Ein Überblick über den EU-KI-Gesetz

Der jüngste legislative Meilenstein der Europäischen Union - die Gesetz über künstliche Intelligenz Es wird erwartet, dass es sich um den bisher weitreichendsten Rechtsrahmen für Künstliche Intelligenz handeln wird. Am 8. Dezember 2023 erzielten die europäischen Gesetzgeber eine vorläufige Einigung über das EU-KI-Gesetz. Nach dem geplanten Zeitplan soll das KI-Gesetz 2026 in Kraft treten.

Das KI-Gesetz wird mit der Datenschutz-Grundverordnung (DSGVO) verglichen, da die DSGVO weitreichende Auswirkungen auf regionale Datenschutzgesetze auch außerhalb der Europäischen Union hatte. Das KI-Gesetz stellt einen bedeutenden Schritt in der Steuerung und Regulierung von KI-Technologien innerhalb der EU dar und schafft einen Präzedenzfall mit globalen Auswirkungen.

Wie lassen sich KI-Systeme definieren?

Um eine einheitliche Definition festzulegen, die auf künftige KI-Systeme angewendet werden kann und Fehlinterpretationen vermeidet, hat das EU-Parlament die OECD-Definition übernommen. Definition eines KI-Systems:

„Ein KI-System ist ein maschinenbasiertes System, das [...] aus den empfangenen Eingaben ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert werden können, die sich auf physische oder virtuelle Umgebungen auswirken können.“

Welchen Anwendungsbereich hat der EU-KI-Gesetzentwurf?

Das KI-Gesetz ist extraterritorial und gilt für alle Organisationen und Unternehmen, die KI-Systeme entwickeln, nutzen oder einsetzen, unabhängig von ihrem Standort. Das bedeutet, dass Unternehmen und Privatpersonen das Gesetz einhalten müssen, solange diese Systeme in der Europäischen Union genutzt werden oder Auswirkungen haben. Beispielsweise muss ein US-amerikanisches Unternehmen, das ein KI-System implementiert, das Trainingsdaten von europäischen Bürgern als Eingabe verwendet, das KI-Gesetz befolgen.

Es ist wichtig zu beachten, dass das Gesetz bestimmte KI-Systeme von seinem Anwendungsbereich ausnimmt, insbesondere:

• Systeme, die ausschließlich für militärische oder Verteidigungszwecke verwendet werden
• Systeme, die ausschließlich Forschungs- und Innovationsaktivitäten gewidmet sind
• Systeme, die von Einzelpersonen aus persönlichen, nicht beruflichen Gründen betrieben werden

Das Hauptziel des Europäischen Parlaments bei der Einführung des KI-Gesetzes ist es, sicherzustellen, dass KI-Systeme mit direkten Auswirkungen innerhalb der EU sicher, transparent, nachvollziehbar, nichtdiskriminierend und umweltfreundlich sind. Darüber hinaus wird großer Wert auf die menschliche Aufsicht über diese Systeme gelegt, um das Risiko negativer Auswirkungen zu minimieren und schädliche Folgen zu verhindern.

Wie wird das KI-Risiko kategorisiert?

Zunächst einmal handelt es sich bei der EU-KI-Gesetzgebung um einen risikobasierten Rechtsrahmen, da für verschiedene Risikostufen unterschiedliche Regeln gelten. Diese Risiken werden nach dem Grad der Bedrohung, die sie für die Gesellschaft darstellen, kategorisiert: inakzeptabel, hohes Risiko und begrenztes Risiko.

