32 KiB
Future of Life Institute | Available online: artificialintelligenceact.eu/high-level-summary
# Inhaltsverzeichnis
# Kapitel I: Allgemeine Bestimmungen
Artikel 1: Gegenstand
Artikel 2: Anwendungsbereich
Artikel 3: Begriffsbestimmungen
Artikel 4: KI-Kompetenz
# Kapitel II: Verbotene AI-Praktiken
Artikel 5: Verbotene AI-Praktiken
# Kapitel III: Hochriskantes KI-System
Abschnitt 1: Einstufung von KI-Systemen als hochriskant
Artikel 6: Klassifizierungsregeln für KI-Systeme mit hohem Risiko
Artikel 7: Änderungen des Anhangs III
Abschnitt 2: Anforderungen an hochriskante KI-Systeme
Artikel 8: Erfüllung der Anforderungen
Artikel 9: Risikomanagementsystem
Artikel 10: Daten und Datenverwaltung
Artikel 11: Technische Dokumentation
Artikel 12: Aufbewahrung der Aufzeichnungen
Artikel 13: Transparenz und Bereitstellung von Informationen für Einsatzkräfte
Artikel 14: Menschliche Aufsichtsbehörden
Artikel 15: Genauigkeit, Robustheit und Cybersicherheit
Abschnitt 3: Verpflichtungen von Anbietern und Betreibern von KI-Systemen mit hohem Risiko und anderen Parteien
Artikel 16: Pflichten der Anbieter von KI-Systemen mit hohem Risiko
Artikel 17: Qualitätsmanagementsystem
Artikel 18: Führung der Dokumentation
Artikel 19: Automatisch erzeugte Protokolle
Artikel 20: Abhilfemaßnahmen und Informationspflicht
Artikel 21: Zusammenarbeit mit den zuständigen Behörden
Artikel 22: Bevollmächtigte Vertreter von Anbietern von KI-Systemen mit hohem Risikopotenzial
Artikel 23: Pflichten der Importeure
Artikel 24: Pflichten des Händlers
Artikel 25: Verantwortlichkeiten entlang der KI-Wertschöpfungskette
Artikel 26: Pflichten der Betreiber von KI-Systemen mit hohem Risiko
Artikel 27: Grundrechtliche Folgenabschätzung für hochriskante KI-Systeme
Abschnitt 4: Notifizierende Behörden und benannte Stellen
Artikel 28: Notifizierende Behörden
Artikel 29: Antrag einer Konformitätsbewertungsstelle auf Notifizierung
Artikel 30: Notifizierungsverfahren
Artikel 31: Anforderungen an die benannten Stellen
Artikel 32: Vermutung der Konformität mit den Anforderungen in Bezug auf benannte Stellen
Artikel 33: Zweigstellen der benannten Stellen und Vergabe von Unteraufträgen
Artikel 34: Operative Verpflichtungen der benannten Stellen
Artikel 35: Kennnummern und Verzeichnisse der benannten Stellen
Artikel 36: Änderungen der Notifizierungen
Artikel 37: Anfechtung der Zuständigkeit der benannten Stellen
Artikel 38: Koordinierung der benannten Stellen
Artikel 39: Konformitätsbewertungsstellen von Drittländern
Abschnitt 5: Normen, Konformitätsbewertung, Bescheinigungen, Registrierung
Artikel 40: Harmonisierte Normen und Normungsdokumente
Artikel 41: Gemeinsame Spezifikationen
Artikel 42: Vermutung der Konformität mit bestimmten Anforderungen
Artikel 43: Konformitätsbewertung
Artikel 44: Bescheinigungen
Artikel 45: Informationsverpflichtungen der benannten Stellen
Artikel 46: Ausnahmen vom Konformitätsbewertungsverfahren
Artikel 47: EU-Konformitätserklärung
Artikel 48: CE-Kennzeichnung
Artikel 49: Registrierung
# Kapitel IV: Transparenzverpflichtungen für Anbieter und Betreiber von bestimmten KI-Systemen
Artikel 50: Transparenzverpflichtungen für Anbieter und Betreiber von bestimmten KI-Systemen
# Kapitel V: KI-Modelle für allgemeine Zwecke
Abschnitt 1: Einstufungsregeln
Artikel 51: Einstufung von KI-Modellen für allgemeine Zwecke als KI-Modelle für allgemeine Zwecke mit systemischem Risiko
Artikel 52: Verfahren
Abschnitt 2: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke
Artikel 53: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke
Artikel 54: Bevollmächtigte Vertreter von Anbietern von KI-Modellen für allgemeine Zwecke
