Der AI-Act – Alles Wichtige zur KI-Verordnung

00:00:02: Rosinus on Air, der Criminal Compliance Podcast.

00:00:11: Herzlich willkommen zu einer neuen Folge des Criminal Complance Podcasts!

00:00:14: Ich bin Volker Pietzsch bei mir ist Miriam Steinfeldt.

00:00:18: Seit dem zweiten August, es ist der sogenannte AI-Act aus dem Jahre, zwanzig vierundzwanzig größten Teils anzuwenden.

00:00:26: Höchste Zeit, dass wir über die KI-Verordnung des Europäischen Parlaments etwas detaillierter sprechen.

00:00:32: Darüber was jetzt gilt, was verschoben wurde und wo die Straf- und Bußgeldrechtlichen Risiken liegen.

00:00:38: Trangen wir grundlegend an – Was regelt die KI Verordnung eigentlich?

00:00:43: Die KI Verordnung oder genauer gesagt die Verordnung EU.

00:00:53: Hierzu und allen unseren anderen Folgen, die wir bis jetzt zu dem Thema des AI-Akts oder KI-Verordnungen hatten finden Sie selbstverständlich in den Shownotes.

00:01:02: Also diese Verordnung ist der weltweit erste umfassende horizontale Rechtsrahmen für künstliche Intelligenz mit insgesamt einhundert dreizehn Artikeln.

00:01:13: Die Verordnung es in Kraft seit dem ersten August.

00:01:15: zwanzig vierundzwanzig und als EU-Verordnung gilt es ja auch unmittelbar in allen Mitgliedstaaten.

00:01:23: Das bedeutet, ein Umsetzungsgesetz ist Ihnen nicht erforderlich!

00:01:27: Die KI-Verordnung verfolgt einen risikobasierten Ansatz – das heißt je höher das Risiko eines KI-Systems für unter anderem Gesundheit, Sicherheit und Grundrechte und viele andere wesentliche Werte desto strenger die Pflichten.

00:01:45: Die KE-Verordnung sieht grundsätzlich vier Risikostufen eines KI-Systems vor.

00:01:52: Das erste ist das Minimalrisiko, hier bestehen keine besonderen Pflichten – es gibt freiwillige Verhaltenkodizys nach Artikel ninety-fünf.

00:02:01: Dann gibt es das begrenzte Risiko, Hier greifen die Transparenzpflichten nach artikel fünfzig für bestimmte KI- Systeme.

00:02:09: So dann gibt es dieses hohe Risiko.

00:02:12: Dies verlangt eine Konformitätsbewertung nach Artikel forty-three Absatz eins KI Verordnung, die erforderlich ist bei der Einordnung eines KI Systems als Hochrisiko.

00:02:23: KI nach eben Artikel sechs KI Verordnungen.

00:02:27: Und zu guter Letzt gibt es das inakzeptable Risiko.

00:02:30: Dieses liegt bei den verbotenen KI System nach Art.

00:02:34: fünf vor.

00:02:35: Das heißt hier gibt es auch keine Abwägung oder ähnliches.

00:02:39: Hier sind wir in einem Verbot.

00:02:42: Die KI-Verordnung eben als erster fundamentaler Rechtsrahmen hat sich auch an einer Legaldefinition versucht.

00:02:50: Diese findet sich in Artikel drei Nummer eins der KI Verordnung mit insgesamt sechs Merkmalen.

00:02:57: Das wichtigste Merk mal dieser Definition ist die Inferenzfähigkeit des KI-Systems, das heißt da die Fähigkeit des Systems aus den erhaltenen Eingaben Ableitungen zu treffen, sprich selber zu lernen und über das hinauszugehen was eben in der direkten Eingabe war also die sogenannte Lernfähigkeit.

00:03:21: Wie ist ein KI-System überhaupt definiert?

00:03:24: Und was unterscheidet es von klassischer Software?

00:03:27: Diese Definition und dass Verständnis davon wann und ob ein solches KI System vorliegt ist selbstverständlich sehr schwierig und beinhaltet wahnsinnig viele Facetten.

