EU verbietet alle als „inakzeptabel riskant“ eingestuften KI-Technologien

Ab heute hat die Europäische Union die Tür für KI-Systeme, die sie als „inakzeptabel riskant“ eingestuft hat, endgültig geschlossen. Das steht außer Frage.

Die Regulierungsbehörden haben nun die Macht, ganze Produktlinien über Nacht vom Markt zu nehmen. Die erste Frist zur Einhaltung der Vorschriften gemäß der EU-KI-Richtlinie war ohnehin für den 2. Februar angesetzt, und die Botschaft der EU lautet: Wer gegen diese Regeln verstößt, muss mit einer Strafe von 35 Millionen Euro (rund 36 Millionen US-Dollar) oder 7 % seines weltweiten Umsatzes rechnen – je nachdem, welcher Betrag höher ist.

Das Europäische Parlament verabschiedete das KI-Gesetz im vergangenen März nach jahrelangen angeblichen Feinabstimmungen. Bereits am 1. August trat es in Kraft. Nun müssen sich Unternehmen aller Branchen damit auseinandersetzen.

Was steht auf der Abschussliste der EU?

Die EU-Blacklist deckt einige dunkle Bereiche der KI auf. Systeme, die Menschen anhand ihres Verhaltens oder ihrer Reputation bewerten, wie etwa das dystopische Sozialkreditsystem Chinas, sind Geschichte. Auch KI, die darauf abzielt, Menschen durch perfide Tricks oder unterschwellige Botschaften zu manipulieren, ist verboten.

Auch KI, die Schwachstellen erkennt – etwa Alter oder Behinderung ausnutzt, um jemanden zu manipulieren – ist ausgeschlossen. Und hier noch ein historischer Meilenstein: Die EU hat es verboten, anhand von Gesichtszügen vorherzusagen, ob jemand ein Verbrechen begehen wird.

Wenn Ihre KI biometrische Daten auswertet, um Rückschlüsse auf Geschlecht, sexuelle Orientierung oder politische Überzeugungen zu ziehen, sollten Sie das Projekt umgehend einstellen. Auch die Echtzeit-Überwachung biometrischer Daten durch Strafverfolgungsbehörden ist laut EU-KI-Gesetz verboten, sofern sie nicht strengen Auflagen genügt.

Das bedeutet, dass Gesichtsscans in U-Bahn-Stationen oder bei öffentlichen Veranstaltungen nicht mehr eingesetzt werden, nur um „potenzielle Verdächtige“ zu erfassen. Auch der Einsatz von KItracin Schulen und am Arbeitsplatz wurde gestrichen, außer in seltenen Fällen im Zusammenhang mit medizinischer Behandlung oder Sicherheit.

Diese Verbote gelten für alle Unternehmen, die innerhalb der EU-Grenzen tätig sind. Der Hauptsitz spielt keine Rolle – Silicon-Valley-Giganten, asiatische KI-Startups, europäische Labore, alle. Wer ein eingeschränktes System nutzt, muss laut EU mit einer Geldstrafe rechnen.

Konzerne uneins über Compliance

Im September 2024 unterzeichneten über 100 Technologieunternehmen (darunter Google, OpenAI und Amazon) eine freiwillige Selbstverpflichtung namens EU AI Pact, in der sie sich Berichten zufolge verpflichteten, ihre KI-Projekte frühzeitig, noch vor den Fristen des Gesetzes, zu bereinigen und auch zu erfassen, welche Systeme unter die Hochrisiko- oder Verbotskategorien fallen könnten.

Interessanterweise lehnten Meta, Apple und das französische KI-Unternehmen Mistral dies im Oktober 2024 kategorisch ab und erklärten, die Vorschriften seien zu starr und würden Innovationen ersticken.

Dennoch befreit das Ignorieren des Pakts niemanden von der Einhaltung des Gesetzes, auch wenn die meisten dieser Technologieunternehmen realistisch betrachtet die verbotenen Kategorien gar nicht berühren.

Laut EU-KI-Gesetz dürfen Strafverfolgungsbehörden weiterhin KI-Systeme zur Erfassung biometrischer Daten im öffentlichen Raum einsetzen, benötigen dafür aber zuvor die Genehmigung der zuständigen Behörden. Die Ausnahme gilt für Notfälle wie tracnach Vermissten oder die Abwehr unmittelbar bevorstehender Angriffe sowie für KI-Systeme zur Emotionserkennung in Schulen und Büros, jedoch nur, wenn dies durch medizinische oder sicherheitsrelevante Bedenken gerechtfertigt ist.

Das KI-Gesetz steht jedoch nicht isoliert. Die Datenschutz-Grundverordnung (DSGVO), die Richtlinie über Netzwerk- und Informationssicherheit (NIS2) und der Digital Operational Resilience Act (DORA) enthalten allesamt sich überschneidende Anforderungen an die Datenverarbeitung und -sicherheit.