Abschnitt 3: Pflichten der Anbieter von KI-Modellen für allgemeine Zwecke mit systemischem Risiko
Artikel 55: Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke mit systemischem Risiko
Abschnitt 4: Verhaltenskodizes
Artikel 56: Verhaltenskodizes
# Kapitel VI: Maßnahmen zur Unterstützung der Innovation
Artikel 57: Regulierungssandkästen für KI
Artikel 58: Detaillierte Vorkehrungen für KI-Regulierungssandkästen und deren Funktionsweise
Artikel 59: Weiterverarbeitung personenbezogener Daten für die Entwicklung bestimmter KI-Systeme im öffentlichen Interesse in der KI-Regulierungssandbox
Artikel 60: Erprobung von KI-Systemen mit hohem Risiko unter realen Bedingungen außerhalb der Sandkästen der KI-Regulierungsbehörden
Artikel 61: Einwilligung nach Inkenntnissetzung in die Teilnahme an Tests unter realen Bedingungen außerhalb von Sandkästen der KI-Regulierung
Artikel 62: Maßnahmen für Anbieter und Verleiher, insbesondere für KMU, einschließlich Start-Ups
Artikel 63: Ausnahmeregelungen für bestimmte Marktteilnehmer
# Kapitel VII: Governance
Abschnitt 1: Governance auf Unionsebene
Artikel 64: AI-Büro
Artikel 65: Einrichtung und Struktur des Europäischen Rats für künstliche Intelligenz
Artikel 66: Aufgaben des Verwaltungsrats
Artikel 67: Beratungsgremium
Artikel 68: Wissenschaftliches Gremium aus unabhängigen Sachverständigen
Artikel 69: Zugang der Mitgliedstaaten zum Sachverständigenpool
Abschnitt 2: Zuständige nationale Behörden
Artikel 70: Benennung der zuständigen nationalen Behörden und des einheitlichen Ansprechpartners
# Kapitel VIII: EU-Datenbank für hochriskante KI-Systeme
Artikel 71: EU-Datenbank für in Anhang III aufgeführte Hochrisiko-KI-Systeme
# Kapitel IX: Überwachung nach dem Inverkehrbringen, Informationsaustausch und Marktaufsicht
Abschnitt 1: Überwachung nach dem Inverkehrbringen
Artikel 72: Überwachung nach dem Inverkehrbringen durch die Anbieter und Plan zur Überwachung nach dem Inverkehrbringen für KI-Systeme mit hohem Risiko
Abschnitt 2: Weitergabe von Informationen über schwerwiegende Zwischenfälle
Artikel 73: Meldung schwerwiegender Vorkommnisse
Abschnitt 3: Durchsetzung
Artikel 74: Marktüberwachung und Kontrolle von KI-Systemen auf dem Unionsmarkt
Artikel 75: Gegenseitige Unterstützung, Marktüberwachung und Kontrolle von KI-Systemen für allgemeine Zwecke
Artikel 76: Überwachung von Tests unter realen Bedingungen durch die Marktüberwachungsbehörden
Artikel 77: Befugnisse der Behörden zum Schutz der Grundrechte
Artikel 78: Vertraulichkeit
Artikel 79: Verfahren auf nationaler Ebene für den Umgang mit KI-Systemen, die ein Risiko darstellen
Artikel 80: Verfahren für den Umgang mit KI-Systemen, die vom Anbieter in Anwendung von Anhang III als nicht hochriskant eingestuft werden
Artikel 81: Schutzklauselverfahren der Union
Artikel 82: Konforme KI-Systeme, die ein Risiko darstellen
Artikel 83: Formale Nichteinhaltung
Artikel 84: Union AI Testing Support Structures
Abschnitt 4: Rechtsbehelfe
Artikel 85: Recht auf Einreichung einer Beschwerde bei einer Marktaufsichtsbehörde
Artikel 86: Recht auf Erläuterung der individuellen Entscheidungsfindung
Artikel 87: Meldung von Verstößen und Schutz von Personen, die Verstöße melden
Abschnitt 5: Beaufsichtigung, Untersuchung, Durchsetzung und Überwachung in Bezug auf Anbieter von KI-Modellen für allgemeine Zwecke
Artikel 88: Durchsetzung der Verpflichtungen von Anbietern von KI-Modellen für allgemeine Zwecke
Artikel 89 : Überwachungsmaßnahmen
Artikel 90: Warnungen vor systemischen Risiken durch das Wissenschaftliche Gremium
