Der EU-Gesetzesvorschlag zum KI-Gesetz von 2021 ist der ursprüngliche Legislativvorschlag der Europäischen Kommission zur Regulierung künstlicher Intelligenz (KI) innerhalb der Europäischen Union. Er wurde am 21. April 2021 eingeführt und etablierte einen risikobasierten Rahmen, der KI-Anwendungen in vier Stufen einteilt - inakzeptabel, hoch, begrenzt und minimal - mit entsprechenden Pflichten für Anbieter und Betreiber. Der Vorschlag wurde später überarbeitet, um dem Aufkommen generativer KI-Systeme wie ChatGPT Rechnung zu tragen, bevor er 2024 als endgültiges KI-Gesetz verabschiedet wurde.
Der Vorschlag entstand aus einer breiteren EU-Strategie, den Block als führend bei vertrauenswürdiger KI zu positionieren und dabei Innovation mit dem Schutz von Grundrechten in Einklang zu bringen. Er stützte sich auf frühere Arbeiten des Europäischen Parlaments und der hochrangigen Expertengruppe der Kommission für KI, die einen Regulierungsrahmen gefordert hatten, der sich an schnellen technologischen Wandel anpassen kann. Der ursprüngliche Text zielte darauf ab, nationale Vorschriften zu harmonisieren, Marktfragmentierung zu verhindern und sicherzustellen, dass KI-Systeme, die auf dem EU-Markt platziert werden, sicher sind und bestehende Gesetze einhalten.
Hintergrund und Gesetzgebungsgeschichte
Die Europäische Kommission entwickelte seit 2018 KI-Politik, als sie einen koordinierten Plan zu KI mit den Mitgliedstaaten veröffentlichte. Im Februar 2020 veröffentlichte die Kommission ein Weißbuch zur KI, das politische Optionen skizzierte und eine öffentliche Konsultation startete. Das Feedback, kombiniert mit Folgenabschätzungen, floss in den Verordnungsentwurf ein, der am 21. April 2021 von Binnenmarktkommissar Thierry Breton und Vizepräsidentin Margrethe Vestager vorgelegt wurde.
Der Vorschlag war Teil eines breiteren Digitalpakets, das auch das Gesetz über digitale Dienste und das Gesetz über digitale Märkte umfasste. Im Gegensatz zu diesen Verordnungen, die sich auf Online-Plattformen konzentrierten, zielte das KI-Gesetz auf die Technologie selbst ab und verwendete ein Produktsicherheitsmodell, das ähnlich wie bestehende EU-Gesetze zu Maschinen, Spielzeug und Medizinprodukten war. Dieser Ansatz wies KI-Anbietern (Entwicklern) und Betreibern (Nutzern) Pflichten zu, basierend auf dem Risikoniveau, das ihre Systeme darstellten.
Der Gesetzgebungsprozess dauerte über drei Jahre. Das Europäische Parlament und der Rat der EU verhandelten Änderungen, wobei als Reaktion auf die schnelle Verbreitung generativer KI-Tools bedeutende Änderungen vorgenommen wurden. Der endgültige Text wurde vom Parlament am 13. März 2024 verabschiedet und vom Rat am 21. Mai 2024 genehmigt, trat am 1. August 2024 in Kraft. Der Vorschlag von 2021 bleibt jedoch historisch bedeutsam als Grundlage für diese Verhandlungen.
Risikobasierte Klassifizierung
Der Kern des Vorschlags war eine vierteilige Risikopyramide, die im endgültigen Gesetz weitgehend beibehalten wurde. Die Kategorien sollten den potenziellen Schaden widerspiegeln, den ein KI-System für Gesundheit, Sicherheit oder Grundrechte verursachen könnte.
Inakzeptables Risiko
Anwendungen, die ein inakzeptables Risiko darstellen, sollten vollständig verboten werden. Dies umfasste KI-Systeme, die menschliches Verhalten manipulieren, um den freien Willen zu umgehen, solche, die Schwachstellen bestimmter Gruppen (wie Kinder oder Menschen mit Behinderungen) ausnutzen, sowie Social-Scoring-Systeme, die Personen anhand persönlicher Merkmale oder Verhaltensweisen einstufen. Der Vorschlag verbot auch die Echtzeit-Fernidentifizierung biometrischer Daten in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, mit engen Ausnahmen für bestimmte Straftaten und mit gerichtlicher Genehmigung.
