„Wir entwickeln ja gar keine KI. Der EU AI Act betrifft uns also nicht."
Diesen Satz höre ich immer wieder. Ich kann ihn gut verstehen, er klingt ja auch logisch.
Er stimmt nur leider nicht.
Der EU AI Act betrifft Sie trotzdem längst, auch wenn bei Ihnen niemand eine einzige Zeile für eine KI programmiert. Und jetzt kommt die gute Nachricht. Wie viel davon auf Sie zukommt, hängt an einer einzigen Frage: In welcher Rolle setzen Sie KI ein - als Anbieter oder Betreiber? Das ist schneller geklärt, als die meisten denken.
Anbieter oder Betreiber
Das Gesetz interessiert sich weniger dafür, welche Technik bei Ihnen läuft. Es interessiert sich dafür, in welcher Rolle Sie damit arbeiten.
Anbieter sind Sie, wenn Sie ein KI-System entwickeln oder entwickeln lassen und es unter Ihrem Namen auf den Markt bringen.
Betreiber sind Sie, wenn Sie ein fertiges System in eigener Verantwortung einsetzen: das eingekaufte CRM mit KI-Funktion, das Recruiting-Tool, ChatGPT im Vertrieb.
Der Bitkom hat Anfang des Jahres rund 600 Unternehmen ab 20 Beschäftigten befragt: 41 Prozent setzen KI aktiv ein, weitere 48 Prozent planen es. Für viele Unternehmen geht es meist nicht darum, selbst KI zu entwickeln, sondern vorhandene KI-Systeme einzusetzen.
Was daraus folgt
1. Für die meisten Unternehmen dürfte die Betreiberrolle der Normalfall sein.
Wer ein fertiges KI-System einkauft und so nutzt, wie es vorgesehen ist, übernimmt nicht automatisch die umfangreichen Pflichten des Anbieters.
Ganz ohne eigene Pflichten geht es trotzdem nicht: Wer KI einsetzt, muss unter anderem Maßnahmen zur KI-Kompetenz der beteiligten Beschäftigten ergreifen. Und je nach Anwendung können weitere Pflichten hinzukommen.
2. Wer ein KI-System verändert, kann selbst zum Anbieter werden.
Besonders relevant wird das bei Hochrisiko-KI. Artikel 25 regelt unter anderem Fälle, in denen jemand seinen Namen auf ein bestehendes Hochrisiko-System setzt, es wesentlich verändert oder die Zweckbestimmung eines bislang nicht als Hochrisiko eingestuften Systems so verändert, dass daraus ein Hochrisiko-System wird.
Ein typischer Grenzfall: Aus einem allgemein einsetzbaren KI-Werkzeug, wie z.B. ChatGPT, wird eine konkrete Anwendung zur Vorauswahl von Bewerbungen. Dann muss die Rollenfrage neu geprüft werden. Diese Entscheidung fällt übrigens selten in der IT. Sie fällt da, wo jemand sagt: Können wir das Tool nicht einfach ein bisschen anpassen?
3. Was ein System einordnet, ist der Einsatz, nicht das Produkt.
ChatGPT hat keine eigene Risikostufe. Ihr CRM auch nicht. Die EU-Verordnung kennt vereinfacht gesagt vier Stufen: minimales Risiko, begrenztes Risiko, hohes Risiko und ganz oben die wenigen Anwendungen, die verboten sind, etwa Social Scoring.
Einsortiert wird immer die konkrete Anwendung. Die Rechtschreibkorrektur in Ihrem Textprogramm ist minimales Risiko. Ein Chatbot im Kundenservice ist begrenztes Risiko, da geht es vor allem darum, dass Menschen erkennen können, dass eine KI im Spiel ist. Und dasselbe Sprachmodell, das über eine Bewerbung mitentscheidet, ist hohes Risiko, daran hängt der große Pflichtenkatalog.
Ob Sie betroffen sind, sehen Sie deshalb nicht am Werkzeug, sondern an dem, was Sie damit machen.
Wie Sie das für sich klären können
Dafür brauchen Sie keine Arbeitsgruppe, sondern eine Liste. Ich nenne so etwas ein KI-Radar und baue es mit meinen Kund:innen auf, meistens in einer schlichten Excel-Tabelle.
Fünf Aspekte sind wichtig:
- Wo wird bei Ihnen KI genutzt?
- Welches Tool steckt dahinter?
- Wofür wird es eingesetzt?
- Wer verantwortet den Einsatz?
- Was sind wir - Anbieter oder Betreiber?
Schwierig ist die KI, die niemand bewusst eingeführt hat. In vielen Systemen sind KI-Funktionen inzwischen einfach da, im CRM, in der HR-Software, im Kundenportal. Sie kamen vielleicht mit einem Update oder wurden als zusätzliche Funktion freigeschaltet und eine bewusste KI-Entscheidung hat darüber nie jemand getroffen. Genau deshalb steht diese KI häufig auf keiner Liste, obwohl sie dorthin gehört.
Neulich habe ich so ein KI-Radar mit einer kleinen Beratungsagentur aufgesetzt. Lauter Standardwerkzeuge, nichts Auffälliges. Am Ende standen doch deutlich mehr Systeme auf der Liste, als der Kunde das vorher vermutet hatte. Und bei einem davon haben wir eine Weile gebraucht, um die Rollenfrage zu beantworten.
Was aus Ihrer Rolle konkret folgt, hängt davon ab, wo Sie stehen. Deshalb steht im unten stehenden Dossier deutlich mehr:
- die Betreiberpflichten im Einzelnen
- was bei zugekauften Tools und versteckten KI-Funktionen gilt
- der Bußgeldrahmen und die Fristen
- wer in Deutschland zuständig ist und
- welche europäischen Anlaufstellen und Förderangebote es gibt.
Und wenn beim nächsten Mal jemand bei Ihnen sagt, wir entwickeln ja gar keine KI, dann kennen Sie die Frage, die danach kommt: In welcher Rolle setzen wir sie denn ein?
P.S. Wenn Sie jemanden kennen, der sich gerade mit dem EU AI Act beschäftigt und nicht weiß, wo er anfangen soll, leiten Sie den Newsletter hier weiter.
P.P.S Alle bisherigen KI-Briefings finden Sie hier: https://ki-briefing.kit.com
|
|
EU AI Act - Die Grundlagen
Eine Übersicht für alle, die die zentralen Aspekte des EU AI Act kompakt und schnell nachlesen wollen
|
Und wenn Sie mehr als nur mitlesen wollen – so kann's weitergehen:
The AI Leader
Ein persönlicher Denk- und Entscheidungsraum, um Künstliche Intelligenz einzuordnen, Verantwortung zu klären und sicher zu entscheiden. Keine Schulung, keine Tools, keine Umsetzung, sondern Orientierung auf Entscheiderebene.
The AI Organization
Ein klarer Verantwortungsrahmen für den strategischen Umgang mit KI. Für Organisationen, in denen KI bereits Thema ist, aber ohne klare Linie.
Wenn Sie einen Themenwunsch für das KI-Briefing haben – schreiben Sie mir gern: ki-briefing@digital-leader.eu
Hinweis: Dieser Beitrag ist in enger Zusammenarbeit mit KI geschrieben worden und persönlich von Dr. Beate Freuding, Geschäftsführerin von The Digital Leader, kuratiert. Der Beitrag dient der allgemeinen Information und Orientierung. Er stellt keine Rechtsberatung dar und kann eine individuelle juristische Prüfung im Einzelfall nicht ersetzen. Für Entscheidungen, die auf Basis dieses Beitrags getroffen werden, übernimmt die Autorin keine Haftung.