00:03:40: Aus diesem Grund gibt es eine Auslegungshilfe zur Einordnung von KI-Systemen.

00:03:45: Das sind die Leitlinien der EU-Kommission vom Sechsten Februar zwanzig, fünfundzwanzig.

00:03:51: Das ist eine Leitline, die ist damit rechtlich unverbindlich.

00:03:55: Mehr Klarheit werden wir hier wahrscheinlich haben, sobald der EUGH diese KI-Verordnungen gegebenenfalls mit Hilfe von den Leitlnien dann auch tatsächlich etwas Verbindlicher auslegt.

00:04:09: Für die Praxis gilt, soweit sobald ein System aus Daten ableitet und nicht nur starre Regeln abarbeitet kommen wir in den Anwendungsbereich der KI-Verordnung.

00:04:22: Das bedeutet also auch wer die Anwendbarkeit der KI Verordnung verneint sollte das abwägen und dokumentieren.

00:04:31: Die KI Verordnungen ist im August zwei tausendzwanzig in Kraft getreten.

00:04:36: Geht sie seitdem auch vollständig?

00:04:38: Ja, also wir sollten schon zwischen in Kraft treten und Anwendbarkeit trennen.

00:04:44: Die Artikel der KI-Verordnung gelten stufenweise – das steht im Hundertdreizehn.

00:04:49: Das bedeutet seit zwei Tausendfünfundzwanzig.

00:04:52: ein weiteres wichtiges Datum ist der neunzwanzige Juli zwanzigsechsenzwanziger.

00:04:57: Das ist das Datum an dem die KI MIG, das KI Marktüberwachungs- und Innovationsförderungsgesetz als Nationales Durchführungsgesetz in Deutschland zur Regelung von Zuständigkeiten nach Aufsicht und muss Geldverzug in Kraft getreten ist.

00:05:13: Als kleine Exkurs, in anderen Staaten wurde sogar auf Grundlage der KI-Verordnung eine eigene Behörde geschaffen.

00:05:23: In Deutschland sollen die Aufgaben prima durch die Bundesnetzagentur erfüllt bzw übernommen werden.

00:05:31: Seit dem zweiten August, das ist die allgemeine Anwendbarkeit der Verordnung.

00:05:38: Das bedeutet insbesondere auch die Transparenzpflichten.

00:05:41: Das Artikel «Fünfzig KI-Verordnungen» bedeutet also die Kennzeichnung von KI-generierten Inhalten.

00:05:49: Kurz vor dem zweiten Agust, im Jahr zwei Tausend sechsundzwanzig kam noch von der Europäischen Kommission der Digital Omnibus.

00:05:56: Was umfasst dieser und was hat er geändert?

00:05:59: Diese Digital Omnibus-Verordnung zur KI-Verordnung, die EU-Ver Ordnung, für das Jahr im Jahr ist in Kraft seit dem siebenundzwanzigsten Juli.

00:06:12: Hier wurden insgesamt vierzig Artikel der KI Verordnung geändert.

00:06:17: Zu den wichtigsten Änderungen gehört, dass zum einen die Fristen der Hochrisikoflichten auf Dezember zwanzig sieben und zwanzighund August zwanzige Achtundzwanzig verschoben wurden.

00:06:29: Dazu wurden auch noch neue Verbote in Artikel fünf aufgenommen, was nicht angefasst oder verändert wurde durch den Digital-Omnibus – das sind die bereits geltenden Verbote, die geltende Transparenzpflichten und der Bußgeldrahmen.

00:06:47: Für wen gilt die KI-Verordnung?

00:06:49: Wieso oft?

00:06:50: bei Derartigen europäischen Verordnung haben wir einen recht weiten Anwendungsbereich.

00:06:57: Dieser unterscheidet nach Artikel drei in persönlicher Hinsicht verschiedene Rollen.

00:07:03: Zum Einen gibt es die Anbieter, das sind diejenigen, die ein KI-System entwickelt und unter eigenen Namen im Verkehr bringen.

00:07:10: Die Betreiber – Das sind diejenige, die einen KI- System in eigener berufliche Verantwortung nutzen Einführern, das sind dann also die Händler oder Bevollmächtigte.

