contract-based design). Die Expertise der Forscherinnen und Forscher des Fraunhofer IKS in vertrauenswürdiger KI und Sicherheit (safety) bildet die Grundlage der Ableitung von Argumentationsbäumen für generische Eigenschaften von Machine-Learning-(ML)-Systemen.