Am 24. Mai hat die EU die weltweit erste umfassende Regulierung für den Einsatz künstlicher Intelligenz verabschiedet. Am 12. Juni folgte die Verkündung im EU-Amtsblatt. Die Regulierung enthält ein Rahmenregelungswerk für den Einsatz von KI-Instrumenten. Zusätzlich wurden bestehende dezentrale Vorschriften harmonisiert.
Überblick über die Regelungen
Der Regelungsrahmen umfasst neben allgemeinen Bestimmungen (Kapitel I) erstmals auch Verbote bestimmter Praktiken im Bereich des Einsatzes von KI-Instrumenten (Kapitel II). Nicht verbotene KI-Systeme unterliegen künftig einer risikobasierten Klassifikation in vier Risikokategorien mit absteigenden Risikograden. Je nach Risikograd werden Anforderungen unter anderem an Transparenz (Kapitel IV), Governance (Kapitel VII), Verhaltenskodizes (Kapitel X) und die Beobachtung nach Inverkehrbringen (Kapitel IX) festgelegt, die für Hochrisiko-KI-Systeme (Kapitel III) am umfangreichsten sind. Solche müssen beispielsweise auch in eine EU-Datenbank aufgenommen werden (Kapitel VIII).
Flankierend werden die Vorschriften aufsichtlich überwacht (Kapitel XI) und Verstöße sanktionsbeschwert (Kapitel XII). Es werden jedoch auch Maßnahmen der Innovationsförderung (Kapitel VI) definiert.
Die nationale Aufsichtsbehörde als Marktüberwachungsbehörde überwacht, ob regulierte Finanzinstitute die Vorschriften einhalten, sofern das Inverkehrbringen, die Inbetriebnahme oder die Verwendung des KI-Systems mit den Finanzdienstleistungen des Instituts in direktem Zusammenhang stehen (Art. 74 Abs. 6 EU/2024/1689).
Vorschriften für den Finanzsektor
Aus diesem Regelungskanon leiten sich dementsprechend auch Vorgaben für den Einsatz künstlicher Intelligenz durch Kreditinstitute und andere Unternehmen des Finanzsektors ab.
Die KI-Verordnung enthält auch speziellere Vorgaben für Unternehmen des Finanzsektors wie beispielsweise Kreditinstitute. So wird etwa in Tz. 42 der EU/2024/1689 auf den Einsatz künstlicher Intelligenz innerhalb von Risikoanalysen eingegangen. Dazu kann zum Beispiel das Risikomanagement von Kreditinstituten oder die Verhinderung von Geldwäsche zählen. Gemäß diesen Vorgaben wird ein Social Scoring von natürlichen Personen grundsätzlich verboten. Erlaubt sind hingegen Risikoanalysen, die nicht auf dem Profiling von Personen oder deren Merkmalen und Eigenschaften beruhen. Dazu zählen KI-Systeme, die die Wahrscheinlichkeit eines Finanzbetrugs auf der Grundlage verdächtiger Transaktionen bewerten oder allgemeine Risikoanalyseinstrumente einsetzen.
Gemäß Tz. 58 der EU/2024/1689 sollen KI-Systeme, die nach EU-Recht zur Aufdeckung von Betrug beim Angebot von Finanzdienstleistungen vorgesehen sind, nicht in die höchste Risikokategorie eingestuft werden. Gleiches gilt für Systeme, die für Aufsichtszwecke zur Berechnung der Eigenkapitalanforderungen von Kreditinstituten und Versicherungen eingesetzt werden. Dies ist für die dazugehörigen Compliance-Vorschriften relevant.
Erleichterungen für den Finanzsektor
Da die meisten Unternehmen des Finanzbereichs bereits aufsichtlich reguliert sind und im Rahmen dessen umfangreiche Anforderungen erfüllen müssen, wurden im KI-Regelungsrahmen auch Erleichterungen für Finanzinstitute erarbeitet. Diese betreffen unter anderem die Anforderungen an ein eingerichtetes Qualitätssicherungsmanagement (vgl. Art. 17 Abs. 4 EU/2024/1689) sowie die Aufbewahrung der Dokumentation und automatisch erzeugter Protokolle (Art. 18 Abs. 3, Art. 19 Abs. 2 bzw. Art. 26 Abs. 6 S. 2 EU/2024/1689).
Betreiben Finanzinstitute, die EU-Rechtsvorschriften für die interne Unternehmensführung unterliegen, Hochrisiko-KI-Systeme, gelten die besonderen Vorschriften an die Überwachung (Art. 26 Abs. 5 S. 2 EU/2024/1689) als erfüllt. Die Anforderungen an die Einrichtung eines Systems zur Beobachtung nach dem Inverkehrbringen von Hochrisiko-KI-Systemen sowie einem entsprechenden Plan gemäß Art. 72 Abs. 4 EU/2024/1689 gilt nur für Finanzinstitute, die solche die Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste und Leistungen betreffende nach Anhang III Nr. 5 EU/2024/1689 in Verkehr bringen.
Außerdem wird in Tz. 158 der EU/2024/1689 auf mögliche Wechselwirkungen der KI-Regulierung mit der bereits bestehenden Regulierung von Kreditinstituten und anderen Unternehmen des Finanzsektors eingegangen. So sollen zum Beispiel die bisher zuständigen Aufsichtsbehörden auch für die Aufsicht über den Einsatz von KI bei den betroffenen Unternehmen zuständig sein.
Insgesamt wird durch diese Regulierung ein wichtiger Rahmen für den Einsatz von KI gesetzt. Unternehmen des Finanzdienstleistungssektors sollten die Entwicklung des rechtlichen Rahmens weiter eng verfolgen. Es ist zu erwarten, dass spezifische Vorschriften für diese Unternehmen folgen werden.
Änderungen bestehender Vorschriften und In Kraft treten
Um einen einheitlichen harmonisierten Rechtsrahmen zu gewährleisten, mussten auch bereits bestehende Vorschriften geändert werden. Diese betreffen vor allem die Luft-, Schiff- und Kraftfahrtsicherheit.
Für bestimmte bereits in Verkehr gebrachte Systeme und KI-Modelle mit allgemeinem Verwendungszweck oder in Betrieb genommene KI-Systeme gelten Übergangsvorschriften bis teilweise zum 2. August 2030.
Die Verordnung trat am 1. August 2024 in Kraft und gilt in erster Linie ab dem 2. August 2026. Einzelne Vorschriften werden jedoch bereits zu einem früheren Zeitpunkt verbindlich. Dies betrifft vor allem die allgemeinen Bestimmungen und Verbote für den Einsatz von KI-Elementen, die bereits ab dem 2. Februar 2025 zu beachten sind. Weitere Vorschriften gelten ab dem 2. August 2025. Hierzu gehören unter anderem Vorschriften für Hochrisiko-KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck sowie für Governance und Sanktionen.
Über den Autor:
Christopher Zilch ist Wirtschaftsprüfer im Bereich Financial Services bei Deloitte. Vorherige Karrierestationen waren BDO und EY.
