Die EU-KI-Verordnung und die notwendigen Maßnahmen für japanische Unternehmen

Am 12. Juli 2024 (Reiwa 6) wurde in der EU das “AI-Regulierungsgesetz (EU AI Act)” veröffentlicht, das ab dem 1. August desselben Jahres in Kraft trat.
Dieses Gesetz regelt die Nutzung und Bereitstellung von KI-Systemen innerhalb der EU und wird ab 2025 auch von japanischen Unternehmen bestimmte Maßnahmen verlangen.

Konkret bedeutet dies, dass ähnlich wie Betreiber von E-Commerce-Websites in Japan, die sich an die “Allgemeine Datenschutzverordnung (GDPR)” der EU halten müssen, auch japanische Unternehmen, die KI-bezogene Produkte oder Dienstleistungen für Kunden innerhalb der EU anbieten, unter Umständen dem EU AI-Regulierungsgesetz unterliegen könnten.

Hier erläutern wir, welche Anforderungen das Gesetz an die betroffenen Unternehmen stellt, einschließlich der Risikoklassifizierung von KI-Systemen und der Bewertung ihrer Konformität, um den Vorschriften zu entsprechen.

Grundlagen: Der Unterschied zwischen “Verordnungen” und “Richtlinien” im EU-Recht

Bevor wir das AI-Regulierungsgesetz selbst erläutern, müssen wir zunächst den Unterschied zwischen “Verordnungen” und “Richtlinien” im EU-Recht verstehen.

Zunächst sind “Verordnungen” Rechtsakte, die unmittelbar in allen EU-Mitgliedstaaten gelten. Sie haben Vorrang vor den nationalen Gesetzen der Mitgliedstaaten und sorgen für einheitliche Regeln innerhalb der gesamten EU. Wenn also eine Verordnung in Kraft tritt, wird in allen EU-Mitgliedstaaten derselbe Regelungsgehalt angewendet.

Im Gegensatz dazu zielen “Richtlinien” darauf ab, die Regulierungsinhalte zwischen den EU-Mitgliedstaaten zu koordinieren und zu vereinheitlichen. Richtlinien gelten jedoch grundsätzlich nicht unmittelbar in den Mitgliedstaaten, sondern die Staaten müssen die in den Richtlinien festgelegten Inhalte in nationales Recht umsetzen. Normalerweise müssen die Mitgliedstaaten innerhalb von drei Jahren nach der Veröffentlichung der Richtlinie im EU-Amtsblatt die nationalen Gesetze erlassen oder ändern.

Ein Merkmal von “Richtlinien” ist, dass den Mitgliedstaaten bei der Umsetzung in nationales Recht ein gewisser Ermessensspielraum gewährt wird, was bedeutet, dass die Gesetze der einzelnen Länder Unterschiede aufweisen können. Mit anderen Worten, die auf “Richtlinien” basierenden Gesetze sind nicht vollständig innerhalb der EU vereinheitlicht, und es ist möglich, dass es zwischen den Ländern leichte Unterschiede gibt.

Auf dieser Unterscheidung basierend wurde das AI-Regulierungsgesetz als “Verordnung” erlassen. Das bedeutet, dass das AI-Regulierungsgesetz unmittelbar auf Unternehmen anwendbar ist, die sich innerhalb der EU befinden.

Verwandter Artikel: Ein Muss für Unternehmen, die in Europa expandieren wollen: Wichtige Punkte zum EU-Recht und Rechtssystem[ja]

Regulierung von KI und extraterritoriale Anwendung unter japanischem Recht

Was bedeutet extraterritoriale Anwendung?

Unter “extraterritorialer Anwendung” versteht man, dass ein in einem Land erlassenes Gesetz auch auf Handlungen angewendet wird, die außerhalb des Hoheitsgebiets dieses Landes stattfinden. Der Hintergrund für die Anerkennung der extraterritorialen Anwendung liegt in der Globalisierung der Wirtschaft und der Internationalisierung von Unternehmensaktivitäten, mit dem Ziel, weltweite Wirtschaftsaktivitäten fair und ordnungsgemäß zu gestalten.

Ein Beispiel, das die breite Anerkennung dieses Konzepts ausgelöst hat, ist die DSGVO (Datenschutz-Grundverordnung der EU). Unter der DSGVO können auch Unternehmen, die keine Niederlassung in der EU haben, unter bestimmten Voraussetzungen der Verordnung unterliegen (extraterritoriale Anwendung):

• Wenn sie Dienstleistungen oder Produkte an Personen innerhalb der EU anbieten,
• Wenn sie personenbezogene Daten verarbeiten, um das Verhalten von Personen innerhalb der EU zu überwachen.

