Umsetzung des AI Act: Viele Spannungsfelder mit bestehenden Regulierungen

Mit der Verordnung zur Künstlichen Intelligenz (AI Act) hat Europa 2024 einen entscheidenden Schritt für die Regulierung von KI-Systemen unternommen, um deren sichere Nutzung im Einklang mit europäischen Werten zu gewährleisten. Als weiteres Puzzlestück ergänzt der AI Act die Bestrebungen der vergangenen Legislaturperioden, die Europäische Union und insbesondere den europäischen Binnenmarkt fit für das digitale Zeitalter zu machen. 

Bis August 2026 steht die Aufgabe an, den AI Act bestmöglich Stück für Stück umzusetzen und konkret zu definieren, was seine Vorgaben in der Praxis bedeuten. Doch wie bei jedem komplexen Regelwerk zeigt sich bereits jetzt, dass einzelne Teile noch nicht nahtlos ineinanderpassen. Inkonsistenzen, Überschneidungen und Unklarheiten könnten die reibungslose Umsetzung behindern und zu Rechtsunsicherheiten führen, die eigentlich vermieden werden sollten. 

Im Auftrag des Projektes reframe[Tech] - Algorithmen fürs Gemeinwohl der Bertelsmann Stiftung hat Prof. Dr. Philipp Hacker in der Studie „Der AI Act im Spannungsfeld digitaler und sektoraler Regulierung“ sowohl die wesentlichen Knackpunkte als auch Synergien zwischen dem AI Act und relevanten bestehenden Gesetzen untersucht. Denn viele KI-Anwendungen, die unter die horizontalen Vorgaben des AI Act fallen, unterliegen gleichzeitig anderen digitalen und sektoralen Anforderungen. Anhand ausgewählter Digitalgesetze – wie der Datenschutz-Grundverordnung (DS-GVO) und dem Digital Services Act (DSA) – auf der einen Seite sowie sektoraler Gesetzgebung im Finanz-, Medizin- und Automobilbereich auf der anderen Seite, beleuchtet die Studie die aktuellen Herausforderungen in Bezug auf den AI Act. 

Wichtige Erkenntnisse lauten: 

• Die Risikoanalysepflichten des DSA und des AI Act können sich überschneiden, insbesondere bei Plattformen, die generative KI-Technologien integrieren. Hier besteht die Herausforderung, plattformspezifische und KI-bezogene Risiken miteinander abzustimmen. 

• Bisher gibt es keine klaren Regeln zur Wiederverwendung personenbezogener Daten für das Training von generativer KI. Das erschwert es, sowohl die Vorgaben der DS-GVO als auch die Anforderungen des AI Act zu erfüllen. 

• In der Finanzbranche könnten unterschiedliche Anforderungen des Datenschutzes und des AI Act zu Überschneidungen führen, die KI-gestützte Risikoanalysen erschweren.  

• In der Automobilindustrie stellt die Integration von Fahrassistenzsystemen in bestehende Produktsicherheits- und Haftungsregelungen eine doppelte regulatorische Herausforderung dar.  

• Im Gesundheitswesen könnten widersprüchliche Anforderungen, bei ohnehin schon knappen Kapazitäten in den Zulassungsmechanismen, die Verbreitung KI-basierter Medizin-Anwendungen verlangsamen. Dazu zählen beispielsweise KI-Systeme zur Krebsdiagnose oder zum Erstellen von Arztbriefen. 

Jeder dieser Bereiche zeigt, dass der Anpassungsbedarf und die Notwendigkeit von Nachjustierungen je nach Sektor unterschiedlich stark ausgeprägt sind. Dennoch lassen sich über alle digitale und sektorale Rechtsrahmen hinweg gemeinsame strukturelle Maßnahmen identifizieren:  

Kurzfristig sollte eine bessere Verzahnung bestehender Regelwerke erfolgen, um Doppelungen zu vermeiden und die Effizienz zu steigern. In einem Fall ist dies im AI Act bereits gut gelungen: Bei Finanzinstitutionen reichen die bestehenden Regeln zur internen Organisation bereits explizit aus, um die Anforderungen des AI Act an ein Qualitätsmanagementsystem zu erfüllen – solange sie die EU-Vorgaben einhalten. Ähnliche Verzahnungen könnten weitgehend durch Durchführungsverordnungen der Europäischen Kommission entstehen. Ebenso ließen sie sich durch Leitlinien der nationalen Aufsichtsbehörden zur Anwendung des AI Act in spezifischen sektoralen Kontexten erreichen. 

Langfristig sind sowohl nationale als auch europäische Ansätze erforderlich, um die KI-Regulierung mit anderen Rechtsakten zu harmonisieren und regulatorische Widersprüche nachhaltig zu beseitigen. Darüber hinaus sollte eine regelmäßige Überprüfung der regulatorischen Rahmenwerke erfolgen, um sicherzustellen, dass technologische und gesellschaftliche Entwicklungen angemessen berücksichtigt werden. 

Insgesamt geht es dabei nicht nur um juristische Präzision. Die Auswirkungen des AI Act betreffen zentrale Wirtschafts- und Gesellschaftsbereiche. Regulatorische Widersprüche und Unsicherheiten gefährden die Innovationskraft von Unternehmen wie auch die Effizienz der Regulierung. Sie können sowohl zur Fragmentierung der Zuständigkeiten als auch zu einer Regulierungsarbitrage führen, bei der Unternehmen versucht sein könnten, strengere Vorgaben zu umgehen. Um die vielfältigen Anforderungen der KI-Regulierung konsistent zusammenzuführen, ist ein Dialog aller relevanten Akteure in Europa und den Mitgliedstaaten – von Gesetzgebern und Aufsichtsbehörden bis hin zu Unternehmen und der Zivilgesellschaft – unerlässlich. Nur so kann eine intelligent verzahnte Herangehensweise gelingen und der AI Act sein volles Potenzial entfalten.