{"id":861172,"date":"2024-06-26T07:57:31","date_gmt":"2024-06-26T07:57:31","guid":{"rendered":"https:\/\/www.capgemini.com\/de-de\/?p=861172"},"modified":"2026-01-22T07:47:14","modified_gmt":"2026-01-22T07:47:14","slug":"ai-act-im-fokus","status":"publish","type":"post","link":"https:\/\/www.capgemini.com\/de-de\/insights\/blog\/ai-act-im-fokus\/","title":{"rendered":"AI Act im Fokus"},"content":{"rendered":"\n

AI Act im Fokus: Wie Rechts- und Strategieberatung gemeinsam neue Standards setzen<\/h1><\/div><\/div><\/div><\/div>
\"\"<\/div>
Lars Bennek<\/h5>
27.06.2024<\/h5><\/div><\/div>
\"capgemini-invent\"\/<\/div><\/div><\/div><\/div><\/header>\n\n\n\n
\n

CMS und Capgemini Invent: Beratung zu Digital Regulation aus einer Hand<\/h3>\n\n\n\n

Durch die Kooperation von CMS <\/a>als internationaler Gro\u00dfkanzlei und Capgemini Invent als f\u00fchrenden Strategie- und Managementberatung k\u00f6nnen wir umfassend und ohne Reibungsverluste zu allen Aspekten der digitalen Transformation beraten.<\/p>\n\n\n\n

Wir bedanken uns vorab bei Bj\u00f6rn Herbers, Philippe Heinzke, David Rappengl\u00fcck und Sara Kapur von CMS <\/a>und Philipp Wagner, Oliver Stuke, Lars Bennek und Catharina Schr\u00f6der von Capgemini Invent.<\/strong><\/strong><\/p>\n\n\n\n

Rechtliche W\u00fcrdigung und Implikationen des AI Act<\/strong> <\/strong><\/h2>\n\n\n\n

Nach der Verabschiedung der \u201eVerordnung zur Festlegung harmonisierter Vorschriften f\u00fcr K\u00fcnstliche Intelligenz\u201c ( AI Act) durch das Europ\u00e4ische Parlament und den Rat der Europ\u00e4ischen Union wird diese am 1. August 2024 in Kraft treten . Damit ist ein langer Weg mit z\u00e4hen Verhandlungen abgeschlossen, der 2021 mit dem Vorschlag der Europ\u00e4ischen Kommission f\u00fcr eine unionsweite Regulierung K\u00fcnstlicher Intelligenz (\u201cKI\u201d) begann. Aufgrund seiner unmittelbaren Anwendbarkeit in allen 27 Mitgliedstaaten wird der AI Act weitreichende Auswirkungen auf Anbieter, Betreiber und Nutzer von KI haben.<\/p>\n\n\n\n

Der AI Act basiert auf einem “risk-based approach”. Danach steigen Compliance-Verpflichtungen, je h\u00f6her das Risiko eines KI-Systems ist.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Verbotene Praktiken nach dem AI Act (Art. 5) sind solche KI-Systeme, welche als unvereinbar mit den Grundrechten der Europ\u00e4ischen Union gelten.
Hochrisiko-KI-Systeme (Art. 6) werden in solche unterteilt, die selbst Produkte oder Sicherheitsbauteile von bestimmten Produkten sind und einem Konformit\u00e4tsbewertungsverfahren durch Dritte unterliegen und solchen, die in bestimmten, Bereiche Anwendung finden . Anbietern solcher KI-Systeme werden hohe Compliance-Anforderungen w\u00e4hrend des gesamten Systems-Lebenszyklus auferlegt.
Bestimmte KI-Systeme, wie solche die mit Menschen intergargieren (z.B. Chatbots) unterliegen besonderen Transparenzverpflichtungen (Art. 50).
GPAI-Modelle (Art. 51ff.) sind vielseitig verwendbare KI-Modelle, die unterschiedlichste Aufgaben erf\u00fcllen k\u00f6nnen und in Systemen integrierbar sind. Die Compliance Verpflichtungen variieren nach der Einordnung als “normale” GPAI-Modelle oder solche mit systemischem Risiko.
Die Bestimmungen \u00fcber die verbotenen Praktiken finden 6 Monate, \u00fcber GPAI-Modelle nach 12 Monaten und \u00fcber Hochrisiko-KI-Systeme zwischen 24 und 36 Monaten nach Inkrafttreten des AI Act Anwendung.
Bei Verst\u00f6\u00dfen gegen die Vorschriften \u00fcber verbotene Praktiken drohen Bu\u00dfgelder bis zu 35 Millionen Euro bzw. bis zu 7% des vorj\u00e4hrigen weltweiten Gesamtumsatzes und in anderen F\u00e4llen, Bu\u00dfgelder bis zu 7,5 Millionen Euro bzw. bis zu 1% des vorj\u00e4hrigen weltweiten Gesamtumsatzes.<\/p>\n\n\n\n