Beispielsweise wurde im Falle eines Unternehmens außerhalb der EU, das Mitarbeiter auf Geschäftsreise in die EU schickt und während dieser Zeit personenbezogene Daten verarbeitet, in den Leitlinien von 2020 klargestellt, dass dies “nicht anwendbar” ist, obwohl ursprünglich die extraterritoriale Anwendung diskutiert wurde.

Extraterritoriale Anwendung des EU-KI-Regulierungsgesetzes

Auch im EU-KI-Regulierungsgesetz wird die extraterritoriale Anwendung auf Unternehmen außerhalb der EU anerkannt. Folgende Unternehmen oder Aktivitäten fallen darunter:

• Anbieter (Providers): Personen, die KI-Systeme oder GPAI-Modelle entwickeln, die Entwicklung von KI-Systemen oder GPAI-Modellen veranlassen und diese auf den Markt bringen oder KI-Systeme unter ihrem eigenen Namen oder ihrer eigenen Marke in Betrieb nehmen,
• Nutzer (Users): Personen, die KI-Systeme unter ihrer eigenen Autorität nutzen (ausgenommen sind jedoch Personen, die KI-Systeme für persönliche und nicht berufliche Aktivitäten verwenden),
• Importeure (Importers): Importeure mit Sitz oder Gründung in der EU, die KI-Systeme, die mit dem Namen oder der Marke einer natürlichen oder juristischen Person außerhalb der EU versehen sind, auf den EU-Markt bringen,
• Vertriebspartner (Distributers): Natürliche oder juristische Personen, die Teil der Lieferkette sind und KI-Systeme auf dem EU-Binnenmarkt anbieten, abgesehen von Anbietern und Importeuren.

Wie oben dargestellt, können auch Unternehmen außerhalb der EU, die in der EU KI-Systeme oder GPAI-Modelle anbieten, betreiben, importieren oder nutzen, direkt dem EU-KI-Regulierungsgesetz unterliegen.

Merkmale des EU-KI-Regulierungsgesetzes: Risikobasierter Ansatz

Was versteht man unter einem risikobasierten Ansatz?

Ein Hauptmerkmal des EU-KI-Regulierungsgesetzes ist die “regulierung basierend auf dem Inhalt und dem Grad des Risikos” (risikobasierter Ansatz).

Unter einem risikobasierten Ansatz versteht man eine Methode, bei der die Strenge der Regulierung auf Grundlage des Inhalts und des Grades des Risikos angepasst wird. Bei diesem Ansatz wird die Strenge der Regulierung für ein KI-System entsprechend der Schwere der Risiken, die das System möglicherweise verursacht, festgelegt.

Konkret bedeutet dies, dass für KI-Systeme mit hohem Risiko strengere Regulierungen gelten, während für Systeme mit niedrigerem Risiko vergleichsweise lockerere Regulierungen angewendet werden. Dadurch kann eine übermäßige Regulierung für Systeme mit niedrigem Risiko vermieden und gleichzeitig eine angemessene Überwachung und Verwaltung für Systeme mit hohem Risiko sichergestellt werden.

AI-Systeme mit inakzeptablen Risiken unter japanischem Recht

Zunächst werden AI-Systeme, die als inakzeptables Risiko gelten, als Bedrohung für Menschen angesehen und sind grundsätzlich verboten.

Beispielsweise fallen AI-Systeme, die das Verhalten bestimmter anfälliger Nutzergruppen manipulieren, wie sprachgesteuerte Spielzeuge, die gefährliches Verhalten bei Kindern fördern, unter dieses Verbot. Auch das Social Scoring, das Menschen auf Basis ihres Verhaltens, ihres sozioökonomischen Status oder persönlicher Merkmale kategorisiert, ist untersagt. Des Weiteren sind Systeme, die biometrische Daten von Menschen in Echtzeit und aus der Ferne mit einer Referenzdatenbank abgleichen und Personen identifizieren, wie etwa Gesichtserkennungstechnologien, grundsätzlich verboten.

Es gibt jedoch Ausnahmen, in denen die Nutzung dieser Systeme erlaubt ist. Konkret ist die Nutzung von Echtzeit-Fernbiometrie-Systemen nur in begrenzten Fällen schwerwiegender Vorfälle gestattet. Andererseits ist die Nutzung von Fernbiometrie-Systemen nachträglich nur dann erlaubt, wenn sie zum Zweck der Strafverfolgung schwerer Verbrechen mit gerichtlicher Genehmigung erfolgt.

