Future of Life Institute | Available online: artificialintelligenceact.eu/high-level-summary \# Inhaltsverzeichnis \# Kapitel I: Allgemeine Bestimmungen Artikel 1: Gegenstand Artikel 2: Anwendungsbereich Artikel 3: Begriffsbestimmungen Artikel 4: KI-Kompetenz \# Kapitel II: Verbotene AI-Praktiken Artikel 5: Verbotene AI-Praktiken \# Kapitel III: Hochriskantes KI-System Abschnitt 1: Einstufung von KI-Systemen als hochriskant Artikel 6: Klassifizierungsregeln für KI-Systeme mit hohem Risiko Artikel 7: Änderungen des Anhangs III Abschnitt 2: Anforderungen an hochriskante KI-Systeme Artikel 8: Erfüllung der Anforderungen Artikel 9: Risikomanagementsystem Artikel 10: Daten und Datenverwaltung Artikel 11: Technische Dokumentation Artikel 12: Aufbewahrung der Aufzeichnungen Artikel 13: Transparenz und Bereitstellung von Informationen für Einsatzkräfte Artikel 14: Menschliche Aufsichtsbehörden Artikel 15: Genauigkeit, Robustheit und Cybersicherheit Abschnitt 3: Verpflichtungen von Anbietern und Betreibern von KI-Systemen mit hohem Risiko und anderen Parteien Artikel 16: Pflichten der Anbieter von KI-Systemen mit hohem Risiko Artikel 17: Qualitätsmanagementsystem Artikel 18: Führung der Dokumentation Artikel 19: Automatisch erzeugte Protokolle Artikel 20: Abhilfemaßnahmen und Informationspflicht Artikel 21: Zusammenarbeit mit den zuständigen Behörden Artikel 22: Bevollmächtigte Vertreter von Anbietern von KI-Systemen mit hohem Risikopotenzial Artikel 23: Pflichten der Importeure Artikel 24: Pflichten des Händlers Artikel 25: Verantwortlichkeiten entlang der KI-Wertschöpfungskette Artikel 26: Pflichten der Betreiber von KI-Systemen mit hohem Risiko Artikel 27: Grundrechtliche Folgenabschätzung für hochriskante KI-Systeme Abschnitt 4: Notifizierende Behörden und benannte Stellen Artikel 28: Notifizierende Behörden Artikel 29: Antrag einer Konformitätsbewertungsstelle auf Notifizierung Artikel 30: Notifizierungsverfahren Artikel 31: Anforderungen an die benannten Stellen Artikel 32: Vermutung der Konformität mit den Anforderungen in Bezug auf benannte Stellen Artikel 33: Zweigstellen der benannten Stellen und Vergabe von Unteraufträgen Artikel 34: Operative Verpflichtungen der benannten Stellen Artikel 35: Kennnummern und Verzeichnisse der benannten Stellen Artikel 36: Änderungen der Notifizierungen Artikel 37: Anfechtung der Zuständigkeit der benannten Stellen Artikel 38: Koordinierung der benannten Stellen Artikel 39: Konformitätsbewertungsstellen von Drittländern Abschnitt 5: Normen, Konformitätsbewertung, Bescheinigungen, Registrierung Artikel 40: Harmonisierte Normen und Normungsdokumente Artikel 41: Gemeinsame Spezifikationen Artikel 42: Vermutung der Konformität mit bestimmten Anforderungen Artikel 43: Konformitätsbewertung Artikel 44: Bescheinigungen Artikel 45: Informationsverpflichtungen der benannten Stellen Artikel 46: Ausnahmen vom Konformitätsbewertungsverfahren Artikel 47: EU-Konformitätserklärung Artikel 48: CE-Kennzeichnung Artikel 49: Registrierung \# Kapitel IV: Transparenzverpflichtungen für Anbieter und Betreiber von bestimmten KI-Systemen Artikel 50: Transparenzverpflichtungen für Anbieter und Betreiber von bestimmten KI-Systemen \# Kapitel V: KI-Modelle für allgemeine Zwecke Abschnitt 1: Einstufungsregeln Artikel 51: Einstufung von KI-Modellen für allgemeine Zwecke als KI-Modelle für allgemeine Zwecke mit systemischem Risiko Artikel 52: Verfahren Abschnitt 2: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke Artikel 53: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke Artikel 54: Bevollmächtigte Vertreter von Anbietern von KI-Modellen für allgemeine Zwecke Abschnitt 3: Pflichten der Anbieter von KI-Modellen für allgemeine Zwecke mit systemischem Risiko Artikel 