Erste Umsetzungsschritte zum AI Act

Der AI Act der Europäischen Union trat zwar mit 01.08.2024 in Kraft, zahlreiche seiner Bestimmungen, Verbote, Pflichten, Rechte und Zuständigkeiten treten jedoch erst schrittweise in Kraft. Manche Übergangsbestimmungen laufen erst bis Ende 2030 aus.

Unternehmen müssen sich bereits jetzt in einigen Bereichen vorbereiten, um am 02.02.2025 nicht noch auf dem falschen Fuß erwischt zu werden.

Verbote

Der AI Act enthält eine Liste an verbotenen Praktiken, die ab 02.02.2025 gilt. Manche davon betreffen die Mitgliedstaaten selbst, aber viele kommen auch in Unternehmen zum Einsatz. Wer Systeme zu den darin genannten Zwecken im Unternehmen nutzt, muss sich bis dahin nach Alternativen umschauen, um rechtzeitig ohne diese verbotenen Praktiken auszukommen:

• Unterschwellige Beeinflussung
• Ausnutzung von persönlichen Schwächen zur Beeinflussung von Personen
• Social Scoring
• Predictive Policing
• Echtzeit-Gesichtserkennung mit Überwachungsbildern an öffentlichen Orten zu Zwecken der Strafverfolgung - mit eng eingegrenzten Ausnahmen
• Erstellung oder Erweiterung von Datenbanken zur Gesichtserkennung durch Data Scraping aus dem Internet oder von Überwachungskameras
• Kategorisierung von Personen nach sensiblen Daten, im Sinne der DSGVO, durch Auswertung biometrischer Marker
• Auswertung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen - dies ist beispielweise auch nicht in Callcentern erlaubt.

Verboten sind ab Februar das Inverkehrbringen, die Inbetriebnahme und auch die Verwendung von AI-Systemen, die auf diese Zwecke ausgelegt sind. Gleichfalls fällt die Nutzung von Systemen zu diesen Zwecken unter das Verbot, selbst wenn diese ursprünglich für andere Zwecke gedacht waren. Wer also noch AI-Systeme für diese Zwecke nutzt, muss sich dringend Alternativen überlegen.

AI Literacy | KI-Kompetenz

Auch wenn es unter einem weniger dramatisch klingenden Titel läuft, tritt mit 02.02.2025 eine Bestimmung in Kraft, die in vielen Unternehmen Handlungsbedarf eröffnet: Artikel 4 des AI Act enthält die Verpflichtung, bei den eigenen Mitarbeitern ausreichende Kompetenz im Umgang mit künstlicher Intelligenz sicherzustellen.

Dies betrifft nicht nur die IT-Abteilung und das Management, sondern all jene Mitarbeiter, die im Rahmen ihrer Aufgaben Systeme mit künstlicher Intelligenz nutzen, gleich welcher Organisationseinheit sie zugeteilt sind. Was heißt dies nun?

Damit ist nicht gemeint, dass nur Spezialisten für neuronale Netzwerke und Deep Learning mit AI-Systemen arbeiten dürfen. Jedoch müssen alle Mitarbeiter, die mit solchen Systemen arbeiten, ein Verständnis für die Möglichkeiten und Risiken sowie ihre jeweiligen unternehmensinternen Verpflichtungen im Umgang mit künstlicher Intelligenz entwickeln. Dies hat angepasst auf die jeweiligen Erfahrungen, die Ausbildung, das verwendete System und den Tätigkeitsbereich sowie insbesondere den von dem AI-System betroffenen Personenkreis stattzufinden.

Dazu gehört gerade bei Mitarbeitern ohne entsprechenden technischen Hintergrund die Warnung vor Halluzinationen von Chat GPT und anderen LLMs, ein Verständnis für die allgemeinen Entscheidungsgrundlagen bei Analysesystemen, die Gefahren von blindem Vertrauen in das Ergebnis, wenn dieses nur einen Entscheidungsfaktor bieten soll etc. Auch Überschneidungen mit Themen in den Bereichen DSGVO und Cybersicherheit müssen dabei bedacht werden.

Dazu sind in vielen Fällen Policies und Handlungsanleitungen zu erstellen oder Schulungen durchzuführen. Was immer gilt, ist auch hier zu beachten: Man muss Systeme kennen, die im eigenen Unternehmen eingesetzt werden.

Was Sie als geeignete Maßnahmen einführen können, hängt hochgradig von Ihrem Unternehmen, den verwendeten System und den Mitarbeitern ab. Um die Verpflichtung ab Februar einzuhalten, raten wir dazu, spätestens jetzt mit der Vorbereitung und vielleicht schon den ersten Schulungsmaßnahmen zu beginnen. Wir können Ihnen dabei die notwendige rechtliche Unterstützung liefern.

Aufsichtsbehörden

Mit 02.11.2024 sind die EU-Staaten verpflichtet, jene Behörden und öffentlichen Stellen bekanntzumachen, die mit Aufsichts- oder Durchsetzungsbefugnissen für Grundrechte und EU-Recht ausgestattet sind. Für Österreich wurden die folgenden Stellen benannt:

Allgemein:

• Volksanwaltschaft

Datenschutz:

• Datenschutzbehörde (DSB)

Gleichbehandlung:

• Gleichbehandlungskommission und Gleichbehandlungsanwaltschaft;
• Behindertenanwaltschaft

Kinderschutz:

• Volksanwaltschaft

Medienaufsicht:

• KommAustria für Meinungsfreiheit im Bereich Medien und Onlineplattformen

Wahlaufsicht:

• Wahlbehörden

Arbeitsrecht:

• Arbeiterkammern

Ombudsstellen:

• Patientenanwaltschaften

Konsumentenschutz:

• Bundesamt für Eich- und Vermessungswesen;
• Bundeskartellanwalt;
• Bundesamt für Sicherheit im Gesundheitswesen;
• Fernmeldebüro;
• Schienen-Control GmbH, Agentur für Passagier- und Fahrgastrechte;
• Finanzmarktaufsicht;
• Aufsichts- und Regulierungsbehörde für Energie;
• Aufsichts- und Regulierungsbehörde für Telekommunikation und Post;
• Arbeiterkammern

In ihren jeweiligen Bereichen werden diese Stellen ermächtigt, die Aufsichtsbefugnisse aus dem AI Act wahrzunehmen, insb. Dokumentation anzufordern. Diese Stellen sind dann dazu berechtigt, beim Bundesamt für Eich- und Vermessungswesen als Marktüberwachungsbehörde die Überprüfung von AI-Systemen auf ihre Compliance mit dem AI Act zu überprüfen.