Die nationalen Behörden der EU-Mitgliedstaaten für das KI-Gesetz sind die von jedem Mitgliedstaat der Europäischen Union benannten nationalen Aufsichtsstellen, die für die Durchsetzung des Gesetzes über künstliche Intelligenz (KI-Gesetz) zuständig sind, einer Verordnung, die am 1. August 2024 in Kraft trat. Diese Behörden sind für die Überwachung der Einhaltung der risikobasierten Anforderungen des Gesetzes, die Durchführung von Untersuchungen und die Verhängung von Sanktionen bei Verstößen in ihren jeweiligen Zuständigkeitsbereichen verantwortlich. Die Verordnung schafft einen Rahmen, in dem jeder Mitgliedstaat mindestens eine nationale zuständige Behörde benennen muss, die in der Regel eine Marktüberwachungsbehörde und eine notifizierende Behörde umfasst, um KI-Systeme zu überwachen, die in diesem Staat auf den Markt gebracht oder verwendet werden.
Das KI-Gesetz, das von der Europäischen Kommission am 21. April 2021 vorgeschlagen wurde, passierte das Europäische Parlament am 13. März 2024 und wurde am 21. Mai 2024 vom EU-Rat einstimmig gebilligt. Es deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, die nationale Sicherheit, Forschungszwecke oder für nichtberufliche Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte; stattdessen auferlegt es Pflichten für KI-Anbieter und für Organisationen, die KI in einem beruflichen Kontext nutzen. Das Gesetz kann extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben, ähnlich wie bei der Datenschutz-Grundverordnung der EU.
Benennung und Struktur
Jeder Mitgliedstaat ist verpflichtet, nationale zuständige Behörden zu benennen, um das KI-Gesetz umzusetzen und durchzusetzen. Der Benennungsprozess umfasst die Einrichtung einer Marktüberwachungsbehörde, die für Konformitätsprüfungen und Durchsetzungsmaßnahmen zuständig ist, sowie einer notifizierenden Behörde, die die Bewertung und Notifizierung von Konformitätsbewertungsstellen verwaltet. In vielen Mitgliedstaaten werden diese Funktionen bestehenden Regulierungsbehörden zugewiesen, wie etwa Datenschutzbehörden oder Verbraucherschutzorganisationen, während andere spezielle KI-Aufsichtsämter geschaffen haben. Die Behörden arbeiten in ihren Durchsetzungsaufgaben unabhängig, koordinieren sich jedoch über den Europäischen Ausschuss für künstliche Intelligenz, der die Zusammenarbeit der Mitgliedstaaten fördert und eine einheitliche Anwendung der Verordnung in der gesamten EU gewährleistet.
Die nationalen Behörden haben die Befugnis, Dokumentationen und Informationen von KI-Anbietern und -Bereitstellern anzufordern, unangekündigte Inspektionen durchzuführen und auf Datensätze zuzugreifen, die für das Training und Testen von KI-Systemen verwendet werden. Sie können auch Warnungen aussprechen, Korrekturmaßnahmen verhängen und den Rückruf oder die Rücknahme nicht konformer KI-Produkte vom Markt anordnen. Das Gesetz verlangt, dass diese Behörden über ausreichende Ressourcen und Fachkenntnisse verfügen, um ihre Aufgaben zu erfüllen, einschließlich technischem Wissen über Systeme der künstlichen Intelligenz und deren damit verbundene Risiken.
Durchsetzungsbefugnisse
Die Durchsetzungsbefugnisse der Behörden der Mitgliedstaaten variieren je nach Risikokategorie des KI-Systems. Bei Hochrisikoanwendungen können die Behörden Konformitätsbewertungen verlangen, Korrekturmaßnahmen anordnen und die Verwendung von Systemen aussetzen oder verbieten, die erhebliche Gefahren für Gesundheit, Sicherheit oder Grundrechte darstellen. Bei Anwendungen mit inakzeptablem Risiko, die nach dem Gesetz verboten sind, haben die Behörden die Befugnis, die sofortige Entfernung anzuordnen und erhebliche Geldbußen zu verhängen. Das Gesetz legt Sanktionsrahmen fest, die die Mitgliedstaaten umsetzen müssen, wobei Geldbußen bei Nichteinhaltung bis zu einem Prozentsatz des weltweiten Jahresumsatzes des betroffenen Unternehmens oder einem festen Betrag, je nachdem, welcher höher ist, erreichen können.
