EU AI Act: Welche Fristen jetzt gelten

Siebenundfünfzig Prozent der Unternehmen in Deutschland ab zwanzig Beschäftigten setzen inzwischen Künstliche Intelligenz ein. Das hat der Digitalverband Bitkom im September zweitausendsechsundzwanzig veröffentlicht.

Als Anwender nur siebenunddreißig Prozent der Unternehmen, weitere vierunddreißig Prozent prüfen das noch. Dabei hat jedes Unternehmen, das KI beruflich nutzt, schon heute Pflichten.

Verschoben wurde nur ein Teil, vor allem die Regeln für Hochrisiko-Systeme. Verbote, Schulungspflicht und Kennzeichnung gelten bereits.

Parlament und Rat der EU, mit einer Änderungsverordnung vom achten Juli zweitausendsechsundzwanzig, dem sogenannten Digital-Omnibus zur KI. Sie ist seit dem siebenundzwanzigsten Juli in Kraft.

Gleich doppelt: als Anwender von KI im Büro und in der Personalarbeit. Und als Hersteller, sobald KI in Ihren Maschinen steckt.

Welche Fristen jetzt gelten, welche verschoben wurden und was Sie bis wann erledigen. Dazu drei typische Fehler im Mittelstand, jeweils mit dem Weg, der funktioniert.

Seit dem zweiten Februar zweitausendfünfundzwanzig gelten die Verbote und die Pflicht zur KI-Kompetenz. Beides steht in den ersten beiden Kapiteln der Verordnung, und die wurden nicht verschoben.

Am ehesten das Verbot, am Arbeitsplatz Gefühle von Menschen per KI zu erkennen. Ein Programm, das in Videokonferenzen aus Mimik oder Stimme die Gefühle einzelner Beschäftigter ableitet, ist verboten, außer aus medizinischen oder Sicherheitsgründen.

Dann drohen bis fünfunddreißig Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.

Der Bußgeldrahmen der Verordnung gilt seit dem zweiten August zweitausendfünfundzwanzig. Wer ihn in Deutschland durchsetzt, regelt das Durchführungsgesetz, in Kraft seit dem neunundzwanzigsten Juli zweitausendsechsundzwanzig.

Ja, durch den Omnibus: Seit Ende Juli müssen Sie Maßnahmen ergreifen, um die KI-Kompetenz Ihrer Leute zu fördern. Ein bestimmtes Niveau müssen Sie für niemanden garantieren.

Die Verordnung nennt dafür keinen eigenen Bußgeldrahmen, und das deutsche Durchführungsgesetz sieht Stand heute kein Bußgeld vor. Die Pflicht gilt trotzdem.

Laut Bitkom schulen siebzig Prozent der Unternehmen ihre Beschäftigten im Umgang mit KI, jedes vierte bietet gar nichts an. Halten Sie fest, wer wann zu welchem Programm geschult wurde, dann können Sie es jederzeit belegen.

Seit dem zweiten August zweitausendsechsundzwanzig gelten die Transparenzpflichten. Wer mit KI täuschend echte Bilder, Töne oder Videos erzeugt, muss offenlegen, dass sie künstlich sind.

Die Pflicht trifft den Anbieter: Er muss das System so bauen, dass Menschen erfahren, dass sie es mit einer KI zu tun haben. Wer den Assistenten aber unter eigenem Namen entwickeln lässt und in Betrieb nimmt, kann selbst Anbieter sein.

Lassen Sie den Assistenten im ersten Satz sagen, dass hier ein Programm antwortet. Verstöße gegen die Transparenzpflichten können bis fünfzehn Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes kosten.

Für die meisten Unternehmen die Bundesnetzagentur, etwa bei Transparenzpflichten, Verboten und KI in der Personalarbeit. Bei KI im Finanzgeschäft von Banken und Versicherern ist es die Finanzaufsicht.

Jeder, der Grund zur Annahme eines Verstoßes hat, etwa ein Bewerber oder ein Wettbewerber. Die Bundesnetzagentur ist dafür die zentrale Beschwerdestelle.