00:07:22: Wichtig hier findet eine Auslegung oder Festlegung der Rolle anhand der tatsächlichen Tätigkeit und nicht anhand des vertraglichen Bezeichnungsstadt.

00:07:34: In räumlicher Hinsicht gilt das Marktortprinzip mit extraterritorialer Reichweite bedeutet alle Anbieter, die in der Union ihr System im Verkehr bringen unabhängig davon ob sie eben in oder aus Land sitzen, also im In- oder Ausland.

00:07:51: Betreiber mit Sitz- oder Niederlassung in der Union und Anbieter oder Betreber aus Trittstaaten wenn der Output in der union verwendet wird.

00:08:02: Gibt es auch Gruppen für die die KI-Verordnung nicht gilt?

00:08:06: Ja, Ausnahmen gibt das natürlich auch.

00:08:08: Die sind im Gegensatz zum Anwendungsrahmen tendenziell eng auszulegen.

00:08:14: Hier haben wir zwei ganz klare Punkte, die eindeutig herausfallen.

00:08:18: Das ist das Militär und die nationale Sicherheit, ausschließlich wissenschaftliche Forschung und Entwicklung oder vor dem Inverkehrbring dieser Forschung.

00:08:30: Der Ausnahme ist die rein persönlichen nicht berufliche Nutzung durch natürliche Personen sowie freie Open-Source Systeme.

00:08:41: Hier jedoch wieder die Ausnahme der Ausnahme.

00:08:44: Das gilt nicht bei verbotenen Praktiken, Hochrisikosystem und Artikel fünfzig.

00:08:49: Und wenn vertragliche Informationen zum Mitwirkungsrechte fehlen, dann entsteht hier eine Pflicht ohne Erfüllungsmöglichkeit und hier droht auch tatsächlich ein unmittelbares Organhaftungsrisiko.

00:09:01: Das ist eine sehr gute Frage, die im Einzelfall sehr sorgsam geprüft kritisch hinterfragt werden muss und natürlich durch Einbeziehung der verschiedenen relevanten Disziplinen beantwortet werden sollte, das im konkreten Fall.

00:09:18: Die EU-Verordnung sagt jetzt so in Artikel XXV Absatz I beim Rollenwechsel bei Hochrisikosystem dass es drei Auslöser gibt und der eine ist die Namens oder Markenanbringungen eines bereits in Verkehr gebrachten Systems Die Vornahme einer wesentlichen Änderung, also eine Beeinträchtigung der Konformität oder Änderungen der Zweckbestimmung im Sinne des Artikel drei Nummern zwanzig.

00:09:44: Oder die Zweckänderung des Systems zum Hochrisikosystem.

00:09:48: Dadurch entstehen dann natürlich die Pflicht nach Artikel sechszehn.

00:09:52: Darüber hinaus – Der bisherige Anbieter gilt für dieses System nicht mehr als Anbiete.

00:09:59: Das ist in Absatz zwei vom Artikel fünfzwanzig geregelt.

00:10:02: Er muss dem neuen Anbieter aber Informationen bereitstellen.

00:10:08: Damit haben wir natürlich auch direkt ein Komplex-Kernproblem, denn Anbietepflichten ohne Herstellerinformation sind faktisch nicht erfüllbar und wenn vertragliche Information zum Mitwirkungsrechte fehlen, dann entsteht hier eine Pflicht ohne Erfüllungsmöglichkeit und hier droht dann auch tatsächlich ein unmittelbares Organhaftungsrisiko.

00:10:29: Wann haftet die Geschäftsleitung für Verstöße gegen die KI-Verordnung?

00:10:34: Auch hier gilt wieder das Ordnungswidrigkeitengesetz, welches Unternehmen sanktioniert und dass sie selbstverständlich seine eigenen Folgen dazu vor.

00:10:43: Im Anwendungsbereich der KI-Veordnung wird Paragraph Dreißig Ordnungwidrigkeitengesetz und Paragraf Siebzen Ordnungenwidrigkeiten Gesetz durch den SechzehnKI MIG ausgeschlossen.