55: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke mit systemischem Risiko Abschnitt 4: Verhaltenskodizes Artikel 56: Verhaltenskodizes \# Kapitel VI: Maßnahmen zur Unterstützung der Innovation Artikel 57: Regulierungssandkästen für KI Artikel 58: Detaillierte Vorkehrungen für KI-Regulierungssandkästen und deren Funktionsweise Artikel 59: Weiterverarbeitung personenbezogener Daten für die Entwicklung bestimmter KI-Systeme im öffentlichen Interesse in der KI-Regulierungssandbox Artikel 60: Erprobung von KI-Systemen mit hohem Risiko unter realen Bedingungen außerhalb der Sandkästen der KI-Regulierungsbehörden Artikel 61: Einwilligung nach Inkenntnissetzung in die Teilnahme an Tests unter realen Bedingungen außerhalb von Sandkästen der KI-Regulierung Artikel 62: Maßnahmen für Anbieter und Verleiher, insbesondere für KMU, einschließlich Start-Ups Artikel 63: Ausnahmeregelungen für bestimmte Marktteilnehmer \# Kapitel VII: Governance Abschnitt 1: Governance auf Unionsebene Artikel 64: AI-Büro Artikel 65: Einrichtung und Struktur des Europäischen Rats für künstliche Intelligenz Artikel 66: Aufgaben des Verwaltungsrats Artikel 67: Beratungsgremium Artikel 68: Wissenschaftliches Gremium aus unabhängigen Sachverständigen Artikel 69: Zugang der Mitgliedstaaten zum Sachverständigenpool Abschnitt 2: Zuständige nationale Behörden Artikel 70: Benennung der zuständigen nationalen Behörden und des einheitlichen Ansprechpartners \# Kapitel VIII: EU-Datenbank für hochriskante KI-Systeme Artikel 71: EU-Datenbank für in Anhang III aufgeführte Hochrisiko-KI-Systeme \# Kapitel IX: Überwachung nach dem Inverkehrbringen, Informationsaustausch und Marktaufsicht Abschnitt 1: Überwachung nach dem Inverkehrbringen Artikel 72: Überwachung nach dem Inverkehrbringen durch die Anbieter und Plan zur Überwachung nach dem Inverkehrbringen für KI-Systeme mit hohem Risiko Abschnitt 2: Weitergabe von Informationen über schwerwiegende Zwischenfälle Artikel 73: Meldung schwerwiegender Vorkommnisse Abschnitt 3: Durchsetzung Artikel 74: Marktüberwachung und Kontrolle von KI-Systemen auf dem Unionsmarkt Artikel 75: Gegenseitige Unterstützung, Marktüberwachung und Kontrolle von KI-Systemen für allgemeine Zwecke Artikel 76: Überwachung von Tests unter realen Bedingungen durch die Marktüberwachungsbehörden Artikel 77: Befugnisse der Behörden zum Schutz der Grundrechte Artikel 78: Vertraulichkeit Artikel 79: Verfahren auf nationaler Ebene für den Umgang mit KI-Systemen, die ein Risiko darstellen Artikel 80: Verfahren für den Umgang mit KI-Systemen, die vom Anbieter in Anwendung von Anhang III als nicht hochriskant eingestuft werden Artikel 81: Schutzklauselverfahren der Union Artikel 82: Konforme KI-Systeme, die ein Risiko darstellen Artikel 83: Formale Nichteinhaltung Artikel 84: Union AI Testing Support Structures Abschnitt 4: Rechtsbehelfe Artikel 85: Recht auf Einreichung einer Beschwerde bei einer Marktaufsichtsbehörde Artikel 86: Recht auf Erläuterung der individuellen Entscheidungsfindung Artikel 87: Meldung von Verstößen und Schutz von Personen, die Verstöße melden Abschnitt 5: Beaufsichtigung, Untersuchung, Durchsetzung und Überwachung in Bezug auf Anbieter von KI-Modellen für allgemeine Zwecke Artikel 88: Durchsetzung der Verpflichtungen von Anbietern von KI-Modellen für allgemeine Zwecke Artikel 89 : Überwachungsmaßnahmen Artikel 90: Warnungen vor systemischen Risiken durch das Wissenschaftliche Gremium Artikel 91: Befugnis zur Anforderung von Unterlagen und Informationen Artikel 92: Befugnis zur Durchführung von Evaluierungen Artikel 93: Befugnis, Maßnahmen zu beantragen Artikel 94: Verfahrensrechte der Wirtschaftsbeteiligten des AI-Modells für allgemeine Zwecke \# Kapitel X: Verhaltenskodizes und Leitlinien