Latest / frag.hugo – Compliance für Chefs / EU AI Act: Welche Fristen jetzt gelten

Transcript

EU AI Act: Welche Fristen jetzt gelten · frag.hugo – Compliance für Chefs

• 0:04
  Hugo: Siebenundfünfzig Prozent der Unternehmen in Deutschland ab zwanzig Beschäftigten setzen inzwischen Künstliche Intelligenz ein.
• 0:10
  Hugo: Das hat der Digitalverband Bitkom im September zweitausendsechsundzwanzig veröffentlicht.
• 0:15
  Katrin: Und wie viele sehen sich von der KI-Verordnung der EU betroffen?
• 0:18
  Hugo: Als Anwender nur siebenunddreißig Prozent der Unternehmen, weitere vierunddreißig Prozent prüfen das noch.
• 0:24
  Hugo: Dabei hat jedes Unternehmen, das KI beruflich nutzt, schon heute Pflichten.
• 0:28
  Katrin: Ich habe gelesen, Brüssel hat die Fristen gerade verschoben.
• 0:31
  Katrin: Dann habe ich doch Zeit.
• 0:33
  Hugo: Verschoben wurde nur ein Teil, vor allem die Regeln für Hochrisiko-Systeme.
• 0:37
  Hugo: Verbote, Schulungspflicht und Kennzeichnung gelten bereits.
• 0:41
  Katrin: Wer hat das verschoben, und seit wann?
• 0:43
  Hugo: Parlament und Rat der EU, mit einer Änderungsverordnung vom achten Juli zweitausendsechsundzwanzig, dem sogenannten Digital-Omnibus zur KI.
• 0:51
  Hugo: Sie ist seit dem siebenundzwanzigsten Juli in Kraft.
• 0:54
  Katrin: Wir sind Maschinenbauer, keine Softwarefirma.
• 0:57
  Katrin: Betrifft mich das überhaupt?
• 0:59
  Hugo: Gleich doppelt: als Anwender von KI im Büro und in der Personalarbeit.
• 1:03
  Hugo: Und als Hersteller, sobald KI in Ihren Maschinen steckt.
• 1:06
  Katrin: Was weiß ich am Ende dieser Folge?
• 1:08
  Hugo: Welche Fristen jetzt gelten, welche verschoben wurden und was Sie bis wann erledigen.
• 1:13
  Hugo: Dazu drei typische Fehler im Mittelstand, jeweils mit dem Weg, der funktioniert.
• 1:19
  Katrin: Wir nutzen im Büro ein Chat-Programm für Texte und Übersetzungen.
• 1:23
  Katrin: Was gilt dafür heute schon?
• 1:25
  Hugo: Seit dem zweiten Februar zweitausendfünfundzwanzig gelten die Verbote und die Pflicht zur KI-Kompetenz.
• 1:30
  Hugo: Beides steht in den ersten beiden Kapiteln der Verordnung, und die wurden nicht verschoben.
• 1:35
  Katrin: Verbote klingen nach Überwachungsstaat.
• 1:38
  Katrin: Was davon betrifft einen Maschinenbauer?
• 1:41
  Hugo: Am ehesten das Verbot, am Arbeitsplatz Gefühle von Menschen per KI zu erkennen.
• 1:45
  Hugo: Ein Programm, das in Videokonferenzen aus Mimik oder Stimme die Gefühle einzelner Beschäftigter ableitet, ist verboten, außer aus medizinischen oder Sicherheitsgründen.
• 1:55
  Katrin: Und wenn das trotzdem jemand einsetzt?
• 1:57
  Hugo: Dann drohen bis fünfunddreißig Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
• 2:03
  Hugo: Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
• 2:07
  Katrin: Seit wann kann es diese Bußgelder geben?
• 2:10
  Hugo: Der Bußgeldrahmen der Verordnung gilt seit dem zweiten August zweitausendfünfundzwanzig.
• 2:14
  Hugo: Wer ihn in Deutschland durchsetzt, regelt das Durchführungsgesetz, in Kraft seit dem neunundzwanzigsten Juli zweitausendsechsundzwanzig.
• 2:21
  Katrin: Und die KI-Kompetenz?