Artikel 91: Befugnis zur Anforderung von Unterlagen und Informationen
Artikel 92: Befugnis zur Durchführung von Evaluierungen
Artikel 93: Befugnis, Maßnahmen zu beantragen
Artikel 94: Verfahrensrechte der Wirtschaftsbeteiligten des AI-Modells für allgemeine Zwecke
# Kapitel X: Verhaltenskodizes und Leitlinien
Artikel 95: Verhaltenskodizes für die freiwillige Anwendung von spezifischen Anforderungen
Artikel 96: Leitlinien der Kommission für die Durchführung dieser Verordnung
# Kapitel XI: Befugnisübertragungen und Ausschussverfahren
Artikel 97: Ausübung der Befugnisse der Delegation
Artikel 98: Ausschussverfahren
# Kapitel XII: Sanktionen
Artikel 99: Sanktionen
Artikel 100: Geldbußen gegen Organe, Einrichtungen, Ämter und Agenturen der Union
Artikel 101: Geldbußen für Anbieter von KI-Modellen für allgemeine Zwecke
# Kapitel XIII: Schlussbestimmungen
Artikel 102: Änderung der Verordnung (EG) Nr. 300/2008
Artikel 103: Änderung der Verordnung (EU) Nr. 167/2013
Artikel 104: Änderung der Verordnung (EU) Nr. 168/2013
Artikel 105: Änderung der Richtlinie 2014/90/EU
Artikel 106: Änderung der Richtlinie (EU) 2016/797
Artikel 107: Änderung der Verordnung (EU) 2018/858
Artikel 108: Änderungen der Verordnung (EU) 2018/1139
Artikel 109: Änderung der Verordnung (EU) 2019/2144
Artikel 110: Änderung der Richtlinie (EU) 2020/1828
Artikel 111: Bereits in Verkehr gebrachte oder in Betrieb genommene KI-Systeme und bereits in Verkehr gebrachte KI-Modelle für allgemeine Zwecke [sic]
Artikel 112: Bewertung und Überprüfung
Artikel 113: Inkrafttreten und Anwendung
# Erwägungsgründe 1 bis 180
# Anhänge
Anhang I: Liste der Harmonisierungsrechtsvorschriften der Union
Anhang II: Liste der in Artikel 5 Absatz 1 Unterabsatz 1 Buchstabe h Ziffer iii genannten Straftaten
Anhang III: In Artikel 6 Absatz 2 genannte AI-Systeme mit hohem Risiko
Anhang IV: Technische Unterlagen gemäß Artikel 11 Absatz 1
Anhang V: EU-Konformitätserklärung
Anhang VI: Konformitätsbewertungsverfahren auf der Grundlage der internen Kontrolle
Anhang VII: Konformität auf der Grundlage einer Bewertung des Qualitätsmanagementsystems und einer Bewertung der technischen Dokumentation
Anhang VIII: Informationen, die bei der Registrierung von AI-Systemen mit hohem Risiko gemäß Artikel 49 vorzulegen sind
Anhang IX: Informationen, die bei der Registrierung von in Anhang III aufgeführten Hochrisiko-KI-Systemen in Bezug auf die Prüfung unter realen Bedingungen gemäß Artikel 60 vorzulegen sind
Anhang X: Gesetzgebungsakte der Union über IT-Großsysteme im Bereich Freiheit, Sicherheit und Recht
Anhang XI: Technische Dokumentation gemäß Artikel 53 Absatz 1 Buchstabe a) - Technische Dokumentation für Anbieter von KI-Modellen für allgemeine Zwecke
Anhang XII: Transparenzinformationen gemäß Artikel 53 Absatz 1 Buchstabe b - Technische Dokumentation für Anbieter von AI-Modellen für allgemeine Zwecke an nachgeschaltete Anbieter, die das Modell in ihr AI-System integrieren
Anhang XIII: Kriterien für die Benennung von KI-Modellen für allgemeine Zwecke mit systemischem Risiko gemäß Artikel 51
# Hochgradige Zusammenfassung des KI-Gesetzes
## In diesem Artikel bieten wir Ihnen eine allgemeine Zusammenfassung des KI-Gesetzes,
## bei der wir die Teile ausgewählt haben, die unabhängig davon, wer Sie sind, am
## ehesten für Sie relevant sind. Wir stellen Links zum Originaldokument bereit, wo
## dies sinnvoll ist, damit Sie immer auf den Text des Gesetzes verweisen können.
## Vier-Punkte-Zusammenfassung
## Das KI-Gesetz klassifiziert KI nach ihrem Risiko:
- Unannehmbares Risiko ist verboten (z. B. Social-Scoring-Systeme und manipulative KI).