Artikel 95: Verhaltenskodizes für die freiwillige Anwendung von spezifischen Anforderungen Artikel 96: Leitlinien der Kommission für die Durchführung dieser Verordnung \# Kapitel XI: Befugnisübertragungen und Ausschussverfahren Artikel 97: Ausübung der Befugnisse der Delegation Artikel 98: Ausschussverfahren \# Kapitel XII: Sanktionen Artikel 99: Sanktionen Artikel 100: Geldbußen gegen Organe, Einrichtungen, Ämter und Agenturen der Union Artikel 101: Geldbußen für Anbieter von KI-Modellen für allgemeine Zwecke \# Kapitel XIII: Schlussbestimmungen Artikel 102: Änderung der Verordnung (EG) Nr. 300/2008 Artikel 103: Änderung der Verordnung (EU) Nr. 167/2013 Artikel 104: Änderung der Verordnung (EU) Nr. 168/2013 Artikel 105: Änderung der Richtlinie 2014/90/EU Artikel 106: Änderung der Richtlinie (EU) 2016/797 Artikel 107: Änderung der Verordnung (EU) 2018/858 Artikel 108: Änderungen der Verordnung (EU) 2018/1139 Artikel 109: Änderung der Verordnung (EU) 2019/2144 Artikel 110: Änderung der Richtlinie (EU) 2020/1828 Artikel 111: Bereits in Verkehr gebrachte oder in Betrieb genommene KI-Systeme und bereits in Verkehr gebrachte KI-Modelle für allgemeine Zwecke \[sic] Artikel 112: Bewertung und Überprüfung Artikel 113: Inkrafttreten und Anwendung \# Erwägungsgründe 1 bis 180 \# Anhänge Anhang I: Liste der Harmonisierungsrechtsvorschriften der Union Anhang II: Liste der in Artikel 5 Absatz 1 Unterabsatz 1 Buchstabe h Ziffer iii genannten Straftaten Anhang III: In Artikel 6 Absatz 2 genannte AI-Systeme mit hohem Risiko Anhang IV: Technische Unterlagen gemäß Artikel 11 Absatz 1 Anhang V: EU-Konformitätserklärung Anhang VI: Konformitätsbewertungsverfahren auf der Grundlage der internen Kontrolle Anhang VII: Konformität auf der Grundlage einer Bewertung des Qualitätsmanagementsystems und einer Bewertung der technischen Dokumentation Anhang VIII: Informationen, die bei der Registrierung von AI-Systemen mit hohem Risiko gemäß Artikel 49 vorzulegen sind Anhang IX: Informationen, die bei der Registrierung von in Anhang III aufgeführten Hochrisiko-KI-Systemen in Bezug auf die Prüfung unter realen Bedingungen gemäß Artikel 60 vorzulegen sind Anhang X: Gesetzgebungsakte der Union über IT-Großsysteme im Bereich Freiheit, Sicherheit und Recht Anhang XI: Technische Dokumentation gemäß Artikel 53 Absatz 1 Buchstabe a) - Technische Dokumentation für Anbieter von KI-Modellen für allgemeine Zwecke Anhang XII: Transparenzinformationen gemäß Artikel 53 Absatz 1 Buchstabe b - Technische Dokumentation für Anbieter von AI-Modellen für allgemeine Zwecke an nachgeschaltete Anbieter, die das Modell in ihr AI-System integrieren Anhang XIII: Kriterien für die Benennung von KI-Modellen für allgemeine Zwecke mit systemischem Risiko gemäß Artikel 51 \# Hochgradige Zusammenfassung des KI-Gesetzes \## In diesem Artikel bieten wir Ihnen eine allgemeine Zusammenfassung des KI-Gesetzes, \## bei der wir die Teile ausgewählt haben, die unabhängig davon, wer Sie sind, am \## ehesten für Sie relevant sind. Wir stellen Links zum Originaldokument bereit, wo \## dies sinnvoll ist, damit Sie immer auf den Text des Gesetzes verweisen können. \## Vier-Punkte-Zusammenfassung \## Das KI-Gesetz klassifiziert KI nach ihrem Risiko: \- Unannehmbares Risiko ist verboten (z. B. Social-Scoring-Systeme und manipulative KI). \- Der Großteil des Textes befasst sich mit hochriskanten KI-Systemen, die reguliert werden. \- Ein kleinerer Abschnitt behandelt KI-Systeme mit begrenztem Risiko, die leichteren Transparenzverpflichtungen unterliegen: Entwickler und Betreiber müssen sicherstellen, dass Endnutzer sich darüber im Klaren sind, dass sie mit KI interagieren (Chatbots und Deepfakes). \- Minimales Risiko ist unreguliert (einschließlich der Mehrheit der