Strategische und operative Umsetzung durch AI-Governance<\/h3>\n\n\n\n

Um die Anforderungen aus dem AI Act umzusetzen, bedarf es eines \u00fcbergeordneten Ansatzes. Mit unserem umfassenden AI Governance Framework helfen wir Organisationen dabei, KI verantwortungsvoll und effizient zu nutzen und zugleich Risiken zu minimieren. Von Daten \u00fcber Modelle, verwendete Systeme und Use Cases hinweg m\u00fcssen Prozesse und Verantwortlichkeiten entlang technischer, prozessualer und regulatorischer Anforderungen definiert und \u00fcber den gesamten KI-Lebenszyklus eingehalten werden.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n


Die Formulierung einer langfristigen Vision zum Umgang mit KI sowie die Erarbeitung ethischer Richtlinien innerhalb der Organisation bilden die Grundlage jeder KI-Strategie, welche dann anhand eines Kommunikationsplanes kommuniziert werden kann. Im n\u00e4chsten Schritt k\u00f6nnen Rollen und Verantwortlichkeiten im Zusammenhang mit KI-Projekten identifiziert und festgelegt sowie Prozesse f\u00fcr Entwicklung, Implementierung und \u00dcberwachung von KI-Projekten angepasst werden. Empfehlenswert ist die Erstellung eines Handbuchs mit Sicherheitsstandards, Best Practices und Richtlinien f\u00fcr die Implementierung von KI. Da Anforderungen aus dem AI Act Einfluss auf z.B. Datenschutz, Urheberrecht und IT-Sicherheitsrecht haben, empfiehlt es sich, regulatorische Anforderungen kontinuierlich zu analysieren und in technisch messbare KPIs zu \u00fcbersetzen.
F\u00fcr Anbieter von Hochrisiko-KI ist die Einrichtung eines Risikomanagementsystems Pflicht, Komponenten davon werden in einem folgenden Blogbeitrag n\u00e4her beleuchtet. Um den Einsatz von KI zu skalieren und die operativen Prozesse verschlanken zu k\u00f6nnen, ist die Inventarisierung aller KI-Systeme mit anschlie\u00dfender Automatisierung von Prozessen, Entwicklung, Bereitstellung, \u00dcberwachung und Dokumentation erforderlich.
Zudem sollten Qualit\u00e4ts-, Fairness und Robustheitsmetriken eingerichtet und \u00fcberwacht werden. Um das notwendige Wissen unter den Mitarbeitenden auf- und Vorurteile gegen\u00fcber KI abzubauen, sollten kontinuierlich in einem iterativen Prozess \u00fcber den gesamten KI-Lebenszyklus hinweg Trainings- und Awarenesskonzepte angeboten und ein Change-Management zur Sicherstellung eines reibungslosen \u00dcbergangs initiiert werden.<\/p>\n\n\n\n

Anwendungsbeispiel<\/h3>\n\n\n\n

Um dieses Vorgehen in einem Anwendungsbeispiel zu verdeutlichen, geht es um ein (fiktives) Bundesministerium welches KI zur (Teil-)Automatisierung von Verwaltungsleistungen nutzen m\u00f6chte.