00:10:56: Es gilt daher unmittelbar Artikel Nr.

00:10:59: ninety-neunzig KI Verordnung.

00:11:01: Für Anknüpfungstaten außerhalb der KI Verordnungen, also beispielsweise Betrug und Treue oder Ähnliches bleibt natürlich der Paragraph dreißig Ordnungsfähigkeitengesetz voll anwendbar.

00:11:14: Damit gilt auch hier natürlich die Business Judgment Rule – das bedeutet eine Haftungsfreistellung der Geschäftsleitung kann nur dann stattfinden, wenn diese ihre Entscheidung zum Wohle des Unternehmens auf einer angemessenen Informationsgrundlage getroffen hat und diese auch entsprechend dokumentiert hat.

00:11:36: Und natürlich muss es sich um eine unternehmerische Entscheidung im Rahmen der KI-Verordnung handeln.

00:11:43: Weiterhin das Formale abzeichnen ohne eigene Bewertung Einfach nur eine formale Beschäftigung der Geschäftsleitung ohne inhaltliche Auseinandersetzung erfüllt die Aussichtspflicht nach der KI-Verordnung wohl nicht.

00:11:58: Das heißt, die Geschäftsleistung muss Einschätzung inhaltlich selbst nachvollziehen und plausibilisieren können.

00:12:06: Kommen auch Strafbarkeiten nach dem STGB in Betracht?

00:12:10: Grundsätzlich ordnet die KI MIG die Anwendung des Ordnungswidrigkeitsgesetzes an.

00:12:15: Außerhalb des Ausschlosses vom Paragraph XVI-MIC haben wir hier keine eigene Strafrechtsnorm.

00:12:23: Das KI-System selbst ist kein Zurechnungssubjekt, es hat keine Handlungsfähigkeit und auch keine Schuldfähigkeit.

00:12:32: Deswegen ist hier zu trennen zwischen einem Verstoß gegen die KI-Verordnung, die dann eben ein Bußgeld nach Artikel neunneinzig KI-Veordnungen nach sich ziehen könnte oder eine Straftat beim Einsatz von KI.

00:12:45: Da sind wir dann natürlich im Kernstrafrecht und eher der Frage bei der Einsetzung von Werkzeugen, und eben einfach bei der üblichen Substitution im Rahmen des regulären Strafrechts.

00:13:01: Strafrechtliche Anknüpfungstaten können hier natürlich ein Bedruck beispielsweise sein nach zuhundertsetzig STGB wenn die KI beispielsweise unrichtige Angaben im Geschäftsverkehr generieren sollte, oder eben eine Untreue nach zuhundertsechzigstgb.

00:13:18: Wenn eine pflichtwidrige Vermögensdisposition getroffen wird und zwar auf unzureichende Informationsgrundlage und diese Informations Grundlage dann eben insbesondere von der KI bereitgestellt wird.

00:13:31: Und natürlich haben wir auch die Computer-Straftaten, sozusagen auch den two-neun-sechzig-zwo-of-diehen-siebzig-STGB.

00:13:39: Die Fälschung beweils erheblicher Daten.

00:13:42: Kommen wir zu verstößen gegen die Verordnung zurück.

00:13:45: Was ist nach der KI-Verordnung verboten?

00:13:48: Verboten ist der unterschwellige Manipulativ oder treuschender Einsatz von Techniken.

00:13:52: Die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist ebenso verboten.

00:13:57: All diese Verbote sind absolute Verbote.

00:14:00: Mit anderen Worten, wie eingangs schon gesagt es gibt hier keine Kompensation durch Risikomanagement.

00:14:05: Es gibt hier eine Abwägung.

00:14:07: Hierbei handelt das sich um verbotene Systeme.

00:14:10: Welche Bußgelder gelten bei Verstößen gegen diese Pflichten?

00:14:13: Auch hier haben wir wieder eine Dreistufigkeit dieses meinem Artikel.

00:14:16: neunneinzig KI-Verordnung.

00:14:18: Wir haben die Verstösse gegen den Pflicht aus Artikel fünf also gegen die Verbote.