KI-Anwendungen, die derzeit auf dem EU- Binnenmarkt verfügbar sind, wie KI-gestützte Videospiele und Spam-Filter – zumindest im Jahr 2021; dies ändert sich mit generativer KI). \## Die Mehrheit der Verpflichtungen fällt auf Anbieter (Entwickler) von hochriskanten KI- \## Systemen. \- Diejenigen, die beabsichtigen, hochriskante KI-Systeme in der EU auf den Markt zu bringen oder in Betrieb zu nehmen, unabhängig davon, ob sie in der EU oder einem Drittland ansässig sind. \- Und auch Anbieter aus Drittländern, wenn die Ergebnisse des hochriskanten KI-Systems in der EU verwendet werden. \## Betreiber (Deployer) sind natürliche oder juristische Personen, die ein KI-System in \## beruflicher Funktion einsetzen, nicht die betroffenen Endnutzer. \- Betreiber von hochriskanten KI-Systemen haben einige Verpflichtungen, wenn auch weniger als Anbieter (Entwickler). \- Dies gilt für Betreiber mit Sitz in der EU und Nutzer in Drittländern, wenn die Ergebnisse des KI-Systems in der EU verwendet werden. \## Allgemein verwendbare KI (General Purpose AI – GPAI): \- Alle Anbieter von GPAI-Modellen müssen eine technische Dokumentation und eine Gebrauchsanweisung bereitstellen, die Urheberrechtsrichtlinie einhalten und eine Zusammenfassung über die für das Training verwendeten Inhalte veröffentlichen. \- Anbieter von GPAI-Modellen mit freier und offener Lizenz müssen nur das Urheberrecht einhalten und die Zusammenfassung der Trainingsdaten veröffentlichen, es sei denn, sie stellen ein systemisches Risiko dar. \- Alle Anbieter von GPAI-Modellen, die ein systemisches Risiko darstellen – ob offen oder geschlossen –, müssen zudem Modellevaluierungen und Adversarial Testing (gegnerische Tests) durchführen, schwerwiegende Vorfälle nachverfolgen und melden sowie Cybersicherheitsmaßnahmen gewährleisten. \## Verbotene KI-Systeme (Kapitel II, Art. 5) KI-Systeme, die: \- \*\*subliminale (unterschwellige), manipulative oder täuschende Techniken\*\* einsetzen, um das Verhalten zu verzerren und eine fundierte Entscheidungsfindung zu beeinträchtigen, was zu erheblichem Schaden führt. \- \*\*Schwachstellen ausnutzen\*\*, die mit dem Alter, einer Behinderung oder der sozioökonomischen Situation zusammenhängen, um das Verhalten zu verzerren, was zu erheblichem Schaden führt. \- \*\*Social Scoring\*\* betreiben, d. h. die Bewertung oder Klassifizierung von Personen oder Gruppen auf der Grundlage ihres sozialen Verhaltens oder ihrer Persönlichkeitsmerkmale, was zu einer nachteiligen oder ungünstigen Behandlung dieser Personen führt. \- \*\*das Risiko bewerten, dass eine Person eine Straftat begeht\*\*, und zwar ausschließlich auf der Grundlage von Profiling oder Persönlichkeitsmerkmalen, außer wenn sie zur Unterstützung menschlicher Bewertungen verwendet werden, die auf objektiven, verifizierbaren Fakten basieren, die direkt mit einer kriminellen Aktivität zusammenhängen. \- \*\*Gesichtserkennungsdatenbanken aufbauen\*\* durch das ungezielte Auslesen (Scraping) von Gesichtsbildern aus dem Internet oder von Videoüberwachungsaufnahmen (CCTV). \- \*\*Emotionen am Arbeitsplatz oder in Bildungseinrichtungen erfassen\*\*, außer aus medizinischen oder Sicherheitsgründen. \- \*\*biometrische Kategorisierungssysteme\*\* nutzen, um sensible Attribute abzuleiten (Rasse, politische Meinungen, Gewerkschaftsmitgliedschaft, religiöse oder weltanschauliche Überzeugungen, Sexualleben oder sexuelle Orientierung), außer beim Kennzeichnen oder Filtern von rechtmäßig erworbenen biometrischen Datensätzen oder wenn die Strafverfolgung biometrische Daten kategorisiert. \- \*\*„Echtzeit“-Fernidentifizierungssysteme (Remote Biometric Identification – RBI) in öffentlich zugänglichen Räumen für die\*\* \*\*Strafverfolgung\*\* nutzen, außer bei: o der