03. März 2025

Einführung in den AI Act

Zusammenfassung eines Webinars mit Jeannette Gorzala, 24. Februar 2025, aufgezeichnet durch Sabine Fauland.

Von: Sabine Fauland (Museumsbund Österreich), Wien

Ausbau der KI-Kompetenz

KI-Kompetenz ist seit 2. Februar 2025 gemäß dem European AI Act für Unternehmen verpflichtend – sowohl für Anbieter:innen als auch für Betreiber:innen (professionelle User:innen). Zielsetzung ist es, adäquat zum KI-Einsatz Bewusstsein, Fähigkeiten und Umgang mit KI-Applikationen zu schaffen. Hierbei gibt es kein One-Size-Fits-All Konzept, was Flexibilität in der Umsetzung ermöglicht.

Viele Organisationen sind auf die digitale Transformation (noch) nicht ausreichend vorbereitet. Die Risiken sind vielfältig: Verletzung von Privatsphäre, Bias und Diskriminierung, Urheberrechte, Verrat von Betriebs- und Geschäftsgeheimnissen, unrichtige Outputs (Halluzinationen).
Nicht ausreichende KI-Reife in Organisationen sowie falsche oder missbräuchliche Verwendung von KI-Tools können unmittelbare und zum Teil langfristige negative Auswirkungen haben!

Die Risiken steigen, je weniger Kompetenzen bei den Mitarbeiter:innen im Unternehmen bestehen. Daher werden Anleitungen und Guidelines in Unternehmen immer wichtiger.

Kernkompetenzen von Personen werden durch KI-Technologien teils disruptiert. Der neueste Future of Jobs Report des World Economic Forum geht davon aus, dass bis 2030 rund 39 Prozent unserer Kernkompetenzen obsolet werden und Re-Skilling und Up-Skilling erfordern, d. h. aktualisiert oder neu erlernt werden müssen.

Welche Kompetenzen sind notwendig? Um einen informierten und sicheren Umgang mit KI-Tools zu gewährleisten, müssen ausreichend Fähigkeiten, Wissen und Verständnis im Hinblick auf den Umgang mit KI-Tools vorhanden sein, Chancen und Risiken müssen bewusst sein und bewertet werden können, datenschutzrechtlich, urheberrechtlich, inhaltlich.

Eine schriftliche AI-Literacy-Policy ist empfehlenswert für jedes Unternehmen, um nachzuweisen und dokumentieren zu können, dass Mitarbeitende entsprechend geschult sind.

Eine Studie von McKinsey zeigt, dass Unternehmen mit einer starken Innovationskultur generative KI-Technologien deutlich effektiver einsetzen (Companies with innovative cultures have a big edge with generative AI, 31. August 2023). Dazu gehört dann eine KI-Strategie, um den Einsatz von Technologie mit Ziel, Zweck und Richtung festzulegen und der Aufbau entsprechender Talente. Um Routine im Umgang mit neuer Technologie zu entwickeln und damit einhergehend einen richtigen sowie vertrauenswürdigen Umgang, braucht es eine durchgehende Beschäftigung von bis zu drei Monaten.

Aktuell gibt es in Österreich noch keine Behörden, Organisationsstrukturen sind gerade im Aufbau. Es ist davon auszugehen, dass es bis zum Sommer 2025 eine KI-Behörde geben wird, die die Umsetzung des AI-Acts auch überprüft.

Ethikleitlinien für vertrauenswürdige KI (2019)

Was bedeutet vertrauenswürdige Künstliche Intelligenz?

Vertrauenswürdige KI hat im Wesentlichen drei Elemente:

a) Sie sollte rechtmäßig sein und somit alle anwendbaren Gesetze und Bestimmungen einhalten,

b) sie sollte ethisch sein und somit die Einhaltung ethischer Grundsätze und Werte garantieren und

c) sie sollte robust sein, und zwar sowohl in technischer als auch sozialer Hinsicht, da KI-Systeme selbst bei guten Absichten unbeabsichtigten Schaden anrichten können.

Jede Komponente an sich ist notwendig, jedoch nicht ausreichend, um das Ziel einer vertrauenswürdigen KI zu erreichen. Idealerweise wirken alle drei Komponenten harmonisch zusammen und überlappen sich in ihrer Funktionsweise.

Die Ethikleitlinien enthalten sieben Prinzipen für vertrauenswürdige künstliche Intelligenz wie folgt, die auch dem AI Act zugrunde liegen:

menschliches Handeln und menschliche Aufsicht
technische Robustheit und Sicherheit
Privatsphäre und Daten-Governance
Transparenz
Vielfalt, Nichtdiskriminierung und Fairness
soziales und ökologisches Wohlergehen
Rechenschaftspflicht

Hinzu kommt, dass auch die DSVGO und das Urheberrecht nach wie vor ihre Gültigkeiten haben. Beide Gesetze regeln, welche Daten für KI-Tools verwendet werden dürfen.

European AI Act

KI-Definition im AI Act

KI wird im AI Act wie folgt definiert: Ein KI-System ist ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie operieren kann und dazu bestimmt ist, aus Eingaben zu inferieren, wie ein bestimmtes Ziel am besten erreicht werden kann, und das menschliche Entscheidungen beeinflusst oder automatisiert.

