Die europäische KI-Verordnung (AI Act) - Teil 1 (Borges, CR 2024, 497)

Die europäische KI-Verordnung (KI-VO), der AI Act, wurde am 12.7.2024 im Amtsblatt der EU verkündet¹ und ist, mehr als drei Jahre nach dem Vorschlag der Europäischen Kommission, am 1.8.2024 in Kraft getreten. Die europäischen Institutionen, die nationalen Gesetzgeber, Behörden und die Wirtschaft haben nun zwischen sechs Monaten und drei Jahren Zeit (dazu unten II.7.), sich auf dieses umfangreiche Gesetzeswerk vorzubereiten.

Die KI-Verordnung ist das Ergebnis eines bewegten Gesetzgebungsverfahrens,² in dessen Verlauf sich das Gesetz stark geändert hat. Kam der Kommissionsentwurf eines KI-Gesetzes vom 23.4.2021³ noch mit 85 Artikeln aus, umfasst die nunmehr in Kraft getretene KI-Verordnung insgesamt 113 Artikel, der Textumfang von 144 Seiten im Amtsblatt hat sich gegenüber dem Kommissionsentwurf mehr als verdoppelt. Das Gesetzgebungsverfahren war ausgesprochen hektisch, wichtige Änderungen der KI-Verordnung erfolgten erst in der letzten Phase des Gesetzgebungsverfahrens.

Die KI-Verordnung beruht auf vier wesentlichen materiellen Regelungskonzepten,⁴ die weitgehend nebeneinander bestehen. Diese sind (1) Verbote bestimmter Verwendungen von KI-Systemen, (2) die Regelung eines Risikomanagements für sog. Hochrisiko-KI-Systeme und bestimmte KI-Modelle, (3) Transparenzpflichten für generative KI-Systeme und (4) Förderung der Entwicklung und Vermarktung von KI-Systemen, einhergehend mit dem Verzicht auf besondere Pflichten für vermutlich über 99 % aller KI-Systeme.

Die in den Medien häufig verwendete Darstellung einer Pyramidenform und die damit einhergehende Unterteilung in „minimale“, „begrenzte“, „hohe“ und „inakzeptable“ Risiken⁵ , die ein Rangverhältnis von Risikoklassen mit alternativer Zuordnung suggeriert, ist irreführend, da die Regelungskonzepte nebeneinander bestehen und voneinander unabhängig sind. Die CR 2024, 498Verbote und die Transparenzpflichten (vgl. Art. 50 Abs. 6 KI-VO) sind also unabhängig von der Einstufung als Hochrisiko-KI-System. Ein Chatbot kann beispielsweise sowohl den Transparenzpflichten als auch den Pflichten für Hochrisiko-KI-Systeme unterliegen, unabhängig davon kann eine bestimmte Verwendung des Chatbots nach Art. 5 KI-VO verboten sein.

Diese materiellen Regelungskonzepte werden hinsichtlich der Durchsetzung der Regeln ergänzt durch ein Konzept der öffentlichen Aufsicht und Regeln zur Zusammenarbeit der Mitgliedstaaten.

Die KI-Verordnung enthält bewusst keine Regeln zur Haftung für KI-Systeme.⁶ Für den Datenschutz gilt ausdrücklich ein Vorrang der DSGVO (Art. 2 Abs. 7 KI-VO). Auch in anderen Bereichen, in denen Sonderregeln für KI notwendig erscheinen, etwa im Immaterialgüterrecht, schweigt die KI-Verordnung. Insoweit bleibt es (bisher) bei den allgemeinen Regeln.

Kern der KI-Verordnung sind die Regeln zu sog. Hochrisiko-KI-Systemen, die etwa die Hälfte des Textumfangs ausmachen. Insoweit handelt es sich um ein besonderes (...)