Unakzeptables Risiko KI-Systeme

KI-Systeme, die als inakzeptables Risiko eingestuft werden, sind absolut verboten. Dazu gehören:

• Soziales Scoring: Kategorisierung von Personen anhand ihres Verhaltens, ihres sozioökonomischen Hintergrunds oder ihrer persönlichen Merkmale.
• Nutzung biometrischer Identifizierung: Dazu gehören Gesichtserkennung, Fingerabdrücke und andere biometrische Merkmale für verschiedene Zwecke. Ausnahmen gelten für die Verfolgung schwerer Straftaten, jedoch nur mit vorheriger richterlicher Genehmigung.
• Manipulation durch kognitives Verhalten: Szenarien wie sprachgesteuerte Spielzeuge, die bei Kindern zu riskanten Handlungen verleiten oder gefährdete Gruppen ins Visier nehmen könnten.

Hochrisiko-KI-Systeme

Die Europäische Union stuft KI-Systeme aufgrund ihrer potenziellen Auswirkungen auf die Sicherheit oder Grundrechte als risikoreich ein. Sie lassen sich in zwei Hauptkategorien einteilen: KI-Systeme, die in EU-regulierten Produkten wie Luftfahrtausrüstung, Autos, Spielzeug und Medizinprodukten eingesetzt werden, und solche, die in acht spezifischen Bereichen wie Strafverfolgung, kritischer Infrastruktur sowie Migrations-, Asyl- und Grenzkontrollmanagement zum Einsatz kommen.

Es ist wichtig zu beachten, dass risikoreiche KI-Systeme vor ihrer Markteinführung einer gründlichen Bewertung unterzogen werden müssen. Darüber hinaus müssen ihre Leistung und die Einhaltung von Standards während ihres gesamten Lebenszyklus kontinuierlich überwacht werden, um ihre Sicherheit und Vereinbarkeit mit den Grundrechten zu gewährleisten.

KI-Systeme mit begrenztem Risiko

Systeme mit geringem Risiko, wie generative KI (z. B. ChatGPT) und Deepfakes, müssen grundlegende Transparenzstandards erfüllen. Sie müssen Nutzer darauf hinweisen, dass sie mit einem KI-System interagieren, damit diese nach einer ersten Interaktion entscheiden können, ob sie die Anwendung weiterhin nutzen möchten. Dies gilt insbesondere für Anwendungen, bei denen KI zur Generierung oder Manipulation von Bild-, Audio- oder Videoinhalten wie Deepfakes eingesetzt wird.

Welche Strafen und Compliance-Anforderungen gibt es?

Wie bereits erwähnt, unterliegen KI-Systeme mit inakzeptablem Risiko und hohem Risiko strengen Anforderungen. Künstliche Intelligenz, die ein inakzeptables Risiko darstellt, ist absolut verboten und wird mit hohen Geldstrafen belegt. Darüber hinaus umfassen Systeme mit hohem Risiko strenge Sicherheitsprüfungen. Konformitätsanforderungen wie beispielsweise obligatorische Folgenabschätzungen für Grundrechte, die Registrierung in öffentlichen EU-Datenbanken und die Verpflichtung, Erläuterungen zu KI-gestützten Entscheidungen abzugeben, die die Rechte der Bürger beeinträchtigen.

Andererseits sind KI-Systeme mit begrenzten Risikoverpflichtungen relativ leichtgewichtig und konzentrieren sich hauptsächlich auf Transparenz, wie z. B. die angemessene Kennzeichnung von Inhalten, die Information der Benutzer bei der Interaktion mit der KI sowie Transparenz durch Zusammenfassungen der Trainingsdaten und technische Dokumentation.

Die Geldbußen für Verstöße gegen das Gesetz werden auf der Grundlage eines Prozentsatzes des weltweiten Jahresumsatzes des Zuwiderhandelnden im vorangegangenen Geschäftsjahr oder eines festen Betrags berechnet, je nachdem, welcher Betrag höher ist:

• 35 Millionen Euro oder 7 % für die Nutzung verbotener KI-Anwendungen
• 15 Millionen Euro oder 3 % wegen Verstoßes gegen die Verpflichtungen des Gesetzes
• 7,5 Millionen Euro bzw. 1,5 % wegen der Bereitstellung falscher Informationen

Anmerkung: Für kleine und mittlere Unternehmen (KMU) sowie Startups gelten verhältnismäßige Obergrenzen für Verwaltungsstrafen.

