Umsetzungsfrist der KI-VO beginnt

Am 12.07.2024 wurde im Amtsblatt der Europäischen Union die Verordnung zur Künstlichen Intelligenz (KI-VO) veröffentlicht. Mit der Veröffentlichung lässt sich nun auch das Datum des Inkrafttretens bestimmen, mit dem auch die Umsetzungsfrist der KI-VO beginnt.

Das Gesetzgebungsverfahren

Ende Mai hatte der Europäische Rat der KI-VO zugestimmt und damit die letzte Hürde für die KI-Verordnung überwunden. Zuvor hatte im März das EU-Parlament das Gesetz final abgesegnet. Nachdem ein Gesetzesentwurf erstmals im Sommer letzten Jahres vorgelegt wurde, folgten viele Monate gefüllt mit umfangreichen Debatten über seine konkrete Ausgestaltung. Anfang Februar segneten die EU-Staaten das Ergebnis dann final ab.

Die KI-VO – ein Überblick

Die KI-Verordnung soll zur Entwicklung sicherer und vertrauenswürdiger KI-Systeme beitragen. Dabei soll sie auch den Schutz der Grundrechte sicherstellen und Investitionen sowie Innovationen fördern. Ein zentrales Element der KI-VO ist auch die Marktüberwachung durch Datenschutzbehörden, insbesondere in Hochrisikobereichen.

Veröffentlichung im Amtsblatt und Inkrafttreten

Am 12.07.2024 wurde die KI-VO im Amtsblatt der Europäischen Union veröffentlicht. Nach europäischem Recht tritt sie 20 Tage nach der Veröffentlichung, also am 01.08.2024, in Kraft. Mit Inkrafttreten beginnt auch die Umsetzungsfrist der KI-VO zu laufen.

Die verschiedenen Umsetzungsfristen

Je nach Art der Regelung gibt es unterschiedliche Fristen zur Umsetzung der KI-VO. Grundsätzlich wird die KI-VO 24 Monate nach ihrem Inkrafttreten vollständig anwendbar. Allerdings gibt es auch einige Ausnahmeregelungen.

So sind etwa bereits sechs Monate nach Inkrafttreten, also ab dem 02.02.2025, die Verbote bestimmter KI-Praktiken zu beachten. Dazu zählt unteranderem die biometrische Echtzeit-Fernüberwachung in öffentlichen Räumen zur Strafverfolgung. Außerdem ist ab diesem Zeitpunkt auch das Social Scoring untersagt. Darunter versteht man das KI-basierte Bewerten von menschlichem Verhalten, das zu sozialer Benachteiligung führt. Dies umfasst auch den Ausschluss von öffentlichen Leistungen aufgrund solcher Bewertungen.

Für Verhaltenskodizes gibt es eine Umsetzungsfrist von neun Monaten nach Inkrafttreten. Regelungen für allgemeine KI-Systeme sind nach zwölf Monate anwendbar. Verpflichtungen für Hochrisiko-Systeme gelten hingegen erst nach 36 Monaten.

Zuständigkeiten der Datenschutzbehörden

Nach den Vorgaben der KI-VO sollen die Datenschutzaufsichtsbehörden die Zuständigkeit für die Marktüberwachung der meisten Hochrisiko-KI-Systeme erhalten. Diese Zuständigkeit umfasst insbesondere den Bereich der Strafverfolgung, Justizverwaltung und Migrationskontrolle. Behörden, Organisationen und private oder öffentliche Unternehmen, die solche Systeme einsetzen oder Entwickeln unterliegen somit der Kontrolle der Datenschutzbehörden.

Bestimmung der allgemeinen Marktüberwachungsbehörden

Daneben schreib die KI-VO vor, dass die nationalen Gesetzgeber bis zum 02.08.2025 ein Durchführungsgesetz erlassen müssen, indem sie eine allgemeine Marktüberwachungsbehörde für die Durchsetzung der KI-VO bestimmen. Diese Behörde soll unabhängig, unparteiisch und unvoreingenommen sein, um eine objektive Durchsetzung der KI-VO zu ermöglichen. Zudem müssen sie über die notwendigen Ressourcen verfügen, um ihre Aufgaben effektiv zu erfüllen. Dazu gehören technische Ressourcen, um KI-Systeme bewerten und überwachen zu können, ausreichende finanzielle Mittel und eine umfangreiche Ausstattung mit qualifiziertem Personal.

Bereits Anfang Mai hatte die DSK erklärt, dass die deutschen Datenschutzbehörden auch diese Überwachung übernehmen wollen. Die Datenschutzbehörden seien ohnehin bereits sektorspezifisch als Marktüberwachungsbehörde zuständig. „Aufgrund ihrer […] langjährigen Expertise im digitalen Grundrechtsschutz und etablierten, kooperativen Aufsichts‐ sowie Abstimmungsmechanismen sollte diese Kompetenz ausgeweitet werden“.

Fazit

Die KI-Verordnung der Europäischen Union markiert einen wichtigen Schritt zur Regulierung und Überwachung des Einsatzes künstlicher Intelligenz. Unternehmen sollten nun entsprechende technische und organisatorische Vorkehrungen treffen, um die verschiedenen Vorgaben normgerecht und unter Einhaltung der unterschiedlichen Fristen umzusetzen – hierbei stehen wir Ihnen gerne beratend zur Seite. Gleichzeitig stehen die Datenschutzbehörden vor der Herausforderung, sich auf die komplexen technischen und rechtlichen Anforderungen vorzubereiten und eine enge Zusammenarbeit auf nationaler und internationaler Ebene sicherzustellen. Im Übrigen bleibt auch abzuwarten, ob der deutsche Gesetzgeber den Datenschutzbehörden die allgemeine Marktüberwachung erhalten wird.