gezielten Suche nach vermissten Personen, Entführungsopfern und Menschen, die Opfer von Menschenhandel oder sexueller Ausbeutung geworden sind; o der Abwendung einer konkreten, erheblichen und unmittelbar bevorstehenden Gefahr für das Leben oder die körperliche Unversehrtheit oder eines vorhersehbaren Terroranschlags; oder o der Identifizierung von Verdächtigen bei schweren Straftaten (z. B. Mord, Vergewaltigung, bewaffneter Raubüberfall, Drogen- und illegaler Waffenhandel, organisierte Kriminalität, Umweltkriminalität usw.). \*\*Hinweise zur biometrischen Fernidentifizierung:\*\* \- Der Einsatz von KI-gestützter Echtzeit-RBI ist nur zulässig, \*\*wenn das Nicht-Auffinden des Tools Schaden verursachen würde,\*\* insbesondere im Hinblick auf die Schwere, Wahrscheinlichkeit und das Ausmaß dieses Schadens, und muss die Rechte und Freiheiten der betroffenen Personen berücksichtigen. \- Vor dem Einsatz muss die Polizei eine \*\*Grundrechte-Folgenabschätzung\*\* durchführen und \*\*das System in der EU-Datenbank registrieren,\*\* wobei in ordnungsgemäß begründeten Dringlichkeitsfällen der Einsatz ohne Registrierung begonnen werden kann, vorausgesetzt, dass die Registrierung später ohne ungebührliche Verzögerung nachgeholt wird. \- Vor dem Einsatz muss zudem eine \*\*Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsbehörde\*\*^1 eingeholt werden, wobei in ordnungsgemäß begründeten Dringlichkeitsfällen der Einsatz ohne Genehmigung beginnen kann, sofern die Genehmigung innerhalb von 24 Stunden beantragt wird. Wenn die Genehmigung abgelehnt wird, muss der Einsatz sofort eingestellt werden, wobei alle Daten, Ergebnisse und Ausgaben zu löschen sind. (^1) Unabhängige Verwaltungsbehörden können einem größeren politischen Einfluss unterliegen als Justizbehörden (Hacker, 2024). \## Hochriskante KI-Systeme (Kapitel III) \*\*Klassifizierungsregeln für hochriskante KI-Systeme (Art. 6)\*\* Hochriskante KI-Systeme sind solche: \- die als Sicherheitskomponente oder als Produkt verwendet werden, das unter die EU-Vorschriften in Anhang I fällt, \*\*UND\*\* die sich einer Konformitätsbewertung durch Dritte gemäß diesen Vorschriften in Anhang I unterziehen müssen; \*\*ODER\*\* \- jene, die unter die Anwendungsfälle des Anhangs III (unten) fallen, es sei denn: o das KI-System führt eine eng begrenzte verfahrenstechnische Aufgabe aus; o es verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit; o es erkennt Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern und ist nicht dazu gedacht, die zuvor abgeschlossene menschliche Bewertung ohne angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen; oder o es führt eine vorbereitende Aufgabe für eine Bewertung aus, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist. \- Die Kommission kann die oben genannten Bedingungen durch delegierte Rechtsakte ergänzen oder ändern, wenn konkrete Beweise dafür vorliegen, dass ein unter Anhang III fallendes KI-System kein erhebliches Risiko für die Gesundheit, die Sicherheit und die Grundrechte darstellt. Sie kann auch Bedingungen streichen, wenn konkrete Beweise vorliegen, dass dies zum Schutz von Menschen erforderlich ist. \- KI-Systeme werden \*\*immer als hochriskant eingestuft, wenn sie ein Profiling von Personen durchführen,\*\* d. h. die automatisierte Verarbeitung personenbezogener Daten, um verschiedene Aspekte des Lebens einer Person zu bewerten, wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel. \- Anbieter, die der Ansicht sind, dass ihr unter Anhang III fallendes KI-System nicht hochriskant ist, müssen eine solche Bewertung dokumentieren, bevor sie es auf den Markt bringen oder in Betrieb nehmen. \- 18 Monate nach dem Inkrafttreten wird die Kommission Leitlinien zur Bestimmung der