Wie kann Cyera Sie bei der Vorbereitung auf die EU-KI-Gesetzgebung unterstützen?

Die Datensicherheitsplattform von Cyera ermöglicht es Ihnen, die Risiken von Trainingsdaten, die von KI-Systemen verwendet werden, zu erkennen, zu klassifizieren und zu bewerten. Durch die kontinuierliche Bewertung von Trainingsdaten unterstützt Cyera Unternehmen dabei, ihre KI-Systeme besser zu verstehen und abzusichern, um sie auf die EU-KI-Richtlinie vorzubereiten.

Ganzheitliche Sichtbarkeit

Cyera identifiziert und analysiert Speicherort, Klassifizierung, Sensibilität und damit verbundene Risiken von Trainingsdaten. Die Plattform lokalisiert die Speicherorte von Trainingsdaten in verschiedenen Organisationsstrukturen und hilft Ihnen so, eine einheitliche Sicht auf die von KI-Systemen verwendeten Daten zu schaffen.

Risikobewertung

Cyera bewertet die Risiken anhand des Dateninhalts und der Datenumgebung. Beispielsweise informiert Cyera Sie darüber, ob Trainingsdaten personenbezogene Daten (PII) enthalten, ob sie allgemein zugänglich sind und ob die Daten sowohl real als auch im Klartext vorliegen, was das Risiko dieser Daten erhöht.

Darüber hinaus berechnet Cyera das Risiko von Trainingsdaten, indem es die Umgebung, in der die Daten gespeichert sind, analysiert. Beispielsweise können die mit diesen Daten verbundenen Risiken erhöht sein, wenn die Daten unsachgemäß in unsicheren Umgebungen gespeichert werden oder die Protokollierung deaktiviert ist.

Governance

Cyera ermöglicht die Überprüfung der Konfigurationseinstellungen von Datenspeichern mit Trainingsdaten sowie die Aktivierung von Richtlinien und das Auslösen von Warnmeldungen bei verdächtigen Aktivitäten. Verschiebt beispielsweise jemand die Daten in eine nicht autorisierte Umgebung, wird eine Warnmeldung an die zuständigen Sicherheitsanalysten zur Überprüfung und zum Eingreifen gesendet. Cyera bietet zudem eine umfassende Überprüfung aller Zugriffsberechtigten auf Trainingsdaten und dokumentiert detailliert die Berechtigungen jedes Benutzers sowie den jeweiligen Zugriffszweck.

Abschluss

Während die Entwicklungen rund um das EU-KI-Gesetz weiter voranschreiten, wird es nach seinem Inkrafttreten zweifellos einen globalen Standard für die KI-Regulierung setzen. Es schafft ein Gleichgewicht zwischen dem Innovationsbedarf und den Geboten von Sicherheit, Datenschutz und ethischen Grundsätzen. Die in diesem Gesetz vorgesehenen strengen Strafen zwingen Betreiber von KI-Systemen zur Einhaltung der Bestimmungen.

Cyera versetzt Sicherheitsteams in die Lage, den Speicherort ihrer Daten zu ermitteln, Risiken zu erkennen und umgehend Maßnahmen zur Behebung von Schwachstellen sowie zur Sicherstellung der Compliance zu ergreifen, ohne den Geschäftsbetrieb zu beeinträchtigen. Cyera bietet eine moderne Lösung für ein modernes Problem: Unternehmen dabei zu unterstützen, die von KI-Systemen genutzten und generierten Daten zu verstehen und zu schützen.

Um mehr darüber zu erfahren, wie Cyera Sie bei der Verwaltung der mit Ihren KI-Systemen verbundenen Daten unterstützen kann, Zeitplan Heute eine Demo.