Ab dem zweiten Dezember zweitausendsechsundzwanzig gelten zwei neue Verbote. Sie treffen Programme, die ohne Zustimmung intime Bilder erkennbarer Menschen erzeugen, und solche, die Darstellungen von Kindesmissbrauch erzeugen.

Vor allem die Anbieter. Verboten ist aber auch, solche Programme zu diesem Zweck zu nutzen, deshalb gehört es als rote Linie in Ihre KI-Richtlinie.

Die Anbieter müssen Ergebnisse maschinenlesbar markieren; wer schon vor August auf dem Markt war, hat dafür bis zum zweiten Dezember Zeit. Ihre eigene Pflicht, täuschend echte Inhalte offenzulegen, ersetzt das nicht.

Dann sind Sie mitten im Hochrisiko-Bereich. Anhang drei der Verordnung nennt KI, die Aufgaben nach Verhalten oder persönlichen Merkmalen zuweist oder Leistung bewertet.

Ursprünglich ab August zweitausendsechsundzwanzig. Der Omnibus hat das für diese Systeme auf den zweiten Dezember zweitausendsiebenundzwanzig verschoben.

Weil Sie heute einkaufen und die Software dann noch laufen soll. Fragen Sie den Hersteller schriftlich, ob er sein System als Hochrisiko einstuft und wann er die Unterlagen dafür liefert.

Die Betriebsanleitung und die Konformitätserklärung, also seine schriftliche Bestätigung, dass das System die Anforderungen erfüllt. Ohne beides können Sie Ihre eigenen Pflichten kaum einhalten.

Sie setzen das System nach Betriebsanleitung ein und übertragen die Aufsicht einer Person mit Kompetenz und Befugnis. Die automatisch erzeugten Protokolle bewahren Sie, soweit Sie sie kontrollieren, mindestens sechs Monate auf.

Soweit Sie die Eingabedaten kontrollieren, müssen sie zum Zweck des Systems passen und ausreichend repräsentativ sein. Vor dem Start informieren Sie außerdem Betriebsrat und betroffene Beschäftigte.

In diesem Fall nicht. Die verlangt Artikel siebenundzwanzig von Behörden, von privaten Anbietern öffentlicher Dienste und bei Kreditprüfung oder Lebens- und Krankenversicherung.

Bis fünfzehn Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für kleine und mittlere Unternehmen gilt der niedrigere Betrag.

Ja, wenn Ihr Umsatz höchstens fünfzig Millionen Euro oder Ihre Bilanzsumme höchstens dreiundvierzig Millionen beträgt, Konzernfirmen mitgerechnet. Darüber hilft eine neue Regel aus dem Omnibus.

Unter siebenhundertfünfzig Beschäftigten und bis hundertfünfzig Millionen Euro Umsatz oder hundertneunundzwanzig Millionen Bilanzsumme gilt bei diesen Bußgeldern ebenfalls der niedrigere Betrag. Bei den Verboten bleibt es für diese Gruppe beim höheren.

Eine Übergangsregel gibt es tatsächlich. Systeme, die vorher auf dem Markt waren, fallen nur unter die Pflichten, wenn ihre Konzeption danach erheblich geändert wird.

Laut Begründung der Verordnung meint erheblich dasselbe wie eine wesentliche Veränderung, etwa einen neuen Zweck. Ob laufende Updates schon darunter fallen, ist Stand heute nicht abschließend geklärt; darauf würde ich keinen Einkauf stützen.

Genau da liegt die Falle. Wer den Zweck eines allgemeinen KI-Systems so ändert, dass es zum Hochrisiko-System wird, gilt nach Artikel fünfundzwanzig selbst als Anbieter.

Ab Dezember zweitausendsiebenundzwanzig tragen Sie dann die Pflichten eines Anbieters, von der Konformitätsbewertung bis zur Registrierung in der EU-Datenbank. Das ist ein eigenes Projekt, nichts für nebenbei.

Mit einer Liste aller KI-Programme im Haus: wofür, wer ist Anbieter, welche Risikostufe, welche Frist. Eine verantwortliche Person führt sie, und die Geschäftsführung zeichnet sie ab.