Die Behörden bearbeiten auch Bürgerbeschwerden über KI-Systeme und müssen Erläuterungen zu Entscheidungen von Hochrisiko-KI bereitstellen, die die Rechte von Einzelpersonen betreffen. Sie sind verpflichtet, zugängliche Verfahren für die Meldung von Verstößen einzurichten und Hinweisgeber zu schützen, die Nichteinhaltung melden. Der Durchsetzungsansatz folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten den Anbietern und Bereitstellern zugewiesen werden und diese Pflichten umso anspruchsvoller werden, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind.
Koordinierung mit dem Europäischen Ausschuss für künstliche Intelligenz
Der Europäische Ausschuss für künstliche Intelligenz dient als zentraler Koordinierungsmechanismus für die Behörden der Mitgliedstaaten. Er erleichtert den Informationsaustausch, entwickelt Leitlinien für eine einheitliche Auslegung des Gesetzes und hilft bei der Beilegung von Streitigkeiten zwischen nationalen Behörden. Der Ausschuss berät die Europäische Kommission auch zu technischen Normen und Umsetzungsfragen. Die Behörden der Mitgliedstaaten sind verpflichtet, sich aktiv an den Aktivitäten des Ausschusses zu beteiligen und Informationen über Durchsetzungsmaßnahmen, Marktüberwachungsergebnisse und neu auftretende Risiken im Zusammenhang mit KI-Systemen auszutauschen.
Der Ausschuss spielt eine besonders wichtige Rolle bei Fällen, die allgemeine KI-Modelle betreffen, wie etwa Systeme mit großen Sprachmodellen, die in mehreren Mitgliedstaaten eingesetzt werden können. Wenn ein systemisches Risiko festgestellt wird, koordiniert der Ausschuss gemeinsame Untersuchungen und stellt sicher, dass Durchsetzungsmaßnahmen über Gerichtsbarkeiten hinweg konsistent sind. Diese Koordinierung ist unerlässlich, da die extraterritoriale Anwendung des Gesetzes bedeutet, dass Anbieter von außerhalb der EU, einschließlich Unternehmen wie OpenAI und Google DeepMind, gleichzeitig der Aufsicht mehrerer nationaler Behörden unterliegen können.
Risikobasierte Aufsichtsaufgaben
Die Aufsichtsaufgaben der Behörden der Mitgliedstaaten sind gemäß den vier Risikostufen des Gesetzes plus der Kategorie der allgemeinen KI strukturiert. Bei Anwendungen mit inakzeptablem Risiko, die außer für bestimmte Ausnahmen verboten sind, müssen die Behörden Verbote von KI-Systemen aktiv überwachen und durchsetzen, die menschliches Verhalten manipulieren, Echtzeit-Fernidentifizierung biometrischer Daten im öffentlichen Raum verwenden oder Social Scoring betreiben. Bei Hochrisikoanwendungen in Bereichen wie Gesundheit, Bildung, Personalbeschaffung, kritischer Infrastrukturverwaltung, Strafverfolgung oder Justiz überprüfen die Behörden die Einhaltung von Qualitäts-, Transparenz-, Humanaufsichts- und Sicherheitspflichten und können vor dem Einsatz Bewertungen der Auswirkungen auf die Grundrechte verlangen.
Systeme mit begrenztem Risiko, einschließlich solcher, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie etwa Deepfakes, unterliegen Transparenzpflichten, und die Behörden stellen sicher, dass Nutzer informiert werden, wenn sie mit KI-Systemen interagieren. Anwendungen mit minimalem Risiko, wie KI, die in Videospielen oder Spam-Filtern verwendet wird, sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Vorschriften zur maximalen Harmonisierung keine zusätzlichen Regulierungen auferlegen. Für allgemeine KI überwachen die Behörden Transparenzanforderungen, einschließlich Zusammenfassungen von Trainingsdaten und Urheberrechtsrichtlinien, wobei zusätzliche Bewertungen für Hochleistungsmodelle erforderlich sind, die systemische Risiken darstellen.
