EU-KI-Gesetz und Risikoklassen

Gewinne:

• Anerkennung der vier Risikoklassen und verbotenen Praktiken des EU-KI-Gesetzes
• Angemessene Bewertung, in welche Risikokategorie eine Verwendung fällt
• Verstehen Sie, warum sich hohe Risiken und allgemeine KI-Verpflichtungen auf türkische Unternehmen auswirken

Das EU-Gesetz über künstliche Intelligenz (EU-KI-Gesetz), das 2024 in Kraft tritt, ist die weltweit erste umfassende KI-Verordnung und seine Wirkung reicht weit über die Grenzen der Europäischen Union hinaus. Dieses Gesetz kann für ein Unternehmen mit Sitz in der Türkei, das den EU-Markt bedient, EU-Kunden hat oder Produkte in die EU verkauft, unmittelbar bindend sein. In dieser Einheit lernen Sie die Grundlogik des Gesetzes kennen – seinen risikobasierten Ansatz – mit seinen vier Klassen, verbotenen Praktiken und risikoreichen Verbindlichkeiten; Wir werden versuchen zu bewerten, in welche Box eine Nutzung fällt.

Grundgedanke: Je höher das Risiko, desto strenger die Regel

Das EU-KI-Gesetz wirft nicht alle KI in einen Topf. Es unterteilt ein künstliches Intelligenzsystem entsprechend seinem potenziellen Schaden in vier Kategorien und erlegt jeder Kategorie unterschiedliche Verpflichtungen auf. Eine Musikempfehlung birgt nicht das gleiche Risiko wie ein Einstellungsprüfungssystem; Das Gesetz wendet nicht die gleiche Regel auf sie an. Dieser risikobasierte Ansatz ist das Rückgrat des Gesetzes.

Risikoklasse

Bedeutung

Beispiel

Regel

Verboten (inakzeptabel)

Offene Bedrohung der Grundrechte

Social Scoring, unbewusste Manipulation

totales Verbot

hohes Risiko

Es beeinträchtigt das menschliche Leben erheblich

Personalbeschaffung, Kredit, Gesundheitswesen, Bildung, kritische Infrastruktur

Gefährdungshaftung

begrenztes Risiko

Erfordert Transparenz

Chatbot, Deepfake, KI-Inhalte

Die Angabe ist Pflicht

minimales Risiko

Unbedeutendes Risiko

Spamfilter, Spiel-KI, Empfehlungsmaschine

kostenlos

Verbotene Apps: rote Linie

Einige Anwendungen von KI gelten als so schädlich, dass sie nicht freigegeben werden können, egal wie stark das Risiko reduziert wird. Diese gehören zur Kategorie „Verboten“ (inakzeptables Risiko):

• Staatlich gefördertes Social Scoring (Personen nach Verhalten/Eigenschaften bewerten und benachteiligen).
• Systeme, die das Unterbewusstsein von Menschen manipulieren und Schaden anrichten.
• Systeme, die Schwachstellen wie Alter und Behinderung ausnutzen.
• Bestimmte biometrische Echtzeit-Identifizierungs- und Massenüberwachungsanwendungen (mit wenigen Ausnahmen).
• Spezifische Anwendungen wie Emotionserkennung am Arbeitsplatz und in der Bildung.

Achtung: Die Tatsache, dass eine Verwendung in die Kategorie „verboten“ fällt, ist kein Hindernis, das mit der Aussage „Ich habe einen guten Grund“ überwunden werden kann. Diese Praktiken sind völlig verboten; auch mit risikomindernden Maßnahmen nicht gelöst werden können. Als erstes muss geprüft werden, ob das Projekt in dieser Liste enthalten ist.

Verbindlichkeiten mit hohem Risiko

Hochrisikosysteme sind nicht verboten, unterliegen jedoch strengen Auflagen. Typische Hochrisikobereiche: Personalbeschaffung und Mitarbeitermanagement, Kredit und Versicherungen, Bildung und Prüfungsbewertung, Gesundheitswesen, kritische Infrastruktur, Strafverfolgung und Einwanderung. Typische Pflichten in diesen Systemen:

1. Aufbau und Aufrechterhaltung eines Risikomanagementsystems.
2. Datenqualität und Bias-Management (repräsentativ und genau für Trainingsdaten).
3. Technische Dokumentation und Aufzeichnung (Rückverfolgbarkeit).
4. Transparenz und Bereitstellung von Informationen für den Benutzer.
5. Menschliche Kontrolle (menschliche Fähigkeit einzugreifen und außer Kraft zu setzen).
6. Genauigkeit, Robustheit und Cybersicherheitsgarantien.

