Bereit für den EU AI Act

Für KI-Systeme mit begrenztem Risiko gelten Transparenzpflichten: Nutzer müssen in bestimmten Fällen erkennen können, dass sie mit KI interagieren oder dass Inhalte künstlich erzeugt wurden.

Hauptpflichten

1. Interaktion mit Personen
   • Bei Chatbots und ähnlichen Systemen muss klar erkennbar sein, dass die Person mit KI spricht.
   • Ausnahme: wenn es ohnehin offensichtlich ist (z. B. Siri, Alexa).
2. Synthetische Inhalte (Audio, Bild, Video, Text)
   • Anbieter müssen Ausgaben des KI-Systems maschinenlesbar kennzeichnen (z. B. Wasserzeichen, Metadaten).
   • Betreiber müssen Deepfakes für Nutzer sichtbar offenlegen.
   • Ausnahmen gelten u. a. für Strafverfolgung oder künstlerische Werke.
3. KI-generierte Texte zu öffentlichen Themen
   • Müssen als KI-generiert offengelegt werden, sofern sie veröffentlicht werden.
   • Keine Offenlegung nötig, wenn es eine redaktionelle Kontrolle gibt.
4. Emotionserkennung & biometrische Kategorisierung
   • Betroffene Personen müssen über den Einsatz solcher Systeme informiert werden.
   • Ausnahme: gesetzlich erlaubte Nutzung für Strafverfolgung.

Unterschied: synthetische Inhalte vs. Deepfakes

• Synthetisch = von KI erzeugt, egal wie realistisch.
• Deepfake = KI-generiert und realistisch genug, um als echt wahrgenommen zu werden.
• Jeder Deepfake ist synthetisch, aber nicht jeder synthetische Inhalt ist ein Deepfake.

https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/Transparenzpflichten.de.html 

KI-Modelle mit allgemeinem Verwendungszweck (GPAI) – oft auch Foundation Models genannt – sind Modelle, die viele verschiedene Aufgaben erfüllen können (z. B. große Sprachmodelle wie GPT, Llama, Mixtral). Sie verarbeiten große Mengen Text, Bilder oder Audio und dienen häufig als Basis für spezialisierte KI-Systeme.

Der AI Act unterscheidet klar zwischen:

• KI-Modellen (GPAI)
• KI-Systemen (Modelle + zusätzliche Komponenten wie UI)

Nur GPAI-Modelle fallen in den Anwendungsbereich der entsprechenden Model-Pflichten des AI Act (Art. 53 ff.).

GPAI vs. generative KI

• GPAI = vielseitige Modelle für viele Aufgaben
• Generative KI = Unterkategorie von GPAI, spezialisiert auf das Erzeugen von Inhalten (z. B. Texte, Bilder)

GPAI-Modelle mit systemischem Risiko

Ein GPAI-Modell gilt als systemisch riskant, wenn:

1. es hochwirksame Fähigkeiten hat, erkennbar u. a. am extrem hohen Trainingsaufwand (Richtwert: > 10²⁵ FLOPs), oder
2. die EU-Kommission / ein wissenschaftliches Gremium es als riskant einstuft.

Solche Modelle können erhebliche Auswirkungen auf Gesundheit, Sicherheit, Grundrechte oder den EU-Binnenmarkt haben.

Bewertung eines systemischen GPAI-Modells

Einbezogen werden u. a.:

• Zahl der Parameter
• Datensatzgröße
• Trainingsaufwand (FLOPs, Zeit, Energie)
• Modalitäten (Text, Bild, multimodal)
• Benchmarks und Fähigkeiten
• Nutzerzahlen (z. B. > 10.000 gewerbliche Nutzer in der EU)

Pflichten für Anbieter

• Für alle GPAI: Dokumentations- und Informationspflichten (Art. 53).
• Für systemische GPAI: zusätzliche strenge Vorgaben zur Risikoanalyse und -minderung (Art. 55).