• 2:22
  Katrin: Ich habe gehört, die wurde entschärft.
• 2:25
  Hugo: Ja, durch den Omnibus: Seit Ende Juli müssen Sie Maßnahmen ergreifen, um die KI-Kompetenz Ihrer Leute zu fördern.
• 2:31
  Hugo: Ein bestimmtes Niveau müssen Sie für niemanden garantieren.
• 2:35
  Katrin: Gibt es ein Bußgeld, wenn ich gar nicht schule?
• 2:37
  Hugo: Die Verordnung nennt dafür keinen eigenen Bußgeldrahmen, und das deutsche Durchführungsgesetz sieht Stand heute kein Bußgeld vor.
• 2:44
  Hugo: Die Pflicht gilt trotzdem.
• 2:45
  Katrin: Wie halten es andere Firmen?
• 2:47
  Hugo: Laut Bitkom schulen siebzig Prozent der Unternehmen ihre Beschäftigten im Umgang mit KI, jedes vierte bietet gar nichts an.
• 2:53
  Hugo: Halten Sie fest, wer wann zu welchem Programm geschult wurde, dann können Sie es jederzeit belegen.
• 2:59
  Katrin: Was kam im August dazu?
• 3:01
  Hugo: Seit dem zweiten August zweitausendsechsundzwanzig gelten die Transparenzpflichten.
• 3:05
  Hugo: Wer mit KI täuschend echte Bilder, Töne oder Videos erzeugt, muss offenlegen, dass sie künstlich sind.
• 3:11
  Katrin: Wir haben auf der Website einen Chat-Assistenten.
• 3:14
  Katrin: Muss der sagen, dass er ein Programm ist?
• 3:17
  Hugo: Die Pflicht trifft den Anbieter: Er muss das System so bauen, dass Menschen erfahren, dass sie es mit einer KI zu tun haben.
• 3:23
  Hugo: Wer den Assistenten aber unter eigenem Namen entwickeln lässt und in Betrieb nimmt, kann selbst Anbieter sein.
• 3:29
  Katrin: Was heißt das für mich?
• 3:30
  Hugo: Lassen Sie den Assistenten im ersten Satz sagen, dass hier ein Programm antwortet.
• 3:35
  Hugo: Verstöße gegen die Transparenzpflichten können bis fünfzehn Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes kosten.
• 3:42
  Katrin: Und wer kontrolliert das in Deutschland?
• 3:44
  Hugo: Für die meisten Unternehmen die Bundesnetzagentur, etwa bei Transparenzpflichten, Verboten und KI in der Personalarbeit.
• 3:51
  Hugo: Bei KI im Finanzgeschäft von Banken und Versicherern ist es die Finanzaufsicht.
• 3:55
  Katrin: Wer kann dort Verstöße melden?
• 3:57
  Hugo: Jeder, der Grund zur Annahme eines Verstoßes hat, etwa ein Bewerber oder ein Wettbewerber.
• 4:02
  Hugo: Die Bundesnetzagentur ist dafür die zentrale Beschwerdestelle.
• 4:06
  Katrin: Kommt bis Jahresende noch etwas dazu?
• 4:08
  Hugo: Ab dem zweiten Dezember zweitausendsechsundzwanzig gelten zwei neue Verbote.
• 4:12
  Hugo: Sie treffen Programme, die ohne Zustimmung intime Bilder erkennbarer Menschen erzeugen, und solche, die Darstellungen von Kindesmissbrauch erzeugen.
• 4:20
  Katrin: Das betrifft doch keinen Maschinenbauer.
• 4:23
  Hugo: Vor allem die Anbieter.
• 4:24
  Hugo: Verboten ist aber auch, solche Programme zu diesem Zweck zu nutzen, deshalb gehört es als rote Linie in Ihre KI-Richtlinie.
• 4:31
  Katrin: Markieren die Programme ihre Bilder nicht ohnehin?
• 4:33
  Hugo: Die Anbieter müssen Ergebnisse maschinenlesbar markieren; wer schon vor August auf dem Markt war, hat dafür bis zum zweiten Dezember Zeit.
• 4:41
  Hugo: Ihre eigene Pflicht, täuschend echte Inhalte offenzulegen, ersetzt das nicht.