Verpflichtungen zur allgemeinen KI (GPAI).

Das Gesetz erlegt spezifische Transparenz- und Dokumentationspflichten für Allzweck-KI-Modelle (GPAI) – also Mehrzweck-Basismodelle wie große Sprachmodelle – sowie für einzelne Verwendungen auf: Bereitstellung von Zusammenfassungen zu Trainingsdaten, Richtlinie zur Einhaltung von Urheberrechten, zusätzliche Bewertung für Modelle mit systemischem Risiko. Wenn eine Organisation diese Modelle in ihr eigenes Produkt einbettet, können sich einige dieser Verbindlichkeiten in der Kette widerspiegeln.

drei Mini-Koffer

Fall 1 – Rekrutierungsscreening (hohes Risiko). Ein Softwareunternehmen in Izmir entwickelt eine Rekrutierungsplattform für EU-Unternehmen. Das System bewertet und eliminiert Kandidaten automatisch. Dies ist ein Bereich, der laut Gesetz eindeutig ein hohes Risiko darstellt. Unternehmen; müssen die Datenqualitäts-, Bias-Test-, Personalprüfungs- und Dokumentationspflichten erfüllen. Das Argument „Wir sind in der Türkei, das bindet uns nicht“ ist ungültig; Da das System auf dem EU-Markt eingesetzt wird, gilt das Gesetz.

Fall 2 – Kunden-Chatbot (begrenztes Risiko). Eine E-Commerce-Website setzt einen Chatbot ein, der ihre EU-Kunden bedient. Dies liegt in der Kategorie mit begrenztem Risiko; Die Hauptpflicht besteht in der Transparenz: Dem Nutzer muss klar mitgeteilt werden, dass „man mit einer künstlichen Intelligenz spricht“. Dies zu verbergen ist ein Verstoß; Es genügt die Angabe.

Fall 3 – Annäherung an die verbotene Linie. Eine Einzelhandelskette möchte die emotionalen Reaktionen der Kunden mithilfe von Filialkameras analysieren und eine Bewertung für „potenzielle Ladendiebe“ abgeben. Dies fällt sowohl bei der Emotionserkennung als auch bei der Bewertung in den verbotenen/sehr hohen Risikobereich. Das Rechtsteam stoppt das Projekt in der Entwurfsphase; Es ist klar, dass es auch mit risikomindernden Maßnahmen nicht umsetzbar ist.

Tipp: Die erste Frage beim Start eines neuen KI-Projekts lautet: „Wie nützlich ist das?“ sondern vielmehr: „In welche Risikoklasse fällt das?“ sollte sein. Durch die Klassifizierung von vornherein wird vermieden, dass Ressourcen für ein Projekt verschwendet werden, das später abgebrochen wird.

Kopierbare Vorlagen

VORLAGE 1 – Vorläufige Bewertung der Risikoklasse: „Bewerten Sie vorab die folgende KI-Nutzung gemäß dem EU-KI-Gesetz: [Beschreiben Sie die Verwendung]. Geben Sie mit Begründung an, in welche Risikoklasse (verboten/hoch/begrenzt/minimal) sie fallen könnte. Markieren Sie die Punkte, bei denen Sie sich nicht sicher sind, als „rechtliche Bestätigung erforderlich“; treffen Sie kein endgültiges rechtliches Urteil.“

VORLAGE 2 – Scannen verbotener Anwendungen: „Scannen Sie die folgende Projektidee nur anhand der Liste „Verbotene Anwendungen des EU-KI-Gesetzes“: [Beschreiben Sie das Projekt]. Besteht ein Risiko in Bezug auf soziale Bewertung, unbewusste Manipulation, Ausnutzung von Schwachstellen, unbefugte biometrische Überwachung, Emotionserkennung? Schreiben Sie in jede Überschrift „Ja/Nein“ und eine Begründung.“

VORLAGE 3 – Haftungscheckliste mit hohem Risiko: „Für diesen risikoreichen KI-Einsatz erstellt [beschreiben Sie den Einsatz] eine Tabelle „Was ist unsere aktuelle Situation, was fehlt?“ über sechs Haftungsüberschriften (Risikomanagement, Datenqualität, Dokumentation, Transparenz, menschliche Prüfung, Robustheit). Schlagen Sie in jeder Zeile eine konkrete Maßnahme vor.“

VORLAGE 4 – Transparenzbenachrichtigung (begrenztes Risiko): „Für einen Chatbot, der EU-Benutzer bedient, schreiben Sie eine kurze ‚Sie sprechen mit AI‘-Benachrichtigung, die dem Benutzer angezeigt wird. Einfach, beruhigend, maximal 2 Sätze. Fügen Sie die Option hinzu, zu einem menschlichen Agenten zu wechseln.“

