Das musst du über die neue KI-Verordnung wissen!
Die neue EU-KI-Verordnung bringt ab 2025 umfassende Regelungen für den Einsatz von Künstlicher Intelligenz (KI). Dr. Rainer Lassl von der Grazer Kanzlei Meta Legal erklärt im Interview, welche Anforderungen auf Unternehmen zukommen, wie sich die Kennzeichnungspflicht für KI-generierte Inhalte auswirkt, was Nutzer von Sprachmodellen wie ChatGPT wissen sollten und welche Strafen drohen.
Seit August 2024 ist die EU-KI-Verordnung in Kraft, und ab Februar 2025 beginnen schrittweise die Verpflichtungen für die Nutzung und Entwicklung von KI-Systemen zu greifen. Als weltweit erstes umfassendes Regelwerk behandelt die Verordnung nicht nur den Einsatz von KI, sondern soll auch die Sicherheit und Transparenz bei der Nutzung gewährleisten.
Vier Risikogruppen für KI-Systeme
Die EU-KI-Verordnung teilt KI-Systeme in vier Risikogruppen ein, die jeweils unterschiedliche Regelungen und Anforderungen umfassen. „Anwendungen mit unannehmbarem Risiko, wie Social Scoring oder Systeme, die menschliches Verhalten manipulieren, werden ab Februar 2025 verboten“, erklärt Rainer Lassl. Andere KI-Systeme, die in weniger riskanten Kategorien eingeordnet werden, müssen ebenfalls spezifischen Vorschriften entsprechen, um Risiken zu minimieren. So wird der Einsatz von KI in kritischen Bereichen reguliert, ohne Innovationen zu hemmen.
Betroffen sind alle, die KI nutzen
Die Verordnung gilt für alle Unternehmen, die KI-Systeme entwickeln, anbieten oder nutzen – unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht. „Die Verordnung erfasst jeden, der in der EU KI-Tools entwickelt, anbietet oder verwendet“, so Lassl. „Eine Ausnahme gibt es nur für die rein private, nicht kommerzielle Nutzung.“
Keine generelle Kennzeichnungspflicht für ChatGPT-Nutzer
Ein besonders wichtiges Thema für Unternehmen, die Sprachmodelle wie ChatGPT nutzen, ist die Frage der Kennzeichnungspflicht für KI-generierte Inhalte. „Für Anwender wie Journalisten, Werbeagenturen oder Content Creator besteht keine generelle Pflicht, KI-generierte Texte zu kennzeichnen, sofern diese bearbeitet und redaktionell überprüft werden“, stellt der Experte klar. Damit können Unternehmen weiterhin KI-Tools nutzen, ohne ihre Inhalte als KI-generiert ausweisen zu müssen.
Kennzeichnungspflicht liegt bei den Entwicklern
Die Verantwortung zur Kennzeichnung von KI-generierten Inhalten liegt vor allem bei den Entwicklern der KI-Systeme. „Entwickler wie OpenAI, die Sprachmodelle wie ChatGPT anbieten, sind verpflichtet, ihre Inhalte technisch zu kennzeichnen – etwa durch Wasserzeichen oder Meta-Daten“, erklärt Dr. Lassl. Diese Kennzeichnung erfolgt oft im Hintergrund, sodass Endnutzer dies nicht wahrnehmen werden. Anwender von KI-Tools müssen sich also nicht um technische Kennzeichnungen kümmern, da dies auf Entwicklerseite erfolgt.
Deepfakes müssen gekennzeichnet werden
Eine Kennzeichnungspflicht besteht in der Regel jedoch bei sogenannten Deepfakes – KI-generierten Inhalte, die täuschend echt wirken und zur Irreführung genutzt werden können. „Deepfakes müssen klar als solche gekennzeichnet werden“, erklärt der Anwalt. Dies betrifft vor allem Bilder, Videos oder Audioaufnahmen, die reale Personen oder Ereignisse so realistisch imitieren, dass eventuell eine Verwechslungsgefahr besteht. Unternehmen, die solche Inhalte erstellen oder verbreiten, müssen sicherstellen, dass sie entsprechend markiert sind, um Missverständnisse zu vermeiden.