Hochrisiko-Eigenschaft von KI-Systemen mit einer Liste praktischer Beispiele für hochriskante und nicht hochriskante Anwendungsfälle bereitstellen. \*\*Anforderungen an Anbieter von hochriskanten KI-Systemen (Art. 8–17)\*\* Anbieter von hochriskanten KI-Systemen müssen: \- Ein \*\*Risikomanagementsystem\*\* über den gesamten Lebenszyklus des hochriskanten KI-Systems hinweg einrichten; \- Eine \*\*Daten-Governance\*\* durchführen und sicherstellen, dass die Trainings-, Validierungs- und Testdatensätze relevant, ausreichend repräsentativ und, so weit wie möglich, fehlerfrei und vollständig in Bezug auf den beabsichtigten Zweck sind. \- Eine \*\*technische Dokumentation\*\* erstellen, um die Konformität nachzuweisen und den Behörden die Informationen zur Verfügung zu stellen, die sie für die Bewertung dieser Konformität benötigen. \- Ihr hochriskantes KI-System so konzipieren, dass eine \*\*Protokollierung (Record-Keeping)\*\* möglich ist, um automatisch Ereignisse aufzuzeichnen, die für die Identifizierung von Risiken auf nationaler Ebene und wesentlichen Änderungen während des Lebenszyklus des Systems relevant sind. \- Nachgeschalteten Betreibern eine \*\*Gebrauchsanweisung\*\* zur Verfügung stellen, um deren Compliance zu ermöglichen. \- Ihr hochriskantes KI-System so konzipieren, dass Betreiber eine \*\*menschliche Aufsicht\*\* umsetzen können. \- Ihr hochriskantes KI-System so konzipieren, dass ein angemessenes Niveau an \*\*Genauigkeit, Robustheit und Cybersicherheit\*\* erreicht wird. \- Ein \*\*Qualitätsmanagementsystem\*\* einrichten, um die Compliance sicherzustellen. \*\*Anwendungsfälle nach Anhang III\*\* \*\*Nicht verbotene Biometrie\*\* : \- Fernidentifizierungssysteme (Remote Biometric Identification), ausgenommen die biometrische Verifizierung, die lediglich bestätigt, dass eine Person diejenige ist, die sie vorgebliche zu sein. \- Biometrische Kategorisierungssysteme, die sensible oder geschützte Attribute oder Merkmale ableiten. \- Erkennungssysteme für Emotionen. \*\*Kritische Infrastruktur\*\* : \- Sicherheitskomponenten im Management und Betrieb von kritischer digitaler Infrastruktur, dem Straßenverkehr sowie der Versorgung mit Wasser, Gas, Heizung und Strom. \*\*Allgemeine und berufliche Bildung\*\* : \- KI-Systeme, die über den Zugang, die Zulassung oder die Zuweisung zu Bildungs- und Berufsbildungseinrichtungen auf allen Ebenen entscheiden. \- Bewertung von Lernergebnissen, einschließlich solcher, die zur Steuerung des Lernprozesses des Schülers/Studierenden verwendet werden. \- Bewertung des für eine Person angemessenen Bildungsniveaus. \- Überwachung und Erkennung von verbotenem Verhalten von Schülern/Studierenden während Prüfungen. \*\*Beschäftigung, Personalmanagement und Zugang zur selbstständigen Erwerbstätigkeit:\*\* \*\*-\*\* KI-Systeme, die für die Personalrekrutierung oder -auswahl verwendet werden, insbesondere für zielgerichtete Stellenanzeigen, die Analyse und Filterung von Bewerbungen sowie die Bewertung von Kandidaten. \*\*-\*\* Beförderung und Kündigung von Verträgen, Zuweisung von Aufgaben basierend auf Persönlichkeitsmerkmalen oder -charakteristika und Verhalten sowie die Überwachung und Bewertung der Leistung. \*\*Zugang zu und Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten:\*\* \*\*-\*\* KI-Systeme, die von Behörden verwendet werden, um die Berechtigung zu Leistungen und Diensten zu prüfen, einschließlich deren Zuweisung, Reduzierung, Widerruf oder Rückforderung. \*\*-\*\* Bewertung der Kreditwürdigkeit, außer bei der Erkennung von Finanzbetrug. \*\*-\*\* Bewertung und Klassifizierung von Notrufen, einschließlich der Priorisierung des Einsatzes von Polizei, Feuerwehr, medizinischer Hilfe und dringenden Patiententriage-Diensten. \*\*-\*\* Risikobewertung