Sanktionen und Korrekturmaßnahmen
Das Gesetz verlangt von den Mitgliedstaaten, wirksame, verhältnismäßige und abschreckende Sanktionen für Verstöße festzulegen. Die spezifischen Sanktionsbeträge werden durch nationales Recht bestimmt, aber das Gesetz legt Höchstgrenzen fest, die die Mitgliedstaaten umsetzen müssen. Bei Verstößen gegen Anwendungen mit inakzeptablem Risiko können Geldbußen bis zu 7 % des weltweiten Jahresumsatzes des betroffenen Unternehmens oder 35 Millionen Euro erreichen, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen andere Pflichten, wie etwa solche im Zusammenhang mit Hochrisikosystemen oder allgemeiner KI, können Geldbußen bis zu 3 % des weltweiten Jahresumsatzes oder 15 Millionen Euro erreichen. Die Übermittlung falscher oder irreführender Informationen an Behörden kann zu Geldbußen bis zu 1 % des weltweiten Jahresumsatzes oder 7,5 Millionen Euro führen.
Die Behörden haben auch die Befugnis, über finanzielle Sanktionen hinausgehende Korrekturmaßnahmen zu verhängen, einschließlich der Anforderung an Anbieter, KI-Systeme in Konformität zu bringen, der Einschränkung oder des Verbots des Inverkehrbringens nicht konformer Systeme und der Anordnung von Rückrufen bereits verwendeter Produkte. In dringenden Fällen, in denen ein KI-System ein ernstes Risiko darstellt, können die Behörden sofortige Maßnahmen ergreifen, bevor sie eine vollständige Bewertung abschließen, vorbehaltlich einer anschließenden Überprüfung.
Umsetzungszeitplan und Übergang
Die Bestimmungen des KI-Gesetzes werden schrittweise über 6 bis 36 Monate ab dem Inkrafttreten am 1. August 2024 umgesetzt. Die Behörden der Mitgliedstaaten mussten innerhalb der ersten Monate der Umsetzung benannt und einsatzbereit sein. Die Verbote für Anwendungen mit inakzeptablem Risiko wurden nach sechs Monaten anwendbar, während die Pflichten für allgemeine KI und Hochrisikosysteme über längere Zeiträume schrittweise eingeführt werden. Der Gesetzesentwurf wurde überarbeitet, um dem Anstieg der Beliebtheit generativer KI-Systeme wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten, und diese Überarbeitung fügte 2023 die Kategorie der allgemeinen KI hinzu.
Während der Übergangsphase entwickeln die Behörden der Mitgliedstaaten ihre operativen Verfahren, stellen technisches Personal ein und etablieren Kooperationsprotokolle mit anderen Regulierungsbehörden. Sie bereiten auch Leitfäden für Unternehmen vor, die in ihren Zuständigkeitsbereichen tätig sind, und beteiligen sich an der Entwicklung harmonisierter Normen, die Konformitätsbewertungen unterstützen sollen. Die schrittweise Umsetzung soll sowohl den Behörden als auch den regulierten Einrichtungen Zeit geben, sich an die neuen Anforderungen anzupassen, während gleichzeitig sichergestellt wird, dass die schwerwiegendsten Risiken zeitnah angegangen werden.
Beziehung zu anderen Regulierungsbehörden
Die Behörden der Mitgliedstaaten nach dem KI-Gesetz arbeiten neben anderen Regulierungsbehörden mit verwandten Zuständigkeiten. Sie koordinieren sich mit Datenschutzbehörden, insbesondere bei KI-Systemen, die personenbezogene Daten verarbeiten, und mit sektorspezifischen Regulierungsbehörden in Bereichen wie Gesundheitswesen, Finanzdienstleistungen und Verkehr. Das Gesetz interagiert auch mit bestehender Produktsicherheitsgesetzgebung, und die Behörden müssen sicherstellen, dass ihre Durchsetzungsmaßnahmen mit anderen EU-Verordnungen konsistent sind. In Fällen, in denen KI-Systeme in Verbindung mit anderen Technologien verwendet werden, wie etwa Modelle des maschinellen Lernens, die über Cloud-Dienste von Anbietern wie Amazon Web Services oder Azure bereitgestellt werden, müssen die Behörden möglicherweise über mehrere Regulierungsrahmen hinweg koordinieren.
Die extraterritoriale Anwendung des Gesetzes bedeutet, dass die Behörden auch mit Regulierungsbehörden in Nicht-EU-Ländern zusammenarbeiten können, insbesondere für KI-Anbieter mit Sitz in den Vereinigten Staaten, China oder anderen großen KI-Entwicklungszentren. Diese internationale Dimension erhöht die Komplexität der Durchsetzung, da die Behörden die Anforderungen des Gesetzes mit den rechtlichen Rahmenbedingungen anderer Gerichtsbarkeiten in Einklang bringen müssen, während gleichzeitig sichergestellt wird, dass EU-Bürger vor schädlichen KI-Anwendungen geschützt sind.