Die erste Herausforderung im Rahmen eines Umsetzungsprojekts ist die rechtliche Beurteilung, ob und inwiefern der AI Act auf die bezweckte KI-Integration anwendbar ist. Erst nach Kl\u00e4rung grundlegender (rechtlicher) Fragestellungen, l\u00e4sst sich konkret festhalten, welche Compliance-Verpflichtungen bestehen und wie die Bestimmungen des AI Act in technischer Sicht umgesetzt werden k\u00f6nnen.
Anf\u00e4nglich ist daher die Frage zu beurteilen, ob das KI-System einer Risikokategorie des AI Act unterf\u00e4llt und welche Rolle das Ministerium konkret in Bezug auf das KI-System aus\u00fcbt. Abh\u00e4ngig von der konkreten Verwendung d\u00fcrfte ein KI-System zur (Teil-)Automatisierung von Verwaltungsleistungen als ein Hochrisiko-KI-System nach dem AI Act einzuordnen sein. Die Anlage III des AI Act regelt konkrete “Hochrisikobereiche”. Im Zusammenhang mit der \u00f6ffentlichen Verwaltung werden folgende Verwendungsbereiche eines KI-Systems genannt:
\u2022 als Sicherheitskomponente in der Verwaltung,
\u2022 zur Beurteilung von Anspr\u00fcchen auf \u00f6ffentliche Dienste und Leistungen, oder
\u2022 zur Rechtsanwendung durch Justizbeh\u00f6rden.
Die Compliance-Verpflichtungen von Hochrisiko-KI-Systemen richten sich prim\u00e4r an den Anbieter eines solchen KI-Systems. Dennoch hat auch der Betreiber Pflichten nach dem AI Act. Es m\u00fcssen demnach folgende Fragen gestellt werden:
\u2022 Bezweckt das Ministerium die Entwicklung und in der Folge die Inbetriebnahme eines KI-Systems? In diesem Fall tritt das Ministerium als Anbieter auf.
\u2022 Soll ein bestehendes KI-System lediglich in eigener Verantwortung verwendet werden? In diesem Fall tritt das Ministerium als Betreiber auf.
\u2022 Soll ein bereits bestehendes KI-System individuell an die Bed\u00fcrfnisse des Ministeriums angepasst werden und wird dieses somit grundlegend ver\u00e4ndert? In diesem Fall w\u00e4re das Ministerium nicht mehr nur Betreiber, sondern ein Anbieter.
Nachdem die grundlegenden Fragen gekl\u00e4rt sind, folgt die konkrete Planung zur Umsetzung der Compliance-Verpflichtungen und zum Erstellen von Governance-Strukturen. In diesem Anwendungsbeispiel k\u00f6nnen anschlie\u00dfend Legal Engineers<\/a> mit ihrer interdisziplin\u00e4ren Vorgehensweise rechtliche Anforderungen in Anforderungen und L\u00f6sungsdesigns \u00fcbersetzen, indem sie zu den Verpflichtungen passende technische und organisatorische Ma\u00dfnahmen identifizieren und konzipieren. Hier ist ein breites Spektrum denkbar, beispielsweise k\u00f6nnen Anforderungen zur Datengovernance aus Art. 10 AI Act in das Architekturdesign \u00fcbertragen werden. So k\u00f6nnen durch Privacy by Design Trainingsdaten anonymisiert oder gefiltert werden. Differential Privacy Methoden k\u00f6nnen zudem die Vertraulichkeit von Daten sch\u00fctzen. Eine gr\u00fcndliche Auswahl und Evaluation der verwendeten Trainingsdaten k\u00f6nnen zudem m\u00f6glichen Bias reduzieren.
Um der menschlichen Aufsicht aus Art. 14 AI Act gerecht werden zu k\u00f6nnen, bedarf es einer gewissen Erkl\u00e4rbarkeit der KI-Modelle, damit der Mensch die Chance bekommt, seine Aufsichtsfunktion wahrzunehmen. Erkl\u00e4rbarkeitsmethoden werden umso wichtiger, wenn eine KI im Rahmen der Entscheidungsvorbereitung eingesetzt wird. Hier k\u00f6nnen zus\u00e4tzliche Erkl\u00e4rungen oder visuelle Ausgaben genutzt werden, die aufzeigen, auf welcher Datenbasis die Ausgabe beruht.
Aufgrund der Vielfalt der zu ber\u00fccksichtigenden Vorgaben kommt der Auswahl des KI-Modells besondere Bedeutung zu, da unterschiedliche Trainingsmodelle unterschiedlich offen in Bezug auf Trainingsdaten sein k\u00f6nnen und die Modellauswahl stark von den Use-Cases abh\u00e4ngt. Um eine fundierte Entscheidung treffen zu k\u00f6nnen und den gew\u00fcnschten Projekterfolg zu erreichen, ist ein agiles und interdisziplin\u00e4res Vorgehen, das sowohl rechtliche als auch technologische Aspekte ber\u00fccksichtigt, unerl\u00e4sslich.
In unserem Anwendungsbeispiel wird deutlich, wie komplex und vielschichtig das Thema ist: erst nach Kl\u00e4rung der rechtlichen Fragen in Bezug auf AI-Akteur und Art des KI-Systems k\u00f6nnen daraus resultierende Pflichten in einer AI Governance identifiziert und umgesetzt werden.<\/p>\n\n\n\n