• 4:46
  Katrin: Jetzt zum verschobenen Teil.
• 4:48
  Katrin: Unser Werk plant eine Software, die Schichten nach Leistung und Verhalten der Mitarbeiter verteilt.
• 4:54
  Hugo: Dann sind Sie mitten im Hochrisiko-Bereich.
• 4:57
  Hugo: Anhang drei der Verordnung nennt KI, die Aufgaben nach Verhalten oder persönlichen Merkmalen zuweist oder Leistung bewertet.
• 5:04
  Katrin: Ab wann gelten dafür die Pflichten?
• 5:06
  Hugo: Ursprünglich ab August zweitausendsechsundzwanzig.
• 5:09
  Hugo: Der Omnibus hat das für diese Systeme auf den zweiten Dezember zweitausendsiebenundzwanzig verschoben.
• 5:14
  Katrin: Dann habe ich über ein Jahr Zeit.
• 5:16
  Katrin: Warum soll ich jetzt schon etwas tun?
• 5:19
  Hugo: Weil Sie heute einkaufen und die Software dann noch laufen soll.
• 5:22
  Hugo: Fragen Sie den Hersteller schriftlich, ob er sein System als Hochrisiko einstuft und wann er die Unterlagen dafür liefert.
• 5:29
  Katrin: Welche Unterlagen meinen Sie?
• 5:30
  Hugo: Die Betriebsanleitung und die Konformitätserklärung, also seine schriftliche Bestätigung, dass das System die Anforderungen erfüllt.
• 5:37
  Hugo: Ohne beides können Sie Ihre eigenen Pflichten kaum einhalten.
• 5:41
  Katrin: Welche Pflichten habe ich als Anwender?
• 5:43
  Hugo: Sie setzen das System nach Betriebsanleitung ein und übertragen die Aufsicht einer Person mit Kompetenz und Befugnis.
• 5:49
  Hugo: Die automatisch erzeugten Protokolle bewahren Sie, soweit Sie sie kontrollieren, mindestens sechs Monate auf.
• 5:55
  Katrin: Und die Daten, die wir einspeisen?
• 5:57
  Hugo: Soweit Sie die Eingabedaten kontrollieren, müssen sie zum Zweck des Systems passen und ausreichend repräsentativ sein.
• 6:03
  Hugo: Vor dem Start informieren Sie außerdem Betriebsrat und betroffene Beschäftigte.
• 6:08
  Katrin: Brauche ich dafür auch eine Grundrechte-Folgenabschätzung?
• 6:10
  Hugo: In diesem Fall nicht.
• 6:12
  Hugo: Die verlangt Artikel siebenundzwanzig von Behörden, von privaten Anbietern öffentlicher Dienste und bei Kreditprüfung oder Lebens- und Krankenversicherung.
• 6:20
  Katrin: Was kostet ein Verstoß gegen diese Pflichten?
• 6:23
  Hugo: Bis fünfzehn Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist.
• 6:29
  Hugo: Für kleine und mittlere Unternehmen gilt der niedrigere Betrag.
• 6:32
  Katrin: Wir haben hundertachtzig Leute.
• 6:34
  Katrin: Zähle ich da noch als mittleres Unternehmen?
• 6:37
  Hugo: Ja, wenn Ihr Umsatz höchstens fünfzig Millionen Euro oder Ihre Bilanzsumme höchstens dreiundvierzig Millionen beträgt, Konzernfirmen mitgerechnet.
• 6:45
  Hugo: Darüber hilft eine neue Regel aus dem Omnibus.
• 6:47
  Katrin: Welche?
• 6:48
  Hugo: Unter siebenhundertfünfzig Beschäftigten und bis hundertfünfzig Millionen Euro Umsatz oder hundertneunundzwanzig Millionen Bilanzsumme gilt bei diesen Bußgeldern ebenfalls der niedrigere Betrag.
• 6:58
  Hugo: Bei den Verboten bleibt es für diese Gruppe beim höheren.
• 7:02
  Katrin: Dann kaufe ich die Software eben vor Dezember zweitausendsiebenundzwanzig.
• 7:06
  Katrin: Dann gilt doch Bestandsschutz.
