Künstliche Intelligenz: Klare Umsetzungsbedingungen der KI-VO sind entscheidend
Die neue KI-Verordnung der EU (AI Act/KI-VO) ist am 1. August 2024 in Kraft getreten. Die Verordnung sieht einen sektorübergreifenden, risikobasierten Ansatz mit vier Risikostufen für KI-Systeme vor. Dieser risikobasierte Ansatz soll verhindern, dass der Einsatz von KI die Grundrechte von EU-Bürgern einschränkt oder verletzt. Sechs Monate nach Inkrafttreten, am 2. Februar 2025, müssen verbotene KI-Anwendungen mit unannehmbar hohem Risiko abgeschaltet werden. Zwölf Monate nach Inkrafttreten, am 2. August 2025, werden die Pflichten für KI mit allgemeinem Verwendungszweck (GPAI/GenAI) wirksam und weitere zwölf Monate später, am 2. August 2026, gelten sämtliche Regelungen und Pflichten für Hochrisikosysteme aus Anhang III.
Nationale, branchenspezifische Spezifikationen der EU-Rahmenregulierung liegen noch nicht vor, aber die BaFin arbeitet seit Jahresbeginn an der nationalen finanzwirtschaftlichen Umsetzung der KI-VO. Das BSI formuliert parallel branchenspezifische Standardisierungen, auch im Rahmen von CEN/CENELEC, die bis Mai 2025 veröffentlicht werden sollen.
Konkrete Regeln und Pflichten zu KI mit allgemeinem Verwendungszweck (GPAI) werden vom neugeschaffenen AI Office in der EU-Kommission erarbeitet. Die Kommission erhielt fast 430 Einreichungen für ihre Konsultation zum bevorstehenden Verhaltenskodex für GPAI. Diese Einreichungen werden in die Fertigstellung des Kodex bis Ende April 2025 einfließen, wobei die GPAI-Bestimmungen am 2. August 2025 in Kraft treten werden. Diese Fristen erscheinen viel zu ambitioniert und greifen dennoch zu spät, denn GPAI gehören zu den beliebtesten KI-Modellen, die sich sehr rasch verbreiten.
Sämtliche Kreditinstitute setzen zunehmend KI in den verschiedensten Bereichen ein. Gleichzeitig befindet sich der regulatorische Rahmen sowohl auf europäischer als auch auf deutscher Ebene immer noch im Aufbau. Kritisch diskutierte Themen wie die grundlegende Definition von KI, die zur Inventarisierung und Risikoklassifizierung unabdingbar ist, oder der vorgeschriebene Schulungsbedarf für die Arbeit mit und die Überwachung von KI bleiben immer noch sehr vage oder sind gar umstritten. Unsere Institute fordern deshalb mehr berechenbare Planbarkeit und Rechtssicherheit sowie praktische Guidelines für den Umgang mit KI nach dem AI Act.
Unsere Positionen
Wir warnen davor, dass wichtige Punkte der KI-VO bisher ungeklärt sind. So fehlt etwa eine klare, eindeutige Definition von KI, was die Erstellung eines KI-Inventars erschwert und Auswirkungen auf das Risikomodell hat. Auch für die Schulungen von Mitarbeitenden im Umgang mit KI sowie die notwendige menschliche Überwachung von KI fehlen noch die Detailregelungen. Wir fordern deshalb zügig praxisgerechte, rechtssichere Leitplanken, die eine angemessene Umsetzung der KI-VO in den Instituten frühzeitig erleichtern.
Wir finden, dass die vorgesehenen Umsetzungsfristen der KI-VO insgesamt zu knapp bemessen sind, um eine angemessene Compliance der KI-Governance zu gewährleisten.
Wir sind der Ansicht, dass sehr umfangreiche Transparenz-, Monitoring- und Berichtspflichten für verschiedene Risikoklassen die Umsetzung erschweren und oft abschreckend wirken.
Wir stellen fest, dass allgemeine Guidelines für die praktische Nutzung und ethische Umsetzung, insbesondere für GPAI, bisher fehlen. Gerade diese KI-Modelle sind sehr beliebt und verbreiten sich schnell, sodass den zu erwartenden Codes of Practice des AI Office eine besondere Bedeutung zukommt.
Wir stellen fest, dass eine liberale Nutzung von KI zum Wohle Europas im globalen Wettbewerb mit einer restriktiven Auslegung des AI Acts nicht gewährleistet ist. Deshalb begrüßen wir den pragmatischen Ansatz der Bundesanstalt für Finanzdienstleistungsaufsicht bei der Prüfung von KI-Modellen in der Banksteuerung. KI wird hier als eine von vielen Technologien behandelt, die Banken testen und verantwortlich einsetzen.
Wir begrüßen die zu erwartende Publikation des Bundesamts für Sicherheit in der Informationstechnik zur Standardisierung, die wertvolle Unterstützung bieten kann. Dadurch kann der eigenverantwortliche Einsatz von KI unterstützt werden.