- Der Großteil des Textes befasst sich mit hochriskanten KI-Systemen, die reguliert werden.
- Ein kleinerer Abschnitt behandelt KI-Systeme mit begrenztem Risiko, die leichteren Transparenzverpflichtungen unterliegen:
Entwickler und Betreiber müssen sicherstellen, dass Endnutzer sich darüber im Klaren sind, dass sie mit KI
interagieren (Chatbots und Deepfakes).
- Minimales Risiko ist unreguliert (einschließlich der Mehrheit der KI-Anwendungen, die derzeit auf dem EU-
Binnenmarkt verfügbar sind, wie KI-gestützte Videospiele und Spam-Filter – zumindest im Jahr 2021; dies ändert
sich mit generativer KI).
## Die Mehrheit der Verpflichtungen fällt auf Anbieter (Entwickler) von hochriskanten KI-
## Systemen.
- Diejenigen, die beabsichtigen, hochriskante KI-Systeme in der EU auf den Markt zu bringen oder in Betrieb zu nehmen,
unabhängig davon, ob sie in der EU oder einem Drittland ansässig sind.
- Und auch Anbieter aus Drittländern, wenn die Ergebnisse des hochriskanten KI-Systems in der EU verwendet werden.
## Betreiber (Deployer) sind natürliche oder juristische Personen, die ein KI-System in
## beruflicher Funktion einsetzen, nicht die betroffenen Endnutzer.
- Betreiber von hochriskanten KI-Systemen haben einige Verpflichtungen, wenn auch weniger als Anbieter
(Entwickler).
- Dies gilt für Betreiber mit Sitz in der EU und Nutzer in Drittländern, wenn die Ergebnisse des KI-Systems
in der EU verwendet werden.
## Allgemein verwendbare KI (General Purpose AI – GPAI):
- Alle Anbieter von GPAI-Modellen müssen eine technische Dokumentation und eine Gebrauchsanweisung bereitstellen,
die Urheberrechtsrichtlinie einhalten und eine Zusammenfassung über die für das Training verwendeten Inhalte veröffentlichen.
- Anbieter von GPAI-Modellen mit freier und offener Lizenz müssen nur das Urheberrecht einhalten und die
Zusammenfassung der Trainingsdaten veröffentlichen, es sei denn, sie stellen ein systemisches Risiko dar.
- Alle Anbieter von GPAI-Modellen, die ein systemisches Risiko darstellen – ob offen oder geschlossen –, müssen zudem
Modellevaluierungen und Adversarial Testing (gegnerische Tests) durchführen, schwerwiegende Vorfälle nachverfolgen und melden
sowie Cybersicherheitsmaßnahmen gewährleisten.
## Verbotene KI-Systeme (Kapitel II, Art. 5)
KI-Systeme, die:
- **subliminale (unterschwellige), manipulative oder täuschende Techniken** einsetzen, um das Verhalten zu verzerren und eine
fundierte Entscheidungsfindung zu beeinträchtigen, was zu erheblichem Schaden führt.
- **Schwachstellen ausnutzen**, die mit dem Alter, einer Behinderung oder der sozioökonomischen Situation zusammenhängen, um das
Verhalten zu verzerren, was zu erheblichem Schaden führt.
- **Social Scoring** betreiben, d. h. die Bewertung oder Klassifizierung von Personen oder Gruppen auf der Grundlage ihres sozialen
Verhaltens oder ihrer Persönlichkeitsmerkmale, was zu einer nachteiligen oder ungünstigen Behandlung dieser Personen führt.
- **das Risiko bewerten, dass eine Person eine Straftat begeht**, und zwar ausschließlich auf der Grundlage von Profiling oder
Persönlichkeitsmerkmalen, außer wenn sie zur Unterstützung menschlicher Bewertungen verwendet werden, die auf objektiven,
verifizierbaren Fakten basieren, die direkt mit einer kriminellen Aktivität zusammenhängen.
- **Gesichtserkennungsdatenbanken aufbauen** durch das ungezielte Auslesen (Scraping) von Gesichtsbildern aus dem Internet oder
von Videoüberwachungsaufnahmen (CCTV).