Risikostufen für KI-Systeme

Der AI Act sieht Risikostufen für KI-Systeme vor. Nicht alle KI-Systeme fallen in den regulierten Bereich. Je höher das Risiko, desto strikter die Regeln.

Inakzeptables Risko (verboten): im Widerspruch mit Werten der EU, KI-Systeme, die das menschliche Verhalten manipulieren oder Schwächen ausnutzen (Social Scoring, Predictive Policing).
Hohes Risko: Anforderungen an Inverkehrbringen bzw. Inbetriebnahmen, bspw. KI-Systeme in bestimmten Produkten und Bereichen wie Spielzeug, Zivilluftfahrt, Biometrie, Emotionserkennung, Personalwesen, Aus- und Weiterbildung, kritische Infrastruktur.
Begrenztes Risiko (Transparenzverpflichtung): Risikomanagement durch Transparenzmaßnahmen, bspw. Chatbots oder KI-Systeme zu Erstellung von Text, Bild oder Video.
Minimales bzw. kein Risiko (keine spezifischen Verpflichtungen): alle anderen KI-Systeme.

Keinerlei Einschränkungen gibt es allerdings durch den AI-Act im Bereich Forschung und Entwicklung.

Die EU hat auch umfassende Leitlinien zum AI Act herausgegeben, in der auch acht verbotenen Praktiken gelistet sind:

Unterschwellige Beeinflussung, manipulative oder täuschende KI-Systeme
Social Scoring
Ausnutzung von Schwächen
Echtzeit-Biometrische Identifikation in öffentlichen Räumen (mit Ausnahmen)
Emotionserkennung am Arbeitsplatz und in Schulen
Predictive Policing basierend auf Profiling
Illegale biometrische Datenbanken
Massenüberwachung ohne klare rechtliche Grundlage

Insbesondere der Punkt der unterschwelligen Beeinflussung durch KI-Systeme ist näher zu betrachten: Abgrenzungsfragen stellen sich vor allem im Hinblick auf Empfehlungsdienste (Recommender-Algorithmen) oder Systeme zur Steuerung des Verhaltens von Nutzenden in virtuellen Welten, Online und in Apps.

Transparenz und Kennzeichnung

Natürlichen Personen, die mit KI-Systeme arbeiten oder mit diesen konfrontiert sind, müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Dies ist insbesondere bei digitalen Avataren und Influencern zu beachten.

Bei der Kennzeichnungspflicht wird zwischen Anbieter:innen und Betreiber:innen unterschieden. Im Regelfall werden Museumsmitarbeiter:innen wahrscheinlich Betreiber:innen sein, d. h. KI-Systeme und -Tools nutzen, um damit Inhalte zu generieren. Ein mit KI generierter oder mit KI bearbeiteter Content, der echten Personen, Objekten, Worten, Entitäten oder Ereignissen ähnlich ist und einer Person, die diesen in Medien konsumieret, fälschlicherweise als authentisch oder original erscheinen könnte (Deep Fake), muss gekennzeichnet sein.

Es gibt eine Ausnahme für den offensichtlich kreativen, künstlerischen, satirischen, fiktionalen Bereich. Dort ist diese Offenlegungspflichten limitiert und soll den Genuss des Werkes nicht beeinträchtigen.

Bei der Erstellung von Text entfällt die Kennzeichnungspflicht dann, wenn der Text menschlich kontrolliert oder redigiert wurde und redaktionelle Kontrolle sowie Verantwortung für dieses Textprodukt übernommen wird.

Für General Purpose Modelle sind die Pflichten im AI Act nur programmatisch festgehalten. Zurzeit ist der Code of Practice in Ausarbeitung, der die Verpflichtungen für Modellanbieter:innen näher konkretisiert.

Ein Punkt ist hier beispielsweise, dass Anbieter:innen verpflichtend eine eigene Copyright Policy zu erstellen haben und künftig teilweise offenlegen müssen, welche urheberrechtlich geschützten Daten sie nutzen. So soll der Schutz von Urheberrechten und Künstler:innen sowie die Haftung bei Urheberrechtsverstößen unterstützt werden.

Im AI Act wird erstmals Open Source AI rechtlich definiert. Open Source AI ist ein Modell, das öffentlich unter offener Lizenz sowie unentgeltlich zur Verfügung gestellt wird und das den Zugang, Nutzung, Modifikation, Distribution des Modells ermöglicht.

Blick außerhalb Europas

Auch außerhalb von Europa ist der Umgang mit KI reguliert. In den USA gibt es den AI Bill of Rights seit Oktober 2022 sowie seit Oktober 2023 die Executive Order on Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence, die allerdings von Präsident Trump aufgehoben wurde.

Auf Bundesstaatenebene sind viele Regulierungen verabschiedet worden, u. a. auch in Kalifornien. Auch in China gibt es seit etwa 2017 KI-Regulatorien.

Credits und Zusatzinfos:

Referentin:

Jeannette Gorzala kombiniert juristische Expertise mit strategischer Vision. Mit ihrem Hintergrund in internationaler Betriebswirtschaft und Recht ist sie die Schnittstelle zwischen Technologie, Recht und Wirtschaft.