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

SCHWACH: „Betrifft uns das EU-KI-Gesetz?“ -> Das Modell gibt eine allgemeine Antwort; Es erfolgt keine Einstufung Ihrer konkreten Verwendung, keine Bewertung Ihrer Verbindung zum EU-Markt. GÜÇLÜ: „Wir sind ein Unternehmen mit Sitz in Izmir, wir verkaufen Rekrutierungs- und Screening-KI an ein Unternehmen in Deutschland. Welche Risikoklasse fällt dieser Einsatz unter das EU-KI-Gesetz, welche Pflichten fallen uns zu und warum befreit uns der Aufenthalt in der Türkei nicht? Markieren Sie, wo Sie sich nicht sicher sind.“ -> Das Modell erstellt eine kontextspezifische Klassifizierungs- und Haftungsliste.

Häufige Fehler

• Denken: „Wir sind in der Türkei, EU-Recht bindet uns nicht“; Es reicht jedoch aus, den EU-Markt zu berühren.
• Risikoklassifizierung nach der Entwicklung des Projekts vornehmen; Dies sollte jedoch zunächst geschehen.
• Eine verbotene Praxis als ein Hindernis zu verwechseln, das mit „guter Begründung“ überwunden werden kann.
• Umgehen der Transparenzberichterstattung in Systemen mit begrenztem Risiko (wodurch der Bot wie ein Mensch aussieht).
• Vernachlässigung der menschlichen Prüfung und des Voreingenommenheitsmanagements bei Hochrisikoverbindlichkeiten.
• Dabei wird übersehen, dass Verbindlichkeiten im Bereich der allgemeinen KI (GPAI) möglicherweise Auswirkungen auf die gesamte Kette haben.
• Austausch des EU-KI-Gesetzes mit der KVKK; Sie sind unterschiedlich, ergänzen sich aber.

Zusammenfassend

• Das EU-KI-Gesetz verfolgt einen risikobasierten Ansatz und unterteilt KI in vier Klassen: verboten, hoch, begrenzt, minimal.
• Verbotene Praktiken (Social Scoring, Manipulation etc.) können auch bei Risikominderung nicht freigegeben werden.
• Hochrisikosysteme; Es unterliegt strengen Verpflichtungen wie Risikomanagement, Datenqualität, menschliche Kontrolle und Dokumentation.
• In Systemen mit begrenztem Risiko besteht die Hauptpflicht in der Transparenz (Meldung, dass KI vorhanden ist).
• Auch türkische Unternehmen, die den EU-Markt berühren, sind von dem Gesetz betroffen; Die Klassifizierung sollte gleich zu Beginn des Projekts erfolgen.

Anwendungsaufgabe

Betrachten Sie drei verschiedene Einsatzmöglichkeiten von KI, die Ihre Organisation (oder ein fiktives Unternehmen) im Zusammenhang mit dem EU-Markt nutzen könnte. Ordnen Sie sie jeweils einer der vier Risikoklassen des EU-KI-Gesetzes zu und schreiben Sie Ihre Begründung. Tragen Sie die sechs risikoreichen Verpflichtungen für die Verwendung, die Sie als das höchste Risiko empfinden, in ein Kontrolldiagramm ein: Füllen Sie die Spalten „aktueller Status“ und „unvollständig/Maßnahme“ aus. Verfassen Sie eine Transparenzerklärung, die dem Benutzer für eine Verwendung angezeigt wird, die in die Kategorie „begrenztes Risiko“ fällt. Wenn sich eine Ihrer Verwendungen schließlich der verbotenen Grenze nähert, notieren Sie dies und warum.

Checkliste

• [ ] Ich habe jeden Einsatz von KI einer von vier Risikoklassen zugeordnet.
• [ ] Ich habe meine Projekte anhand der Liste der verbotenen Anwendungen überprüft.
• [ ] Ich habe ein Haftungskontrolldiagramm für die Nutzung mit hohem Risiko erstellt.
• [ ] Ich habe Human Auditing und Bias Management in die Pflichten aufgenommen.
• [ ] Ich habe eine Transparenzerklärung für die Verwendung mit begrenztem Risiko erstellt.
• [ ] Ich verstehe, warum meine Verbindung zum EU-Markt das Gesetz ausgelöst hat.
• [ ] Ich habe die Risikoklassifizierung zu Beginn des Projekts vorgenommen, nicht am Ende.