und Preisgestaltung in der Kranken- und Lebensversicherung. \*\*Strafverfolgung:\*\* \*\*-\*\* KI-Systeme, mit denen das Risiko einer Person, Opfer einer Straftat zu werden, bewertet wird. \*\*-\*\* Lügendetektoren (Polyographen). \*\*-\*\* Bewertung der Zuverlässigkeit von Beweismitteln im Rahmen von strafrechtlichen Ermittlungen oder Verfolgungen. \*\*-\*\* Bewertung des Risikos einer Person, eine Straftat oder eine erneute Straftat zu begehen, sofern dies nicht ausschließlich auf Profiling oder der Bewertung von Persönlichkeitsmerkmalen oder vergangenem kriminellen Verhalten basiert. \*\*-\*\* Profiling im Rahmen der Aufdeckung, Ermittlung oder Verfolgung von Straftaten. \*\*Migration, Asyl und Grenzkontrolle:\*\* \*\*-\*\* Lügendetektoren (Polyographen). \*\*-\*\* Bewertungen von illegaler Migration oder Gesundheitsrisiken. \*\*-\*\* Prüfung von Asyl-, Visa- und Aufenthaltstitelanträgen sowie damit verbundenen Beschwerden bezüglich der Berechtigung. \*\*-\*\* Erkennung, Wiedererkennung oder Identifizierung von Personen, ausgenommen die Überprüfung von Reisedokumenten. \*\*Rechtspflege und demokratische Prozesse:\*\* \*\*-\*\* KI-Systeme, die bei der Recherche und Auslegung von Sachverhalten und der Anwendung des Rechts auf konkrete Sachverhalte oder bei alternativen Streitbeilegungsverfahren eingesetzt werden. \*\*-\*\* Beeinflussung des Ausgangs von Wahlen und Referenden oder des Stimmverhaltens, ausgenommen Ergebnisse, die nicht direkt mit Menschen interagieren, wie Tools zur Organisation, Optimierung und Strukturierung politischer Kampagnen. \## Allgemein verwendbare KI (General Purpose AI – GPAI) (Kapitel V) \*\*GPAI-Modell\*\* bezeichnet ein KI-Modell – auch wenn es mit einer großen Datenmenge unter Verwendung von Selbstüberwachung in großem Maßstab trainiert wurde –, das eine erhebliche Allgemeingültigkeit aufweist und in der Lage ist, ein breites Spektrum unterschiedlicher Aufgaben kompetent auszuführen, unabhängig davon, wie das Modell auf den Markt gebracht wird, und das in eine Vielzahl von nachgeschalteten Systemen oder Anwendungen integriert werden kann. Dies gilt nicht für KI-Modelle, die vor dem Inverkehrbringen für Forschungs-, Entwicklungs- und Prototyping-Aktivitäten verwendet werden. \*\*GPAI-System\*\* bezeichnet ein KI-System, das auf einem allgemein verwendbaren KI-Modell basiert und die Fähigkeit besitzt, einer Vielzahl von Zwecken zu dienen – sowohl für die direkte Nutzung als auch für die Integration in andere KI-Systeme. GPAI-Systeme können als hochriskante KI-Systeme verwendet oder in diese integriert werden. Anbieter von GPAI-Systemen sollten mit solchen Anbietern hochriskanter KI-Systeme kooperieren, um deren Compliance zu ermöglichen. \*\*Alle Anbieter von GPAI-Modellen müssen (Art. 53):\*\* \- Eine \*\*technische Dokumentation\*\* erstellen, einschließlich des Trainings- und Testprozesses und der Evaluationsergebnisse. \- \*\*Informationen und Dokumentationen für nachgeschaltete Anbieter\*\* bereitstellen, die das GPAI-Modell in ihr eigenes KI-System integrieren möchten, damit diese die Fähigkeiten und Grenzen verstehen und in der Lage sind, die Vorschriften einzuhalten. \- Eine Strategie zur \*\*Einhaltung der Urheberrechtsrichtlinie\*\* festlegen. \- Eine \*\*hinreichend detaillierte Zusammenfassung der für das Training des GPAI-Modells verwendeten Inhalte\*\* veröffentlichen. \*\*Modelle mit freier und offener Lizenz\*\* – deren Parameter, einschließlich Gewichtungen, Modellarchitektur und Modellnutzung, öffentlich zugänglich sind und den Zugriff, die Nutzung, die Änderung und die Verbreitung des Modells erlauben – müssen nur die letzten beiden oben genannten Verpflichtungen erfüllen, es sei denn, das quelloffene GPAI-Modell stellt ein systemisches Risiko dar. \*\*GPAI-Modelle gelten als systemisch, wenn die kumulierte Rechenleistung, die für ihr Training verwendet wurde, größer als $10^{25}$ Floating Point Operations pro Sekunde (FLOPS) ist (Art. 51).