• 7:08
  Hugo: Eine Übergangsregel gibt es tatsächlich.
• 7:10
  Hugo: Systeme, die vorher auf dem Markt waren, fallen nur unter die Pflichten, wenn ihre Konzeption danach erheblich geändert wird.
• 7:17
  Katrin: Wo ist der Haken?
• 7:18
  Hugo: Laut Begründung der Verordnung meint erheblich dasselbe wie eine wesentliche Veränderung, etwa einen neuen Zweck.
• 7:24
  Hugo: Ob laufende Updates schon darunter fallen, ist Stand heute nicht abschließend geklärt; darauf würde ich keinen Einkauf stützen.
• 7:31
  Katrin: Andere Idee: Wir lassen unser Chat-Programm die Bewerbungen vorsortieren.
• 7:35
  Katrin: Das ist ja kein Hochrisiko-Produkt.
• 7:38
  Hugo: Genau da liegt die Falle.
• 7:39
  Hugo: Wer den Zweck eines allgemeinen KI-Systems so ändert, dass es zum Hochrisiko-System wird, gilt nach Artikel fünfundzwanzig selbst als Anbieter.
• 7:48
  Katrin: Was heißt das praktisch?
• 7:50
  Hugo: Ab Dezember zweitausendsiebenundzwanzig tragen Sie dann die Pflichten eines Anbieters, von der Konformitätsbewertung bis zur Registrierung in der EU-Datenbank.
• 7:58
  Hugo: Das ist ein eigenes Projekt, nichts für nebenbei.
• 8:01
  Katrin: Wo fange ich an?
• 8:02
  Hugo: Mit einer Liste aller KI-Programme im Haus: wofür, wer ist Anbieter, welche Risikostufe, welche Frist.
• 8:08
  Hugo: Eine verantwortliche Person führt sie, und die Geschäftsführung zeichnet sie ab.
• 8:13
  Katrin: Hilft mir dabei auch die Behörde?
• 8:15
  Hugo: Die Bundesnetzagentur bietet online ein Prüfwerkzeug zur ersten Orientierung an.
• 8:20
  Hugo: Es gibt Hinweise, ob ein System verboten, hochriskant oder transparenzpflichtig sein könnte, ersetzt aber keine Prüfung im Einzelfall.
• 8:28
  Katrin: Jetzt zu unseren Maschinen.
• 8:30
  Katrin: Wir entwickeln eine Kamera, die per KI erkennt, wenn jemand in den Gefahrenbereich greift, und die Maschine dann stoppt.
• 8:37
  Hugo: Das ist ein Sicherheitsbauteil, und genau hier hat der Omnibus umgebaut.
• 8:41
  Hugo: Die Hochrisiko-Regeln der KI-Verordnung gelten für Maschinen nicht mehr direkt, die Anforderungen kommen künftig über die Maschinenverordnung.
• 8:49
  Katrin: Also Entwarnung?
• 8:50
  Hugo: Nein.
• 8:51
  Hugo: Die neue Maschinenverordnung der EU gilt ab dem zwanzigsten Januar zweitausendsiebenundzwanzig, und sie regelt lernende Sicherheitsfunktionen schon selbst.
• 8:59
  Katrin: Was verlangt sie konkret?
• 9:01
  Hugo: Sicherheitsbauteile, deren Verhalten sich durch maschinelles Lernen ganz oder teilweise selbst entwickelt, stehen in Anhang eins, Teil A.
• 9:08
  Hugo: Dafür reicht Ihre eigene Erklärung nicht, eine unabhängige Prüfstelle, die sogenannte notifizierte Stelle, muss mitprüfen.
• 9:15
  Katrin: Unser Modell ist fertig trainiert und lernt im Betrieb nicht weiter.
• 9:19
  Katrin: Fällt das überhaupt darunter?
• 9:21
  Hugo: Die Verordnung definiert selbstentwickelndes Verhalten nicht; laut ihrer Begründung gilt die Prüfpflicht nicht für Software, die weder lernen noch sich weiterentwickeln kann.
• 9:29
  Hugo: Ob Ihr fertig trainiertes Modell als lernend gilt, ist Stand heute nicht abschließend geklärt; sprechen Sie jetzt mit einer Prüfstelle, nicht erst im Januar.