Hohes Risiko
KI-Systeme mit hohem Risiko unterlagen den umfangreichsten Pflichten. Der Vorschlag listete acht spezifische Bereiche auf: biometrische Identifizierung und Kategorisierung natürlicher Personen; Verwaltung und Betrieb kritischer Infrastruktur; Bildung und Berufsbildung; Beschäftigung und Arbeitnehmermanagement; Zugang zu wesentlichen privaten und öffentlichen Diensten; Strafverfolgung; Migration, Asyl und Grenzkontrolle; sowie Justizverwaltung und demokratische Prozesse. Anbieter von Hochrisikosystemen mussten Risikomanagementsysteme implementieren, qualitativ hochwertige Trainingsdaten verwenden, technische Dokumentation führen, automatische Protokollierung ermöglichen, Transparenz gewährleisten und menschliche Aufsicht bereitstellen. Sie mussten auch Konformitätsbewertungen vor der Marktplatzierung und während des gesamten Lebenszyklus des Systems durchführen.
Begrenztes Risiko
KI-Systeme mit begrenztem Risiko, wie Chatbots und Deepfake-Generatoren, unterlagen Transparenzpflichten. Nutzer mussten informiert werden, wenn sie mit einem KI-System interagierten, und von KI erzeugte oder manipulierte Inhalte mussten als solche gekennzeichnet werden. Dies sollte es Einzelpersonen ermöglichen, informierte Entscheidungen zu treffen und Täuschung zu verhindern.
Minimales Risiko
Die Mehrheit der KI-Anwendungen, einschließlich Videospielen und Spam-Filtern, wurde als minimales Risiko betrachtet und nicht reguliert. Der Vorschlag förderte freiwillige Verhaltenskodizes für diese Systeme, auferlegte jedoch keine verbindlichen Anforderungen. Den Mitgliedstaaten wurde auch untersagt, zusätzliche nationale Regeln für Systeme mit minimalem Risiko hinzuzufügen, um einen Binnenmarkt für KI zu gewährleisten.
Allgemeine KI und generative Modelle
Der ursprüngliche Vorschlag von 2021 befasste sich nicht explizit mit allgemeiner KI (GPAI), die eine breite Palette von Aufgaben über verschiedene Domänen hinweg ausführen kann. Diese Lücke wurde mit dem explosionsartigen Wachstum generativer KI-Modelle wie ChatGPT und anderen Basismodellen Ende 2022 und 2023 deutlich. Der Entwurf wurde überarbeitet, um eine eigene Kategorie für GPAI mit abgestuften Pflichten aufzunehmen.
Im überarbeiteten Rahmen mussten alle GPAI-Modelle technische Dokumentation bereitstellen, Zusammenfassungen der Trainingsdaten veröffentlichen und Urheberrechtsgesetze einhalten. Open-Source-Modelle, bei denen Gewichte und Design öffentlich gemacht wurden, hatten reduzierte Anforderungen, wie nur die Veröffentlichung einer Zusammenfassung der Trainingsdaten und einer Urheberrechtspolitik. Closed-Source-Modelle mussten umfassendere Transparenzpflichten erfüllen. Hochwirkungsvolle Modelle, die mehr als 10^25 Gleitkommaoperationen zum Training erforderten, wurden als systemische Risiken eingestuft und mussten zusätzliche Bewertungen, adversariale Tests und Cybersicherheitsmaßnahmen durchlaufen.
Diese Überarbeitung war eine direkte Reaktion auf die Herausforderungen durch maschinelles Lernen-Systeme, die für zahlreiche Anwendungen feinabgestimmt werden konnten, was eine Klassifizierung unter den ursprünglichen Risikokategorien erschwerte. Der Ansatz zielte darauf ab, Innovation mit Aufsicht in Einklang zu bringen, insbesondere für die leistungsstärksten Modelle, die von Unternehmen wie Google DeepMind und Anthropic entwickelt wurden.