Weitere Ausnahmefälle, in denen der Einsatz möglich ist, umfassen die Suche nach vermissten Kindern oder potenziellen Kriminalitätsopfern, die Abwehr konkreter und unmittelbarer Bedrohungen für das menschliche Leben oder die körperliche Sicherheit sowie Terroranschläge und die Aufdeckung oder Lokalisierung von schweren Straftätern oder Verdächtigen. Für diese Ausnahmen gelten strenge Einschränkungen, die grundsätzlich eine vorherige gerichtliche Genehmigung erfordern, und es wird eine vorsichtige Handhabung beim Einsatz von AI-Systemen verlangt.

Hochrisiko-KI-Systeme in Japan

Als nächstes werden KI-Systeme, die als Hochrisiko eingestuft werden, als solche betrachtet, die potenziell negative Auswirkungen auf die Sicherheit oder grundlegende Menschenrechte haben können. Diese Systeme dürfen verwendet werden, sofern sie bestimmte Anforderungen und Verpflichtungen (Konformitätsbewertung) erfüllen.

Hochrisiko-KI-Systeme werden im Wesentlichen in zwei Kategorien eingeteilt. Erstens, KI-Systeme, die in Produkten verwendet werden, die unter das EU-Produktsicherheitsgesetz fallen, einschließlich Spielzeug, Luftfahrt, Automobil, medizinische Geräte und Aufzüge. Zweitens, KI-Systeme, die in bestimmten Bereichen eingesetzt werden, für die eine Registrierung in der EU-Datenbank verpflichtend ist. Zu diesen Bereichen gehören das Management und der Betrieb kritischer Infrastrukturen, Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmermanagement, Zugang zu wesentlichen öffentlichen Dienstleistungen und Vorteilen, Strafverfolgung, Einwanderung und Asyl, Grenzkontrolle sowie Unterstützung bei der Interpretation und Anwendung von Gesetzen.

Hochrisiko-KI-Systeme erfordern eine Bewertung vor der Markteinführung und während des gesamten Lebenszyklus. Darüber hinaus wird das Recht eingeräumt, Beschwerden über KI-Systeme bei den benannten nationalen Behörden einzureichen.

Allgemein gesprochen kann man sagen, dass Maschinen und Fahrzeuge, die die Sicherheit des menschlichen Lebens und Körpers gewährleisten sollen, unter Hochrisiko-KI fallen. Beispielsweise könnte auch KI für autonomes Fahren dazu gehören, weshalb japanische Unternehmen, die autonomes Fahren entwickeln und international vermarkten möchten, sorgfältig prüfen müssen, ob sie die Anforderungen für Hochrisiko-KI erfüllen und entsprechend darauf reagieren müssen.

AI-Systeme mit begrenztem Risiko in Japan

Bei AI-Systemen mit begrenztem Risiko werden Transparenzrisiken sowie Risiken von Identitätsdiebstahl, Manipulation und Betrug angenommen. Konkret fallen Chatbots, Deepfakes und generative AI unter diese Kategorie, und nach Ansicht des EU-Parlaments wird der Großteil der derzeit verwendeten AI-Systeme in diese Kategorie eingestuft. Beispiele hierfür sind automatische Übersetzungssysteme, Spielkonsolen, Roboter, die repetitive Fertigungsprozesse ausführen, und sogar AI-Systeme wie die “Eureka-Maschine”.

Bei generativer AI, die nicht als hochriskant eingestuft wird, sind Transparenzanforderungen und die Einhaltung des EU-Urheberrechts erforderlich. Konkret sind folgende Maßnahmen notwendig:

• Offenlegung, dass Inhalte von AI generiert wurden
• Entwurf von Modellen, die keine illegalen Inhalte erzeugen
• Veröffentlichung einer Zusammenfassung der urheberrechtlich geschützten Daten, die für das Training der AI verwendet wurden

Darüber hinaus müssen fortschrittliche und einflussreiche General-Purpose AI-Modelle (GPAI-Modelle) wie “GPT-4” aufgrund ihres Potenzials, systemische Risiken zu verursachen, einer gründlichen Bewertung unterzogen werden. Im Falle eines schwerwiegenden Vorfalls besteht zudem eine Meldepflicht an die Europäische Kommission. Zusätzlich müssen Inhalte (Bilder, Audio, Videodateien, Deepfakes usw.), die mit AI generiert oder verändert wurden, klar als durch AI erzeugt gekennzeichnet sein, damit Nutzer diese Inhalte als solche erkennen können.