\*\* Anbieter müssen der Kommission innerhalb von 2 Wochen mitteilen, wenn ihr Modell dieses Kriterium erfüllt (Art. 52). Der Anbieter kann Argumente dafür vorbringen, dass sein Modell trotz Erfüllung der Kriterien keine systemischen Risiken aufweist. Die Kommission kann von sich aus oder auf eine qualifizierte Warnung des wissenschaftlichen Gremiums unabhängiger Experten hin entscheiden, dass ein Modell über Fähigkeiten mit hoher Auswirkung verfügt, was es systemisch macht. Zusätzlich zu den vier oben genannten Verpflichtungen müssen Anbieter von GPAI-Modellen mit systemischem Risiko auch (Art. 55): \- \*\*Modellevaluierungen\*\* durchführen, einschließlich der Durchführung und Dokumentation von \*\*Adversarial Testing\*\* zur Identifizierung und Minderung systemischer Risiken. \- Mögliche \*\*systemische Risiken und deren Quellen bewerten und mindern\*\*. \- Schwerwiegende Vorfälle und mögliche Korrekturmaßnahmen ohne ungebührliche Verzögerung \*\*nachverfolgen, dokumentieren und an das KI-Büro\*\* sowie die zuständigen nationalen Behörden melden. \- Ein angemessenes Niveau an \*\*Cybersicherheitsschutz\*\* gewährleisten. Alle Anbieter von GPAI-Modellen können ihre Compliance nachweisen, wenn sie sich freivoller an Verhaltenskodizes (Codes of Practice) halten, bis harmonisierte europäische Normen veröffentlicht werden. Die Einhaltung dieser Normen führt zu einer Konformitätsvermutung (Art. 56). Anbieter, die sich nicht an Verhaltenskodizes halten, müssen der Kommission \*\*alternative angemessene Mittel zur Einhaltung\*\* zur Genehmigung vorlegen. \*\*Verhaltenskodizes (Codes of Practice) (Art. 56)\*\* \- Werden internationale Ansätze berücksichtigen. \- Werden die oben genannten Verpflichtungen abdecken, sind aber nicht zwingend darauf beschränkt. Dies betrifft insbesondere die relevanten Informationen für die technische Dokumentation für Behörden und nachgeschaltete Anbieter, die Identifizierung von Art und Wesen systemischer Risiken und ihrer Quellen sowie die Modalitäten des Risikomanagements unter Berücksichtigung spezifischer Herausforderungen bei der Bewältigung von Risiken, da diese entlang der Wertschöpfungskette entstehen und sich konkretisieren können. \- Das KI-Büro kann Anbieter von GPAI-Modellen und zuständige nationale Behörden zur Teilnahme an der Ausarbeitung der Kodizes einladen, während die Zivilgesellschaft, die Industrie, die Wissenschaft, nachgeschaltete Anbieter und unabhängige Experten den Prozess unterstützen können. \## Governance (Kapitel VI) \- Das KI-Büro (AI Office) wird innerhalb der Kommission eingerichtet, um die effektive Umsetzung und Einhaltung der Vorschriften durch Anbieter von GPAI-Modellen zu überwachen (Art. 64). \- Nachgeschaltete Anbieter können beim KI-Büro eine Beschwerde bezüglich Verstößen von vorgeschalteten Anbietern einreichen (Art. 89). \- Das KI-Büro kann Evaluierungen des GPAI-Modells durchführen, um (Art. 92): o die Compliance zu bewerten, wenn die im Rahmen seiner Auskunftsrechte gesammelten Informationen nicht ausreichen. o systemische Risiken zu untersuchen, insbesondere nach einem qualifizierten Bericht des wissenschaftlichen Gremiums unabhängiger Experten (Art. 90). \## Zeitpläne Nach dem Inkrafttreten wird das KI-Gesetz zu folgenden Fristen anwendbar sein: \- 6 Monate für verbotene KI-Systeme. \- 12 Monate für GPAI. \- 24 Monate für hochriskante KI-Systeme unter Anhang III. \- 36 Monate für hochriskante KI-Systeme unter Anhang I. Verhaltenskodizes müssen 9 Monate nach dem Inkrafttreten fertiggestellt sein.