Der Kern des EU KI-Gesetzes besteht in einem risikobasierten Ansatz, der KI-Systeme nach ihrem potenziellen Risiko für die Gesellschaft und den Einzelnen kategorisiert. Es gibt vier Risikokategorien, die von inakzeptablem Risiko bis minimales oder kein Risiko reichen. Dieser abgestufte Ansatz erlaubt es, die strengen Regulierungen auf die gefährlichsten Anwendungen zu fokussieren, während gleichzeitig Innovation und Entwicklung von KI gefördert werden.

1. Inakzeptables Risiko – Verbotene KI-Anwendungen

Bestimmte Anwendungen von KI werden in der EU als so riskant eingestuft, dass sie vollständig verboten werden. Diese Anwendungen umfassen etwa:

• Manipulative KI-Systeme, die das Verhalten von Menschen auf gefährliche Weise beeinflussen, etwa durch spielzeugbasierte Sprachsteuerung, die Kinder zu riskantem Verhalten verleitet.
• Soziales Scoring, wie es in China eingesetzt wird, um Bürger basierend auf ihrem Verhalten oder sozialen Status zu bewerten und in Kategorien einzuteilen.
• Biometrische Identifizierung in Echtzeit, etwa durch Gesichtserkennung in der Öffentlichkeit, die das Potenzial hat, die Privatsphäre massiv zu verletzen.

Ausnahmen sind nur in sehr speziellen Fällen, etwa für Strafverfolgungszwecke, zulässig und unterliegen strengen gerichtlichen Genehmigungen.

2. Hochrisiko-KI-Systeme

Zu den besonders risikobehafteten KI-Anwendungen gehören Systeme, die in Bereichen eingesetzt werden, die erhebliche Auswirkungen auf die Gesundheit, Sicherheit oder Grundrechte der Menschen haben. Hochrisiko-KI-Systeme müssen strengen Auflagen folgen und werden während ihres gesamten Lebenszyklus genau überwacht. Beispiele hierfür sind:

• Kritische Infrastrukturen wie der Verkehr oder die Energieversorgung, wo der Einsatz von KI das Leben und die Gesundheit von Bürgern unmittelbar beeinflussen kann.
• Bildungssysteme, in denen KI zur Bewertung von Schülern und Studenten eingesetzt wird, was den Zugang zu Bildung beeinflusst.
• Beschäftigungs- und Bewerbungsprozesse, in denen KI-Systeme Entscheidungen über die Einstellung und Verwaltung von Arbeitnehmern treffen.

Alle Hochrisiko-KI-Systeme müssen sich einer gründlichen Bewertung unterziehen, bevor sie auf den Markt kommen, und während ihres Betriebs überwacht werden. Die Anbieter solcher Systeme sind verpflichtet, die Rückverfolgbarkeit der Entscheidungen sicherzustellen und regelmäßig Berichte über die Risiken ihrer Systeme vorzulegen.

3. Begrenztes Risiko – Transparenzanforderungen

Einige KI-Systeme stellen ein moderates Risiko dar, insbesondere wenn sie in Bereichen eingesetzt werden, die nur begrenzt sensible Daten betreffen. Hier legt das Gesetz den Schwerpunkt auf Transparenz. So müssen Nutzer beispielsweise darüber informiert werden, wenn sie mit einem Chatbot interagieren oder wenn Inhalte wie Bilder oder Videos von KI erstellt wurden (Deepfakes). Diese Transparenz soll das Vertrauen in die KI erhöhen und die Verantwortlichkeit klarstellen.

4. Minimales oder kein Risiko

Die meisten KI-Anwendungen fallen in die Kategorie mit minimalem oder keinem Risiko. Hierzu gehören KI-Systeme wie Spam-Filter oder Videospiele, die keinen direkten Einfluss auf das Leben oder die Sicherheit der Nutzer haben. Für diese Systeme gibt es keine speziellen Regulierungen, da sie als unbedenklich eingestuft werden.