- **Emotionen am Arbeitsplatz oder in Bildungseinrichtungen erfassen**, außer aus medizinischen oder Sicherheitsgründen.
- **biometrische Kategorisierungssysteme** nutzen, um sensible Attribute abzuleiten (Rasse, politische Meinungen,
Gewerkschaftsmitgliedschaft, religiöse oder weltanschauliche Überzeugungen, Sexualleben oder sexuelle Orientierung), außer beim
Kennzeichnen oder Filtern von rechtmäßig erworbenen biometrischen Datensätzen oder wenn die Strafverfolgung
biometrische Daten kategorisiert.
- **„Echtzeit“-Fernidentifizierungssysteme (Remote Biometric Identification – RBI) in öffentlich zugänglichen Räumen für die**
**Strafverfolgung** nutzen, außer bei:
o der gezielten Suche nach vermissten Personen, Entführungsopfern und Menschen, die Opfer von Menschenhandel oder
sexueller Ausbeutung geworden sind;
o der Abwendung einer konkreten, erheblichen und unmittelbar bevorstehenden Gefahr für das Leben oder die körperliche Unversehrtheit
oder eines vorhersehbaren Terroranschlags; oder
o der Identifizierung von Verdächtigen bei schweren Straftaten (z. B. Mord, Vergewaltigung, bewaffneter Raubüberfall, Drogen- und
illegaler Waffenhandel, organisierte Kriminalität, Umweltkriminalität usw.).
**Hinweise zur biometrischen Fernidentifizierung:**
- Der Einsatz von KI-gestützter Echtzeit-RBI ist nur zulässig, **wenn das Nicht-Auffinden des Tools Schaden verursachen würde,**
insbesondere im Hinblick auf die Schwere, Wahrscheinlichkeit und das Ausmaß dieses Schadens, und muss die Rechte und
Freiheiten der betroffenen Personen berücksichtigen.
- Vor dem Einsatz muss die Polizei eine **Grundrechte-Folgenabschätzung** durchführen und **das System in der EU-Datenbank registrieren,**
wobei in ordnungsgemäß begründeten Dringlichkeitsfällen der Einsatz ohne Registrierung begonnen werden kann, vorausgesetzt, dass
die Registrierung später ohne ungebührliche Verzögerung nachgeholt wird.
- Vor dem Einsatz muss zudem eine **Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsbehörde**^1 eingeholt werden,
wobei in ordnungsgemäß begründeten Dringlichkeitsfällen der Einsatz ohne Genehmigung beginnen kann, sofern die Genehmigung innerhalb
von 24 Stunden beantragt wird. Wenn die Genehmigung abgelehnt wird, muss der Einsatz sofort eingestellt werden, wobei alle Daten,
Ergebnisse und Ausgaben zu löschen sind.
(^1) Unabhängige Verwaltungsbehörden können einem größeren politischen Einfluss unterliegen als Justizbehörden (Hacker, 2024).
## Hochriskante KI-Systeme (Kapitel III)
**Klassifizierungsregeln für hochriskante KI-Systeme (Art. 6)**
Hochriskante KI-Systeme sind solche:
- die als Sicherheitskomponente oder als Produkt verwendet werden, das unter die EU-Vorschriften in Anhang I fällt, **UND**
die sich einer Konformitätsbewertung durch Dritte gemäß diesen Vorschriften in Anhang I unterziehen müssen; **ODER**
- jene, die unter die Anwendungsfälle des Anhangs III (unten) fallen, es sei denn:
o das KI-System führt eine eng begrenzte verfahrenstechnische Aufgabe aus;
o es verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit;
o es erkennt Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern und ist nicht dazu gedacht,
die zuvor abgeschlossene menschliche Bewertung ohne angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen; oder
o es führt eine vorbereitende Aufgabe für eine Bewertung aus, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle
relevant ist.
- Die Kommission kann die oben genannten Bedingungen durch delegierte Rechtsakte ergänzen oder ändern, wenn konkrete Beweise
dafür vorliegen, dass ein unter Anhang III fallendes KI-System kein erhebliches Risiko für die Gesundheit, die Sicherheit und die
Grundrechte darstellt. Sie kann auch Bedingungen streichen, wenn konkrete Beweise vorliegen, dass dies zum Schutz von Menschen
erforderlich ist.
- KI-Systeme werden **immer als hochriskant eingestuft, wenn sie ein Profiling von Personen durchführen,** d. h. die automatisierte
Verarbeitung personenbezogener Daten, um verschiedene Aspekte des Lebens einer Person zu bewerten, wie Arbeitsleistung,
wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel.