00:14:22: Hier haben wir ein Bußgeld bis zu fünf Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.

00:14:27: Dann haben wir die Verstöße gegen Anbieterbetreiber, Einführerhändler und Konformitätsbewertungspflichten bis zu fünfzehn Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes.

00:14:38: Und unrichtige oder irreführende Angaben gegenüber Behörden- oder notifizierten Stellen.

00:14:44: hier haben wir ein Bußgeld bis zu sieben Komma fünf Millionen Euro Oder ein Prozent des Weltweiten jahres Umsatzes.

00:14:51: Wichtig bei der Festlegung der Buse ist er jeweils höhere Betrag.

00:14:56: maßgeblich Bei kleinen und mittleren Unternehmen, also bei den KMUs gibt es einen Anfangszeichen-Pribiläk.

00:15:06: Dort gilt jeweils der niedrigere Wert.

00:15:08: Das findet sich so in Artikeln neunneunzig Absatz sechs.

00:15:12: Was kann sich mindert auf Bußgelder auswirken?

00:15:15: Hier haben wir Vorgaben zur Bemessung des Bußgeldrahmens.

00:15:20: Dieser ist geregelt im Neunneuenzig Absat sieben.

00:15:25: Hier fällt unter anderem rein die schwere Unterdauer des Verstoßes.

00:15:28: Die Frage, ob es sich um Vorsatz- oder Fahrlässigkeit handelt, die Kooperationsbereitschaft und die Maßnahmen zur Risikominimierung.

00:15:36: Wichtig hier wie so oft – das kennen wir aus dem allgemeinen Ordnungswidrigkeitenrecht – ist ein ganz elementarer Hebel, ein funktionierendes und dokumentiertes Compliance Management System was dann natürlich auch entsprechend auf Verstöße reagieren darf.

00:15:51: Welche weiteren Tipps geben Sie Unternehmen zur Prävention?

00:15:55: Zur Prävenzion sehen wir insbesondere drei Maßnahmen als besonders geeignet an, das ist zum einen das Thema der KI-Kompetenz im Unternehmen.

00:16:06: dieses muss wirklich aufgebaut werden und das beinhaltet auch eben die Leitungsebene d.h.

00:16:12: also Schulung Dann wiederum verbindliche KI-Richtlinien und Unternehmen, damit klar geregelt ist was darf, was kann.

00:16:20: Und was ist verboten?

00:16:23: Und eben auch die Entscheidung – wir hatten das vorhin unter anderem mit der Business Judgment Rule – insbesondere bei der Risikoklassifizierung und bei Compliance.

00:16:30: Entscheidungen sind natürlich zu dokumentieren und dazu gehören natürlich auch die Informationsgrundlage und alle Argumente, die dafür und die dagegen

00:16:39: Sprechen.

00:16:40: Und zum Schluss, welche Regelungen der KI-Verordnung treten erst in Zukunft in Kraft?

00:16:45: Als nächstes haben wir am neunten Dezember sechsundzwanzig ein neues Produkthaftungsgesetz zur nationalen Umsetzung der Richtlinie EU zwanzig vierhnzwanzzig achtundzwenzig dreiundfünfzig.

00:16:56: die soll dann in Kraft treten und zweiten Dezcember zwanzIG siebenundzwannzig und am zweiten August zwanziggachtundzwanzig die verschobenen Hochrisikoflichte, dann wiederum gelten sollen.

00:17:10: Wir wieder ab und werden berichten, sobald es Neues

00:17:13: gibt.".

00:17:13: Danke für diese Informationen!

00:17:15: Vielen Dank auch an Sie, liebe Hörerinnen und Hörern.

00:17:17: Wenn sie Fragen oder Anmerkungen haben, melden Sie sich wie immer jederzeit gerne unter infoetrosinos-onminusair kommen.

00:17:24: Bis

00:17:25: zum nächsten Mal.

00:17:37: Bei Fragen wenden Sie sich an Rechtseinwältinnen und Rechtsanwälte Ihres Vertrauens.

00:17:41: Natürlich auch gerne an uns!

00:17:43: www.rosinus-on-r.com oder unter www.rozinus-partner.com.