Urheberrechtsverletzungen durch KI-Texte vermeiden
Obwohl die Kennzeichnungspflicht von der EU-KI-Verordnung geregelt wird, bleiben Urheberrechtsfragen unabhängig davon bestehen. „Unternehmen sollten unbedingt sicherstellen, dass KI-generierte Texte nicht einfach übernommen, sondern durch menschliche Bearbeitung in ein eigenständiges Werk überführt werden“, warnt Rainer Lassl. Da Sprachmodelle wie ChatGPT auf bestehenden Daten basieren, besteht das Risiko, dass generierte Texte Urheberrechtsverletzungen auslösen könnten. Die deutliche Bearbeitung durch den Menschen ist hier der Schlüssel, um rechtliche Konflikte zu vermeiden.
Interne KI-Kompetenz aufbauen
Neben den technisch-rechtlichen Anforderungen müssen Unternehmen, die KI-Tools wie ChatGPT nutzen, bis August 2025 eine interne KI-Kompetenz aufbauen. „Das bedeutet, dass Mitarbeitende geschult werden müssen, um den Umgang mit KI-Systemen zu verstehen und gesetzeskonform damit zu arbeiten“, betont der Experte. Diese Schulungen sollten nicht nur die technischen Aspekte der KI-Nutzung umfassen, sondern auch die rechtlichen Anforderungen, um mögliche Risiken zu minimieren.
Strafen bei Verstößen
Bei Verstößen gegen die KI-Verordnung drohen empfindliche Strafen. „Es gibt ein dreistufiges Strafmodell, bei dem Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes verhängt werden können“. Doch kleine und mittelständische Unternehmen müssen nicht sofort mit solchen Höchststrafen rechnen. „Wie bei der Datenschutz-Grundverordnung wird es vermutlich zunächst um Aufklärung und Anpassung sowie gegebenenfalls um überschaubare Geldbußen gehen, bevor es zu drastischen Strafen kommt.“
Zeitplan zur Umsetzung der Verordnung
Die Verordnung wird bis August 2026 vollständig umgesetzt, mit wichtigen Zwischenschritten: Ab Februar 2025 treten erste Regelungen in Kraft, wie das Verbot von KI-Systemen mit unannehmbarem Risiko. „Bis August 2025 müssen Unternehmen dann beginnen, ihre Mitarbeitenden zu schulen und eine interne KI-Kompetenz aufzubauen“, so Rainer Lassl. Die vollständige Anwendung der Verordnung wird bis August 2026 erreicht sein.
Tipp: Weiterführende Informationen bietet die KI-Servicestelle der Rundfunk und Telekom Regulierungs-GmbH (RTR). Dort findest du einen praktischen Zeitstrahl, der die wichtigsten Fristen zur Umsetzung der Verordnung übersichtlich darstellt: www.rtr.at.
Fazit EU KI-Verordnung
Die EU-KI-Verordnung stellt Unternehmen vor neue rechtliche Anforderungen und bietet zugleich die Chance, KI-Systeme verantwortungsvoll und transparent einzusetzen. Für die klassischen Anwender von Sprachmodellen wie ChatGPT ändert sich derzeit nichts – es besteht keine generelle Kennzeichnungspflicht, diese betrifft aktuell ausschließlich die Anbieter. Ausnahme sind die sogenannten Deepfakes.
Unternehmen sind gut beraten, die rechtlichen Vorgaben zu beachten und sich frühzeitig auf die neuen Regelungen vorzubereiten. So lassen sich Strafen vermeiden, die ähnlich wie bei der Datenschutz-Grundverordnung empfindliche Ausmaße annehmen können.
Über den Experten Dr. Rainer Lassl:
Dr. Rainer Lassl ist Partner und Geschäftsführer der Kanzlei Meta Legal mit Standorten in Graz und Wien. Mit seinem Background in der internationalen Medienbranche hat sich unter anderem auf Medien-, IT- und Datenschutzrecht spezialisiert.
Mehr erfahren
Dieser Artikel wurde verfasst von:
Margit Wickhoff
Texterin, Content Creatorin und Agenturleiterin bei „butterbrot“