Die Bundesnetzagentur bietet online ein Prüfwerkzeug zur ersten Orientierung an. Es gibt Hinweise, ob ein System verboten, hochriskant oder transparenzpflichtig sein könnte, ersetzt aber keine Prüfung im Einzelfall.

Das ist ein Sicherheitsbauteil, und genau hier hat der Omnibus umgebaut. Die Hochrisiko-Regeln der KI-Verordnung gelten für Maschinen nicht mehr direkt, die Anforderungen kommen künftig über die Maschinenverordnung.

Nein. Die neue Maschinenverordnung der EU gilt ab dem zwanzigsten Januar zweitausendsiebenundzwanzig, und sie regelt lernende Sicherheitsfunktionen schon selbst.

Sicherheitsbauteile, deren Verhalten sich durch maschinelles Lernen ganz oder teilweise selbst entwickelt, stehen in Anhang eins, Teil A. Dafür reicht Ihre eigene Erklärung nicht, eine unabhängige Prüfstelle, die sogenannte notifizierte Stelle, muss mitprüfen.

Die Verordnung definiert selbstentwickelndes Verhalten nicht; laut ihrer Begründung gilt die Prüfpflicht nicht für Software, die weder lernen noch sich weiterentwickeln kann. Ob Ihr fertig trainiertes Modell als lernend gilt, ist Stand heute nicht abschließend geklärt; sprechen Sie jetzt mit einer Prüfstelle, nicht erst im Januar.

Die ist kein Sicherheitsbauteil. Die KI-Verordnung stellt seit dem Omnibus klar: KI nur für Qualitätskontrolle, Leistungsoptimierung oder Bedienkomfort zählt nicht dazu, solange ihr Ausfall niemanden gefährdet.

Ist die Steuerung lernend und teilautonom, darf die Maschine nie über ihre festgelegte Aufgabe und ihren Bewegungsbereich hinaus handeln. Und Sie müssen jederzeit eingreifen und sie korrigieren können.

Ja, die Daten zum sicherheitsrelevanten Entscheidungsweg, und zwar ein Jahr lang. Eingriffe und neu aufgespielte Versionen der Sicherheitssoftware müssen bis zu fünf Jahre nachvollziehbar bleiben.

Die Kommission muss die Maschinenverordnung noch um KI-Anforderungen ergänzen, etwa Risikomanagement, Datenqualität, menschliche Aufsicht und die Meldung schwerer Vorfälle. Diese Regeln gelten ab dem zweiten August zweitausendachtundzwanzig.

Bringt er das Bauteil selbst auf den Markt, muss er es prüfen lassen. Ist es so geprüft, muss Ihre Maschine nicht allein deshalb neu zertifiziert werden; lassen Sie sich die Bescheinigung geben.

Die Konstruktion zusammen mit Ihrem Verantwortlichen für die CE-Kennzeichnung. Entscheiden muss aber die Geschäftsführung: Liefern Sie ab Januar mit geprüfter KI-Funktion oder vorerst mit herkömmlicher Schutztechnik?

Erstens: Setzen Sie um, was schon gilt. Keine Gefühlserkennung am Arbeitsplatz, Schulung mit Liste nachweisen, täuschend echte Inhalte kennzeichnen, und der Chat-Assistent gibt sich als Programm zu erkennen.

Legen Sie eine Liste aller KI-Programme an, mit Zweck, Rolle, Risikostufe und Frist. Und nutzen Sie nie ein allgemeines Chat-Programm für Entscheidungen über Bewerber oder Leistung, sonst können Sie selbst zum Anbieter werden.

Klären Sie für jede Maschine mit lernender Sicherheitsfunktion noch dieses Jahr, ob eine Prüfstelle mitprüfen muss. Ab dem zwanzigsten Januar zweitausendsiebenundzwanzig gilt die Maschinenverordnung, ab August zweitausendachtundzwanzig kommen die KI-Anforderungen dazu.

Schreiben Sie die Frist direkt neben jedes System in Ihre Liste. Ein KI-Register mit Einstufung nach Anhang drei und die Schulung nach Artikel vier finden Sie bei frag.hugo.