AI-Systeme mit minimalem Risiko unter japanischem Recht

Zuletzt sei erwähnt, dass für AI-Systeme mit minimalem Risiko keine speziellen Regulierungen in Japan festgelegt sind. Beispiele hierfür sind Spamfilter oder Empfehlungssysteme. In dieser Kategorie wird nicht die Regulierung, sondern die Entwicklung und Einhaltung von Verhaltenskodizes in Japan gefördert.

Anforderungen und Pflichten für Hochrisiko-KI-Systeme in Japan

Pflichten von Anbietern, Nutzern, Importeuren und Händlern

Wie oben unterschieden, unterliegen insbesondere Hochrisiko-KI-Systeme aufgrund ihrer Risikoträchtigkeit besonders strengen Regulierungen, und es werden konkrete Pflichten an Anbieter und Nutzer gestellt.

Zunächst müssen Anbieter, Nutzer, Importeure und Händler ein Risikomanagementsystem einrichten (Artikel 9). Dies verpflichtet sie dazu, ein System zu entwickeln und einzuführen, das die inhärenten Risiken von Hochrisiko-KI-Systemen identifiziert, angemessen verwaltet und zudem dokumentiert und aufrechterhalten wird. In Bezug auf die Daten-Governance wird die Verwendung von Trainings-, Validierungs- und Testdatensätzen gefordert, die Qualitätsstandards erfüllen (Artikel 10). Dies ist notwendig, da die Qualität und Zuverlässigkeit der Daten auch in der Entwicklungsphase von KI-Systemen streng kontrolliert werden muss.

Darüber hinaus ist die Erstellung von technischen Dokumenten vorgeschrieben (Artikel 11). Diese technischen Dokumente müssen Informationen enthalten, die belegen, dass das Hochrisiko-KI-System die regulatorischen Anforderungen einhält, und müssen so vorbereitet werden, dass sie den zuständigen Behörden der Mitgliedstaaten oder Drittprüfstellen zur Verfügung gestellt werden können. Auch das Design und die Entwicklung einer Log-Funktion, die Ereignisse während des Betriebs des KI-Systems automatisch aufzeichnet, sind erforderlich (Artikel 12). Zudem müssen Hochrisiko-KI-Systeme vor der Markteinführung in eine von der EU verwaltete Datenbank eingetragen werden, und Anbieter sind verantwortlich für die Einrichtung, Dokumentation und Aufrechterhaltung eines Qualitätsmanagementsystems.

Pflichten des Anbieters

Anbieter sind verpflichtet, technische Dokumentationen und Dokumente zum Qualitätsmanagementsystem, Genehmigungen oder Entscheidungen von Drittprüfstellen und andere relevante Dokumente nach der Markteinführung oder dem Betriebsbeginn für einen Zeitraum von 10 Jahren aufzubewahren und auf Anfrage der nationalen Behörden vorzulegen. So haben Anbieter die Verantwortung, die Qualität und Sicherheit des KI-Systems langfristig zu gewährleisten und Transparenz zu sichern.

Pflichten des Nutzers

Andererseits werden auch an Nutzer konkrete Pflichten im Zusammenhang mit der Verwendung von Hochrisiko-KI-Systemen gestellt. Nutzer müssen die von Hochrisiko-KI-Systemen automatisch generierten Logs, sofern keine besonderen Bestimmungen im EU-Recht oder im Recht der Mitgliedstaaten vorliegen, für einen angemessenen Zeitraum im Hinblick auf den beabsichtigten Zweck des KI-Systems aufbewahren. Konkret ist eine Aufbewahrung von mindestens sechs Monaten vorgeschrieben.

Wenn ein Hochrisiko-KI-System am Arbeitsplatz eingeführt oder verwendet wird, ist der Arbeitgeber als Nutzer verpflichtet, die Mitarbeitervertreter und die betroffenen Mitarbeiter im Voraus darüber zu informieren, dass dieses System verwendet wird. Dies ist aus Gründen des Arbeitnehmerschutzes und der Transparenzsicherung festgelegt.

So werden an Anbieter und Nutzer von Hochrisiko-KI-Systemen strenge Anforderungen und Pflichten gestellt. Insbesondere bei der Handhabung fortschrittlicher KI-Technologien wie medizinischen Geräten oder autonomen Fahrsystemen kann es erforderlich sein, Konformitätsbewertungen durchzuführen und die Überprüfung durch Drittprüfstellen zu berücksichtigen, um die Übereinstimmung mit bestehenden regulatorischen Rahmenbedingungen zu gewährleisten. Daher müssen Unternehmen vorsichtig und planvoll vorgehen.

