KI-Gesetz der EU sieht hohe Risikoklassen für Medizintechnik vor

Berlin – Das Gesetz über Künstliche Intelligenz (KI) der Europäischen Union (EU) ist in Kraft getreten und muss von den Mitgliedstaaten in den kommenden zwei Jahren umgesetzt werden. In der Medizin dürften viele KI-Anwendungen künftig den höchsten Risikoklassen zugeordnet werden.

Das Gesetz zielt darauf ab, die Nutzung von KI in der Europäischen Union sicherer zu machen. Es soll sicher­stellen, dass KI-Systeme möglichst transparent, nachvollziehbar, nicht diskriminierend und umweltfreundlich sind. Ein wichtiger Aspekt ist, dass die KI-Systeme von Menschen überwacht werden und nicht nur von ande­ren Technologien.

Die Regelungen sehen vor, KI-Anwendungen in verschiedene Risikogruppen einzustufen. Systeme, die als be­sonders risikoreich gelten und beispielsweise im Gesundheitswesen oder anderen kritischen Infrastrukturen eingesetzt werden, müssen strenge Anforderungen erfüllen. Anwendungen mit einem geringeren Risiko un­ter­liegen weniger Verpflichtungen.

Sogenannte Hochrisiko-KI-Systeme – die ein hohes Risiko für die Gesundheit und Sicherheit oder für die Grundrechte natürlicher Personen darstellen – werden dabei in zwei Hauptkategorien eingeteilt. Die erste Kategorie sind KI-Systeme, die in Produkten verwendet werden, die unter die Produktsicherheitsvorschriften der EU fallen. Zu ihnen gehören medizinische Geräte, aber auch Spielzeug, Luftfahrttechnik, Fahrzeuge und Aufzüge.

Die zweite Kategorie bilden KI-Systeme, die in spezifische Bereiche fallen, und die in einer EU-Datenbank registriert werden müssen. Dazu gehören unter anderem die Verwaltung und der Betrieb von kritischen Infra­strukturen, also beispielsweise auch von Gesundheitseinrichtungen, aber auch allgemeine und berufliche Bil­dung, Strafverfolgung oder die Unterstützung bei der Auslegung und Anwendung von Gesetzen.

Alle KI-Systeme mit hohem Risiko werden nach Angaben des Europäischen Parlaments vor dem Inverkehr­bringen und während ihres gesamten Lebenszyklus bewertet. Bürger sollen demnach das Recht haben, bei den zuständigen nationalen Behörden Beschwerden über KI-Systeme einzureichen.

Transparenzvorgaben für Sprachmodelle

Generative Foundationmodelle wie ChatGPT werden hingegen nicht als risikoreich eingestuft, müssen aber Transparenzanforderungen und das EU-Urheberrecht erfüllen. Verbraucher sollen durch transparente Kenn­zeichnung leichter erkennen können, bei welchen Programmen Künstliche Intelligenz verwendet wird.

So muss unter anderem offengelegt werden, dass ein Inhalt durch KI generiert wurde. Auch muss verhindert werden, dass ein Modell illegale Inhalte erzeugt und Zusammenfassungen urheberrechtlich geschützter Daten, die für das Training verwendet wurden, müssen veröffentlicht werden.

KI-Anwendungen, die gegen EU-Werte verstoßen, sind zudem ganz verboten. Dazu gehört etwa die Bewertung von sozialem Verhalten, sogenanntes Social Scoring, mit dem in China Bürger in Verhaltenskategorien einge­teilt werden.

Auch Gesichtserkennung im öffentlichen Raum – etwa durch Videoüberwachung an öffentlichen Plätzen – ist grundsätzlich nicht erlaubt. Ebenso wird eine Emotionserkennung am Arbeitsplatz und in Bildungseinrich­tungen mit dem Gesetz in der EU verboten.

Mitgliedstaaten müssen Gesetz erst noch umsetzen

Mit dem Inkrafttreten am 1. August ändert sich erst einmal nicht viel. Das KI-Gesetz soll schrittweise greifen. Einige Regelungen müssen dann zeitnah von den Mitgliedstaaten umgesetzt werden, zum Beispiel das Verbot von KI-Systemen, die „unannehmbare Risiken“ darstellen. Das sind Systeme, die als Bedrohung für Menschen eingestuft sind. Deren Verbot gilt schon nach einem halben Jahr.

Ein Verhaltenskodex für Anbieter von KI-Modellen soll bis April nächsten Jahres fertiggestellt werden, wie die EU-Kommission vor Inkrafttreten des Gesetzes mitteilte. Nach zwei Jahren müssen dann größtenteils alle Punkte des Gesetzes vollständig umgesetzt sein. Hochriskante Systeme werden hingegen mehr Zeit haben, um die Anforderungen zu erfüllen. Die sie betreffenden Verpflichtungen gelten nach drei Jahren.

Bei Verstößen drohen empfindliche Strafen. Beim Einsatz von verbotener Technologie etwa bis zu 35 Millio­nen Euro oder – im Falle von Unternehmen – bis zu sieben Prozent des weltweiten Jahresumsatzes des voran­gegangenen Geschäftsjahres. Das genaue Strafmaß muss in diesem Rahmen aber von den Ländern festgelegt werden, wie die Kommission mitteilte.

Bei anderen Verstößen gegen das Gesetz können Strafen von bis zu 15 Millionen Euro oder – im Falle von Unternehmen – bis zu drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres fällig werden.

Wissing kritisiert Gesetz

Experten diskutierten zuletzt immer wieder, ob KI durch das Gesetz einen Schub erhält oder die Entwicklung vielleicht sogar ausgebremst wird. Das liegt am Ende wohl auch an der jeweiligen nationalen Umsetzung.

Der Grünen-Bundestagsabgeordnete Tobias Bacherle mahnte, nun eine Regelung für KI-gestützte biometri­sche Überwachung in Deutschland zu finden. In den falschen Händen könnte sie leicht zur Aushebelung von Freiheitsrechten missbraucht werden, sagte er.

Bundesdigitalminister Volker Wissing gehen die Vorgaben des EU-Gesetzes teilweise zu weit. „Ich hätte mir eine innovationsfreundlichere Regulierung gewünscht“, sagte der FDP-Politiker. „Aber am Ende muss es eben ein Kompromiss sein, der ist besser als keine Regulierung.“ Nun gehe es in Deutschland um eine möglichst „bürokratiearme“ Umsetzung.

Darüber hinaus wurde früher bemängelt, es könnten viele Vorgaben angesichts der schnellen technischen Entwicklung von KI-Anwendungen und der schrittweisen Umsetzung der Regelungen schon bald wieder ver­altet sein. Die Kommission teilte mit, sie werde jährlich eine Prüfung vornehmen, ob die Liste der hochriskan­ten Anwendungen überarbeitet oder erweitert werden müsse.

dpa/lau