• 9:37
  Katrin: Und die Kamera am Prüfplatz, die nur Kratzer auf Bauteilen findet?
• 9:41
  Hugo: Die ist kein Sicherheitsbauteil.
• 9:43
  Hugo: Die KI-Verordnung stellt seit dem Omnibus klar: KI nur für Qualitätskontrolle, Leistungsoptimierung oder Bedienkomfort zählt nicht dazu, solange ihr Ausfall niemanden gefährdet.
• 9:54
  Katrin: Zurück zur Schutzkamera.
• 9:55
  Katrin: Was muss die Steuerung technisch können?
• 9:58
  Hugo: Ist die Steuerung lernend und teilautonom, darf die Maschine nie über ihre festgelegte Aufgabe und ihren Bewegungsbereich hinaus handeln.
• 10:05
  Hugo: Und Sie müssen jederzeit eingreifen und sie korrigieren können.
• 10:08
  Katrin: Muss ich etwas aufzeichnen?
• 10:10
  Hugo: Ja, die Daten zum sicherheitsrelevanten Entscheidungsweg, und zwar ein Jahr lang.
• 10:14
  Hugo: Eingriffe und neu aufgespielte Versionen der Sicherheitssoftware müssen bis zu fünf Jahre nachvollziehbar bleiben.
• 10:20
  Katrin: Kommt aus der KI-Verordnung noch etwas dazu?
• 10:23
  Hugo: Die Kommission muss die Maschinenverordnung noch um KI-Anforderungen ergänzen, etwa Risikomanagement, Datenqualität, menschliche Aufsicht und die Meldung schwerer Vorfälle.
• 10:32
  Hugo: Diese Regeln gelten ab dem zweiten August zweitausendachtundzwanzig.
• 10:36
  Katrin: Was ist, wenn wir die KI-Funktion fertig vom Zulieferer kaufen?
• 10:41
  Hugo: Bringt er das Bauteil selbst auf den Markt, muss er es prüfen lassen.
• 10:44
  Hugo: Ist es so geprüft, muss Ihre Maschine nicht allein deshalb neu zertifiziert werden; lassen Sie sich die Bescheinigung geben.
• 10:51
  Katrin: Wer kümmert sich bei uns darum?
• 10:53
  Hugo: Die Konstruktion zusammen mit Ihrem Verantwortlichen für die CE-Kennzeichnung.
• 10:57
  Hugo: Entscheiden muss aber die Geschäftsführung: Liefern Sie ab Januar mit geprüfter KI-Funktion oder vorerst mit herkömmlicher Schutztechnik?
• 11:05
  Katrin: Was mache ich morgen früh als Erstes?
• 11:07
  Hugo: Erstens: Setzen Sie um, was schon gilt.
• 11:09
  Hugo: Keine Gefühlserkennung am Arbeitsplatz, Schulung mit Liste nachweisen, täuschend echte Inhalte kennzeichnen, und der Chat-Assistent gibt sich als Programm zu erkennen.
• 11:18
  Katrin: Zweitens?
• 11:19
  Hugo: Legen Sie eine Liste aller KI-Programme an, mit Zweck, Rolle, Risikostufe und Frist.
• 11:24
  Hugo: Und nutzen Sie nie ein allgemeines Chat-Programm für Entscheidungen über Bewerber oder Leistung, sonst können Sie selbst zum Anbieter werden.
• 11:31
  Katrin: Und drittens?
• 11:32
  Hugo: Klären Sie für jede Maschine mit lernender Sicherheitsfunktion noch dieses Jahr, ob eine Prüfstelle mitprüfen muss.
• 11:39
  Hugo: Ab dem zwanzigsten Januar zweitausendsiebenundzwanzig gilt die Maschinenverordnung, ab August zweitausendachtundzwanzig kommen die KI-Anforderungen dazu.
• 11:47
  Katrin: Wie behalte ich all diese Daten im Blick?
• 11:50
  Hugo: Schreiben Sie die Frist direkt neben jedes System in Ihre Liste.
• 11:53
  Hugo: Ein KI-Register mit Einstufung nach Anhang drei und die Schulung nach Artikel vier finden Sie bei frag.hugo.