- Anbieter, die der Ansicht sind, dass ihr unter Anhang III fallendes KI-System nicht hochriskant ist, müssen eine solche
Bewertung dokumentieren, bevor sie es auf den Markt bringen oder in Betrieb nehmen.
- 18 Monate nach dem Inkrafttreten wird die Kommission Leitlinien zur Bestimmung der Hochrisiko-Eigenschaft von KI-Systemen mit einer
Liste praktischer Beispiele für hochriskante und nicht hochriskante Anwendungsfälle bereitstellen.
**Anforderungen an Anbieter von hochriskanten KI-Systemen (Art. 8–17)**
Anbieter von hochriskanten KI-Systemen müssen:
- Ein **Risikomanagementsystem** über den gesamten Lebenszyklus des hochriskanten KI-Systems hinweg einrichten;
- Eine **Daten-Governance** durchführen und sicherstellen, dass die Trainings-, Validierungs- und Testdatensätze relevant,
ausreichend repräsentativ und, so weit wie möglich, fehlerfrei und vollständig in Bezug auf den beabsichtigten Zweck sind.
- Eine **technische Dokumentation** erstellen, um die Konformität nachzuweisen und den Behörden die Informationen zur Verfügung zu stellen,
die sie für die Bewertung dieser Konformität benötigen.
- Ihr hochriskantes KI-System so konzipieren, dass eine **Protokollierung (Record-Keeping)** möglich ist, um automatisch Ereignisse
aufzuzeichnen, die für die Identifizierung von Risiken auf nationaler Ebene und wesentlichen Änderungen während des
Lebenszyklus des Systems relevant sind.
- Nachgeschalteten Betreibern eine **Gebrauchsanweisung** zur Verfügung stellen, um deren Compliance zu ermöglichen.
- Ihr hochriskantes KI-System so konzipieren, dass Betreiber eine **menschliche Aufsicht** umsetzen können.
- Ihr hochriskantes KI-System so konzipieren, dass ein angemessenes Niveau an **Genauigkeit, Robustheit und Cybersicherheit** erreicht wird.
- Ein **Qualitätsmanagementsystem** einrichten, um die Compliance sicherzustellen.
**Anwendungsfälle nach Anhang III**
**Nicht verbotene Biometrie** :
- Fernidentifizierungssysteme (Remote Biometric Identification), ausgenommen die biometrische Verifizierung, die lediglich bestätigt,
dass eine Person diejenige ist, die sie vorgebliche zu sein.
- Biometrische Kategorisierungssysteme, die sensible oder geschützte Attribute oder Merkmale ableiten.
- Erkennungssysteme für Emotionen.
**Kritische Infrastruktur** :
- Sicherheitskomponenten im Management und Betrieb von kritischer digitaler Infrastruktur, dem Straßenverkehr sowie der
Versorgung mit Wasser, Gas, Heizung und Strom.
**Allgemeine und berufliche Bildung** :
- KI-Systeme, die über den Zugang, die Zulassung oder die Zuweisung zu Bildungs- und Berufsbildungseinrichtungen
auf allen Ebenen entscheiden.
- Bewertung von Lernergebnissen, einschließlich solcher, die zur Steuerung des Lernprozesses des Schülers/Studierenden verwendet werden.
- Bewertung des für eine Person angemessenen Bildungsniveaus.
- Überwachung und Erkennung von verbotenem Verhalten von Schülern/Studierenden während Prüfungen.
**Beschäftigung, Personalmanagement und Zugang zur selbstständigen Erwerbstätigkeit:**
**-** KI-Systeme, die für die Personalrekrutierung oder -auswahl verwendet werden, insbesondere für zielgerichtete Stellenanzeigen,
die Analyse und Filterung von Bewerbungen sowie die Bewertung von Kandidaten.
**-** Beförderung und Kündigung von Verträgen, Zuweisung von Aufgaben basierend auf Persönlichkeitsmerkmalen oder -charakteristika und
Verhalten sowie die Überwachung und Bewertung der Leistung.
**Zugang zu und Inanspruchnahme von wesentlichen privaten und öffentlichen Diensten:**
**-** KI-Systeme, die von Behörden verwendet werden, um die Berechtigung zu Leistungen und Diensten zu prüfen, einschließlich deren
Zuweisung, Reduzierung, Widerruf oder Rückforderung.
