Die internationale EY-Organisation besteht aus den Mitgliedsunternehmen von Ernst & Young Global Limited (EYG). Jedes EYG-Mitgliedsunternehmen ist rechtlich selbstständig und unabhängig und haftet nicht für das Handeln und Unterlassen der jeweils anderen Mitgliedsunternehmen. Ernst & Young Global Limited ist eine Gesellschaft mit beschränkter Haftung nach englischem Recht und erbringt keine Leistungen für Mandanten.
So unterstützen wir Sie
-
Cybersecurity ist ein immer komplexer werdendes Feld. Unternehmen müssen sich gut vorbereiten. Lesen Sie hier, wie EY Sie dabei unterstützt.
Mehr erfahren
Auch wenn sich viele Unternehmen mit ihrer generativen und agentischen KI noch in einer frühen, experimentellen Phase befinden, aufgrund der Vorschriften des AI Act kommen sie nicht umhin, eine strategische, proaktive Herangehensweise zu entwickeln, um ihre KI-Systeme rechtskonform, sicher und ethisch verantwortungsvoll aufzusetzen. Sie sollten rasch interne Ressourcen aufbauen, um eine fristgerechte, effektive Umsetzung der Anforderungen zu gewährleisten. Wenn erforderlich lohnt es sich, externe Berater mit regulatorischer und technischer KI-Expertise hinzuzuziehen.
Risikobewertung von KI-Systemen im Unternehmen laut EU AI Act
Im AI Act werden KI-Systeme in verschiedene Regulierungsstufen unterteilt. Abgestellt wird dabei auf das Risikopotenzial, aber auch auf mögliche Auswirkungen auf Grundrechte und Sicherheit. Aus der Kategorisierung ergeben sich die rechtlichen Anforderungen, die Unternehmen erfüllen müssen. Sie gelten sowohl für externe als auch für selbst entwickelte oder selbst vertriebene KI-Systeme.
Einige Systeme gelten als so risikobehaftet, dass sie komplett untersagt sind. Meist geht es bei dieser Bewertung um eine erhebliche Gefahr für die öffentliche Ordnung oder einen Eingriff in die Grundrechte. Ein Beispiel sind KI-Systeme, die gezielt schutzbedürftige Personen wie Kinder, ältere Menschen oder Personen mit Behinderungen ausnutzen.
Strikte Regeln gelten für sogenannte Hochrisikosysteme, die potenziell erhebliche Auswirkungen auf Sicherheit, Grundrechte oder kritische Infrastrukturen haben.
Für KI-Modelle mit allgemeinem Verwendungszweck legt der AI Act eigenständige regulatorische Anforderungen fest. Überschreiten diese Modelle bestimmte Schwellenwerte (u. a. in Bezug auf Leistungsfähigkeit oder gesellschaftliche Reichweite), wird ihnen ein systemisches Risiko zugesprochen, was zusätzliche Melde-, Dokumentations- und Transparenzpflichten zur Folge hat.
Hohe Anforderungen an Transparenz und Information der Nutzenden
Unabhängig von der Risikoeinstufung gilt für KI-Systeme eine Transparenzpflicht, wenn sie mit Menschen interagieren, biometrische Daten verarbeiten oder Inhalte generieren, die für Nutzende nicht eindeutig als KI-generiert erkennbar sind. So müssen Verbraucher:innen informiert werden, wenn sie mit KI interagieren, etwa über Chatbots oder Sprachassistenten.
Besondere Vorsicht ist auch deswegen geboten, weil generative und agentische KI-Modelle zunehmend von spezialisierten Cyberangriffen ins Visier genommen werden. Diese zielen darauf ab, die Funktionalität zu stören, fehlerhafte Inhalte zu erzeugen oder vertrauliche Informationen preiszugeben. Kritisch ist diese Bedrohung, weil die KI-Systeme große, oft schwer überprüfbare Datenmengen verarbeiten, komplexe neuronale Netze nutzen und in vielen Fällen dynamisch auf Nutzereingaben reagieren. Damit werden sie anfällig für gezielte Manipulationen.