Ausblick<\/h3>\n\n\n\n

Der Einsatz von KI bietet ein enormes Wertsch\u00f6pfungspotenzial, birgt aber auch funktionale und rechtliche Risiken. Regulierungen von KI z.B. durch den AI Act f\u00fchren zu einem umfassenden Regelungskonzept, erfordern jedoch eine detaillierte Umsetzung in den Organisationen unter Ber\u00fccksichtigung technischer, prozessualer und menschlicher Dimensionen. In zahlreichen Projekten hat sich gezeigt, dass eine AI Governance nur Nutzen stiftet, wenn sie mit dem steten Wandel der KI-Technologie Schritt h\u00e4lt. Klarheit in den Rahmenbedingungen kann jedoch nach einer ersten Phase der Unsicherheit zu einem Anwachsen von KI-Anwendungen in Grenz-Bereichen f\u00fchren. Hier wurde nicht nur eine Technologie f\u00fcr bekannte Probleme entwickelt, sondern Anwendungsf\u00e4lle kommen pl\u00f6tzlich erst durch die neuen M\u00f6glichkeiten auf. Um hier mit dem Markt Schritt zu halten, sollten die Umsetzungsrichtlinien schon jetzt so hilfreich wie n\u00f6tig, aber so flexibel wie m\u00f6glich gestaltet werden. Eine Vertiefung in das nach Art. 9 AI Act vorgeschriebene Risikomanagement erfolgt in K\u00fcrze.<\/p>\n\n\n\n

Vielen Dank an die Autor:innen Bj\u00f6rn Herbers, Philippe Heinzke, David Rappengl\u00fcck und Sara Kapur von CMS <\/a>und Philipp Wagner, Oliver Stuke, Lars Bennek und Catharina Schr\u00f6der von Capgemini Invent.<\/strong><\/strong><\/em><\/p>\n<\/div><\/div><\/div><\/div><\/div><\/section>\n\n\n\n

Unser Experte<\/h3><\/div><\/div>
\n\t\t
\n\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t\t\t\"Lars\n\t\t\t\t\t<\/div>\n\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t