**-** Bewertung der Kreditwürdigkeit, außer bei der Erkennung von Finanzbetrug.
**-** Bewertung und Klassifizierung von Notrufen, einschließlich der Priorisierung des Einsatzes von Polizei, Feuerwehr,
medizinischer Hilfe und dringenden Patiententriage-Diensten.
**-** Risikobewertung und Preisgestaltung in der Kranken- und Lebensversicherung.
**Strafverfolgung:**
**-** KI-Systeme, mit denen das Risiko einer Person, Opfer einer Straftat zu werden, bewertet wird.
**-** Lügendetektoren (Polyographen).
**-** Bewertung der Zuverlässigkeit von Beweismitteln im Rahmen von strafrechtlichen Ermittlungen oder Verfolgungen.
**-** Bewertung des Risikos einer Person, eine Straftat oder eine erneute Straftat zu begehen, sofern dies nicht ausschließlich auf
Profiling oder der Bewertung von Persönlichkeitsmerkmalen oder vergangenem kriminellen Verhalten basiert.
**-** Profiling im Rahmen der Aufdeckung, Ermittlung oder Verfolgung von Straftaten.
**Migration, Asyl und Grenzkontrolle:**
**-** Lügendetektoren (Polyographen).
**-** Bewertungen von illegaler Migration oder Gesundheitsrisiken.
**-** Prüfung von Asyl-, Visa- und Aufenthaltstitelanträgen sowie damit verbundenen Beschwerden bezüglich der Berechtigung.
**-** Erkennung, Wiedererkennung oder Identifizierung von Personen, ausgenommen die Überprüfung von Reisedokumenten.
**Rechtspflege und demokratische Prozesse:**
**-** KI-Systeme, die bei der Recherche und Auslegung von Sachverhalten und der Anwendung des Rechts auf konkrete Sachverhalte oder
bei alternativen Streitbeilegungsverfahren eingesetzt werden.
**-** Beeinflussung des Ausgangs von Wahlen und Referenden oder des Stimmverhaltens, ausgenommen Ergebnisse, die nicht direkt
mit Menschen interagieren, wie Tools zur Organisation, Optimierung und Strukturierung politischer Kampagnen.
## Allgemein verwendbare KI (General Purpose AI – GPAI) (Kapitel V)
**GPAI-Modell** bezeichnet ein KI-Modell – auch wenn es mit einer großen Datenmenge unter Verwendung von Selbstüberwachung
in großem Maßstab trainiert wurde –, das eine erhebliche Allgemeingültigkeit aufweist und in der Lage ist, ein breites
Spektrum unterschiedlicher Aufgaben kompetent auszuführen, unabhängig davon, wie das Modell auf den Markt gebracht wird,
und das in eine Vielzahl von nachgeschalteten Systemen oder Anwendungen integriert werden kann. Dies gilt nicht für KI-Modelle,
die vor dem Inverkehrbringen für Forschungs-, Entwicklungs- und Prototyping-Aktivitäten verwendet werden.
**GPAI-System** bezeichnet ein KI-System, das auf einem allgemein verwendbaren KI-Modell basiert und die Fähigkeit besitzt,
einer Vielzahl von Zwecken zu dienen – sowohl für die direkte Nutzung als auch für die Integration in andere KI-Systeme.
GPAI-Systeme können als hochriskante KI-Systeme verwendet oder in diese integriert werden. Anbieter von GPAI-Systemen
sollten mit solchen Anbietern hochriskanter KI-Systeme kooperieren, um deren Compliance zu ermöglichen.
**Alle Anbieter von GPAI-Modellen müssen (Art. 53):**
- Eine **technische Dokumentation** erstellen, einschließlich des Trainings- und Testprozesses und der Evaluationsergebnisse.
- **Informationen und Dokumentationen für nachgeschaltete Anbieter** bereitstellen, die das GPAI-Modell in ihr eigenes KI-System
integrieren möchten, damit diese die Fähigkeiten und Grenzen verstehen und in der Lage sind, die Vorschriften einzuhalten.
- Eine Strategie zur **Einhaltung der Urheberrechtsrichtlinie** festlegen.
- Eine **hinreichend detaillierte Zusammenfassung der für das Training des GPAI-Modells verwendeten Inhalte** veröffentlichen.
**Modelle mit freier und offener Lizenz** – deren Parameter, einschließlich Gewichtungen, Modellarchitektur und Modellnutzung,
öffentlich zugänglich sind und den Zugriff, die Nutzung, die Änderung und die Verbreitung des Modells erlauben – müssen nur
die letzten beiden oben genannten Verpflichtungen erfüllen, es sei denn, das quelloffene GPAI-Modell stellt ein systemisches Risiko dar.