Die EU stellt Leitlinien und Vorlagen zur Verfügung, um Anbieter bei der Umsetzung zu unterstützen.

https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/risikostufen_ki-systeme.de.html 

Mit 2. Februar 2025 treten erste Bestimmungen des AI Act in Kraft – darunter die Pflicht zur KI-Kompetenz nach Art. 4. Diese Verpflichtung gilt für alle Anbieter und Betreiber von KI-Systemen, unabhängig von Systemtyp oder Risikoklasse.

Was bedeutet KI-Kompetenz?

Laut Art. 3 Z 56 AI Act umfasst KI-Kompetenz:

• Fähigkeiten, Kenntnisse und Verständnis,
• um KI-Systeme sachkundig einzusetzen,
• Chancen und Risiken von KI einschätzen zu können,
• und mögliche Schäden zu erkennen.

Sie betrifft Anbieter, Betreiber und betroffene Anwender, jeweils angepasst an ihre Rolle und Verantwortung.

Pflichten nach Art. 4 AI Act

Unternehmen müssen Maßnahmen setzen, damit Personal und externe Personen, die KI nutzen oder betreiben:

• über ausreichende KI-Kompetenz verfügen,
• bezogen auf technische Kenntnisse, Erfahrung, Ausbildung und Einsatzkontext.

Der AI Act schreibt nicht vor, wie die Schulungen auszusehen haben – möglich sind interne Trainings, e-Learnings oder externe Angebote.

Beispiele für relevante Kompetenzbereiche

• Grundverständnis von KI und Funktionsweisen (z. B. Bias, Halluzinationen)
• Kenntnis von Chancen und Risiken
• Anwendung unternehmensinterner KI-Systeme
• Rechtliche Grundlagen (Datenschutz, Urheberrecht, AI Act)
• ethische und sicherheitsrelevante Aspekte
• digitale Grundkompetenzen (z. B. DigComp-Framework)

Betroffene Personengruppen

• Entwickler:innen von KI
• Betreiber:innen von KI-Systemen
• alle Mitarbeitenden, die KI nutzen
• ggf. externe Dienstleister mit KI-Bezug

Sanktionierung

Der AI Act selbst sieht keine direkten Strafen für Verstöße gegen Art. 4 vor.
Aber: Fehlende Schulung kann als Verletzung der Sorgfaltspflicht gelten und haftungsrechtliche Konsequenzen haben (z. B. nach § 1313a ABGB).

Umsetzung im Unternehmen

Unternehmen sollten zwei Schritte starten:

1. Bestandsaufnahme
   • Welche KI-Systeme werden bereits genutzt?
   • Auch Standardsoftware und Updates berücksichtigen.
2. Strategische KI-Ausrichtung definieren
   • Wie soll KI genutzt werden?
   • Wie passt KI zu Datenschutz, IT-Sicherheit, ESG usw.?
   • Wer entscheidet über Einsatz, Entwicklung und Beschaffung?
   • Wie wird KI-Kompetenz sichergestellt?

Empfehlenswert: interne KI-Richtlinie, klare Rollen, Abläufe und Kommunikationswege.

Operative Umsetzung

• Inhalte je nach Zielgruppe anpassen (Führungskräfte, Entwickler, Nutzer)
• Schulungsformate flexibel gestalten (Workshop, e-Learning, Austauschformate)
• regelmäßige Evaluierung und Testen neuer Systeme
• interdisziplinäre Zusammenarbeit (Technik, Recht, IT-Sicherheit, HR etc.)

Dokumentation

Um die Erfüllung von Art. 4 nachweisen zu können:

• KI-Strategie und KI-Richtlinie schriftlich festhalten
• Schulungen dokumentieren (Art, Inhalt, Anbieter, Zeitpunkt, Wiederholungen)

Bezug zu digitalen Kompetenzen

KI-Kompetenz baut auf digitalen Grundkompetenzen auf und ist eng damit verknüpft.

Möchten Sie Mikis als datensichere KI-Plattform in Ihrer Organisation testen?
Kontaktieren Sie uns – wir zeigen Ihnen konkrete Anwendungsfälle und Sicherheitsarchitekturen.

Kontakt Datenschutz-Demo anfordern