Durchsetzung und Governance
Der Vorschlag etablierte eine Governance-Struktur, um eine konsistente Anwendung in der gesamten EU sicherzustellen. Er schuf ein Europäisches Gremium für künstliche Intelligenz, bestehend aus Vertretern der Mitgliedstaaten und der Kommission, um Zusammenarbeit zu erleichtern und Leitlinien bereitzustellen. Nationale Aufsichtsbehörden waren für die Durchsetzung der Verordnung in ihren Gebieten verantwortlich, mit der Befugnis, Marktüberwachung durchzuführen und Sanktionen zu verhängen.
Sanktionen bei Nichteinhaltung wurden auf bis zu 6 % des weltweiten Jahresumsatzes eines Unternehmens für Verstöße gegen verbotene Praktiken, 4 % für andere Verstöße und 2 % für die Bereitstellung falscher Informationen festgesetzt. Diese Geldbußen waren vergleichbar mit denen unter der Datenschutz-Grundverordnung, was das Engagement der EU für eine robuste Durchsetzung widerspiegelt.
Der Vorschlag enthielt auch Bestimmungen zur extraterritorialen Anwendung, was bedeutet, dass Anbieter von außerhalb der EU der Verordnung unterliegen würden, wenn sie KI-Systeme Nutzern innerhalb der EU anbieten. Dies spiegelte den Ansatz der DSGVO wider und zielte darauf ab, gleiche Wettbewerbsbedingungen für globale KI-Entwickler zu schaffen.
Ausnahmen und Anwendungsbereich
Bestimmte KI-Systeme waren vom Anwendungsbereich des Vorschlags ausgeschlossen. Dazu gehörten Systeme, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie solche, die ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden. Die Verordnung galt auch nicht für KI, die für persönliche, nicht-professionelle Aktivitäten verwendet wird. Diese Ausnahmen sollten die Souveränität der Mitgliedstaaten in Sicherheitsfragen respektieren und Innovationen in Forschungsumgebungen nicht behindern.
Der Vorschlag befreite jedoch keine KI-Systeme, die in der Strafverfolgung oder Migrationskontrolle verwendet werden, obwohl dies oft staatliche Funktionen sind. Stattdessen unterwarf er sie der Hochrisikokategorie, mit zusätzlichen Schutzmaßnahmen wie menschlicher Aufsicht und Folgenabschätzungen für Grundrechte.
Auswirkungen und Vermächtnis
Der Vorschlag von 2021 war ein Meilenstein in der KI-Regulierung, da er der erste umfassende Rechtsrahmen für KI war, der von einer großen Rechtsordnung vorgeschlagen wurde. Er beeinflusste nachfolgende Regulierungsbemühungen weltweit, einschließlich der KI-Konvention des Europarats und verschiedener nationaler Initiativen. Der risikobasierte Ansatz wurde breit diskutiert, wobei einige Wissenschaftler seine Flexibilität lobten und andere potenzielle Lücken oder Überregulierung kritisierten.
Während des Gesetzgebungsprozesses wurde der Vorschlag geändert, um Bedenken von Industrie und Zivilgesellschaft zu adressieren. Zum Beispiel wurde die Liste der Hochrisikoanwendungen verfeinert und die Definition von KI an die der OECD angeglichen. Das endgültige Gesetz, das 2024 verabschiedet wurde, behielt die Kernstruktur des Vorschlags von 2021 bei, fügte jedoch die GPAI-Kategorie hinzu und passte bestimmte Schwellenwerte an.
Der Vorschlag löste auch akademische und politische Diskussionen über die Natur der KI-Regulierung aus. Einige argumentierten, dass das Produktsicherheitsmodell für KI geeignet sei, während andere einen stärker menschenrechtszentrierten Ansatz forderten. Die Aufnahme von Folgenabschätzungen für Grundrechte wurde als fortschrittlicher Schritt angesehen, der auf früheren Arbeiten zu algorithmischen Folgenabschätzungen aufbaut.
Ab 2025 werden die Bestimmungen des KI-Gesetzes schrittweise eingeführt, wobei die ersten Fristen für verbotene Praktiken und GPAI-Pflichten bereits in Kraft sind. Der Vorschlag von 2021 bleibt ein zentraler Referenzpunkt für das Verständnis der Entwicklung der KI-Governance in der EU und weltweit.