**GPAI-Modelle gelten als systemisch, wenn die kumulierte Rechenleistung, die für ihr Training verwendet wurde, größer als 10^{25} Floating Point Operations pro Sekunde (FLOPS) ist (Art. 51).** Anbieter müssen der Kommission innerhalb von 2 Wochen mitteilen, wenn ihr Modell dieses Kriterium erfüllt (Art. 52). Der Anbieter kann Argumente dafür vorbringen, dass sein Modell trotz Erfüllung der Kriterien keine systemischen Risiken aufweist. Die Kommission kann von sich aus oder auf eine qualifizierte Warnung des wissenschaftlichen Gremiums unabhängiger Experten hin entscheiden, dass ein Modell über Fähigkeiten mit hoher Auswirkung verfügt, was es systemisch macht.
Zusätzlich zu den vier oben genannten Verpflichtungen müssen Anbieter von GPAI-Modellen mit systemischem Risiko auch (Art. 55):
- **Modellevaluierungen** durchführen, einschließlich der Durchführung und Dokumentation von **Adversarial Testing** zur
Identifizierung und Minderung systemischer Risiken.
- Mögliche **systemische Risiken und deren Quellen bewerten und mindern**.
- Schwerwiegende Vorfälle und mögliche Korrekturmaßnahmen ohne ungebührliche Verzögerung **nachverfolgen, dokumentieren und an das
KI-Büro** sowie die zuständigen nationalen Behörden melden.
- Ein angemessenes Niveau an **Cybersicherheitsschutz** gewährleisten.
Alle Anbieter von GPAI-Modellen können ihre Compliance nachweisen, wenn sie sich freivoller an Verhaltenskodizes (Codes of Practice)
halten, bis harmonisierte europäische Normen veröffentlicht werden. Die Einhaltung dieser Normen führt zu einer
Konformitätsvermutung (Art. 56). Anbieter, die sich nicht an Verhaltenskodizes halten, müssen der Kommission **alternative angemessene
Mittel zur Einhaltung** zur Genehmigung vorlegen.
**Verhaltenskodizes (Codes of Practice) (Art. 56)**
- Werden internationale Ansätze berücksichtigen.
- Werden die oben genannten Verpflichtungen abdecken, sind aber nicht zwingend darauf beschränkt. Dies betrifft insbesondere die
relevanten Informationen für die technische Dokumentation für Behörden und nachgeschaltete Anbieter, die Identifizierung
von Art und Wesen systemischer Risiken und ihrer Quellen sowie die Modalitäten des Risikomanagements unter Berücksichtigung
spezifischer Herausforderungen bei der Bewältigung von Risiken, da diese entlang der Wertschöpfungskette entstehen und sich konkretisieren können.
- Das KI-Büro kann Anbieter von GPAI-Modellen und zuständige nationale Behörden zur Teilnahme an der Ausarbeitung der Kodizes
einladen, während die Zivilgesellschaft, die Industrie, die Wissenschaft, nachgeschaltete Anbieter und unabhängige Experten
den Prozess unterstützen können.
## Governance (Kapitel VI)
- Das KI-Büro (AI Office) wird innerhalb der Kommission eingerichtet, um die effektive Umsetzung und Einhaltung der Vorschriften durch
Anbieter von GPAI-Modellen zu überwachen (Art. 64).
- Nachgeschaltete Anbieter können beim KI-Büro eine Beschwerde bezüglich Verstößen von vorgeschalteten Anbietern einreichen (Art. 89).
- Das KI-Büro kann Evaluierungen des GPAI-Modells durchführen, um (Art. 92):
o die Compliance zu bewerten, wenn die im Rahmen seiner Auskunftsrechte gesammelten Informationen nicht ausreichen.
o systemische Risiken zu untersuchen, insbesondere nach einem qualifizierten Bericht des wissenschaftlichen Gremiums
unabhängiger Experten (Art. 90).
## Zeitpläne
Nach dem Inkrafttreten wird das KI-Gesetz zu folgenden Fristen anwendbar sein:
- 6 Monate für verbotene KI-Systeme.
- 12 Monate für GPAI.
- 24 Monate für hochriskante KI-Systeme unter Anhang III.
- 36 Monate für hochriskante KI-Systeme unter Anhang I.
Verhaltenskodizes müssen 9 Monate nach dem Inkrafttreten fertiggestellt sein.