Stufenweiser Zeitplan für die Einführung des japanischen KI-Regulierungsgesetzes

Das EU-KI-Regulierungsgesetz wird nach seiner Verkündung in einem stufenweisen Zeitplan umgesetzt. Dies erfordert von Unternehmen, sich auf jede Phase entsprechend vorzubereiten und zu reagieren.

Am 12. Juli 2024 wurde das KI-Regulierungsgesetz im Amtsblatt veröffentlicht und trat am 1. August desselben Jahres in Kraft. In dieser Phase müssen Unternehmen zunächst den Inhalt der Regulierung überprüfen und erwägen.

Am 2. Februar 2025 werden die Bestimmungen über die “Allgemeinen Vorschriften” und “KI-Systeme mit inakzeptablen Risiken” angewendet. Sollten Unternehmen KI-Systeme mit inakzeptablen Risiken einsetzen, müssen sie deren Nutzung umgehend einstellen.

Darauf folgend wird am 2. Mai 2025 ein Verhaltenskodex (Codes of Practice) für Anbieter von allgemeinen KI-Modellen (GPAI) veröffentlicht. Unternehmen müssen auf Basis dieses Verhaltenskodex entsprechende Maßnahmen ergreifen.

Später, am 2. August 2025, werden die Bestimmungen zu “GPAI-Modellen” und “Strafen” angewendet, und die Ernennung der zuständigen Behörden erfolgt in jedem Mitgliedsstaat. In dieser Phase müssen Anbieter von GPAI-Modellen die relevanten Vorschriften einhalten.

Am 2. Februar 2026 werden Leitlinien zur Implementierung von KI-Systemen gemäß dem KI-Regulierungsgesetz veröffentlicht. Gleichzeitig wird eine nachträgliche Marktüberwachung für Hochrisiko-KI-Systeme verpflichtend, und Unternehmen müssen entsprechende Strukturen dafür schaffen.

Weiterhin werden am 2. August 2026 die Bestimmungen zu “Hochrisiko-KI-Systemen”, die in Anhang III aufgeführt sind, angewendet. Zu diesem Zeitpunkt müssen die Mitgliedsstaaten KI-Regulierungs-Sandkästen einrichten, und die Einhaltung der Vorschriften für betroffene Hochrisiko-KI-Systeme wird obligatorisch.

Zuletzt werden am 2. August 2027 die Bestimmungen zu “Hochrisiko-KI-Systemen”, die in Anhang I aufgeführt sind, angewendet. Dadurch werden auch die in Anhang I definierten KI-Systeme verpflichtet, die Vorschriften einzuhalten.

So wird das KI-Regulierungsgesetz über mehrere Jahre hinweg stufenweise eingeführt, wobei die Regulierungen schrittweise entsprechend der Schwere des Risikos angewendet werden. Unternehmen müssen jeden Anwendungszeitpunkt genau verstehen und entsprechende Maßnahmen für die betroffenen KI-Systeme vornehmen.

Verwandter Artikel: Was ist der aktuelle Stand und Ausblick des EU-KI-Regulierungsgesetzes? Wir erklären auch die Auswirkungen auf japanische Unternehmen[ja]

Vorstellung der Maßnahmen unserer Kanzlei

Die Monolith Rechtsanwaltskanzlei verfügt über umfangreiche Erfahrungen in IT, insbesondere im Bereich Internet und Recht.

Das Geschäft mit Künstlicher Intelligenz (KI) birgt viele rechtliche Risiken, und die Unterstützung durch Anwälte, die sich auf rechtliche Fragen im Zusammenhang mit KI spezialisiert haben, ist unerlässlich. Unsere Kanzlei bietet mit einem Team aus KI-versierten Anwälten und Ingenieuren hochqualifizierte rechtliche Unterstützung für KI-Geschäfte, einschließlich ChatGPT, an. Dies umfasst die Erstellung von Verträgen, die Überprüfung der Rechtmäßigkeit von Geschäftsmodellen, den Schutz von geistigem Eigentum und die Einhaltung von Datenschutzbestimmungen. Weitere Details finden Sie im folgenden Artikel.

Rechtsgebiete der Monolith Rechtsanwaltskanzlei: KI-Recht (ChatGPT etc.)[ja]