Umsetzung des „AI Act“Wie Luxemburg in Zukunft KI reguliert

In Sachen Künstliche Intelligenz (KI) präsentiert sich Luxemburg gerne als Vorreiter im Herzen Europas. Keine staatstragende politische Rede vergeht ohne Hinweis auf das enorme Potenzial der Technologie – ob Budget oder „Etat de la nation“. Man dürfe den Zug nicht verpassen, heißt es dann immer wieder, man müsse „first mover“ werden. Zumindest in legislativer Hinsicht scheint Luxemburg diesem Anspruch gerade gerecht zu werden. Die Gesetzgeber des Großherzogtums sind dabei, als einer der ersten Mitgliedsstaaten überhaupt, die neue EU-Verordnung 2024/1689 in nationales Recht zu gießen, der sogenannte „AI Act“. Vor einigen Monaten hat die Justiz- und beigeordnete Medienministerin Elisabeth Margue (CSV) der zuständigen Chamber-Kommission einen Gesetzesentwurf vorgelegt, wie dieser „AI Act“ hierzulande umgesetzt werden soll.

Der „AI Act“ soll als erstes Gesetz weltweit KI-Systeme regulieren, in ihm hat die EU festgelegt, welche Systeme in Europa betrieben werden dürfen und welche nicht. Das wohl berühmteste Beispiel für eine verbotene KI ist das sogenannte „Social Scoring“, wie man es aus China kennt, die Bewertung und Sanktionierung von sozialem Verhalten durch KI. Im Kern besteht der „AI Act“ aus einer Risikoeinschätzung, er teilt KI in verschiedene Kategorien, aus denen sich unterschiedliche Rechte und Pflichten für Anbieter und Nutzer ableiten.

Es gibt verbotene Systeme, Hochrisiko-Systeme, Systeme mit begrenztem Risiko und solche ohne Risiko. Zu letzteren zählen beispielsweise Spam-Filter in Mailprogrammen, hier fallen keine Verpflichtungen an. Für alle anderen gilt: je höher das Risiko, desto strikter die Regeln. KI-Systeme mit begrenztem Risiko unterliegen einer Transparenzverpflichtung, dazu gehören Chatbots, generative Sprachmodelle wie ChatGPT oder andere Systeme, die Bild-, Audio-, Text- oder Videoinhalte generieren oder manipulieren. Nutzer müssen in diesen Fällen von den Betreibern informiert werden, dass sie mit einer KI interagieren oder die Inhalte von einer KI erzeugt wurden – sozusagen eine Kennzeichnungspflicht.

Hochrisiko-Systeme dürfen in der EU künftig nur noch unter Einhaltung bestimmter Anforderungen und Auflagen auf den Markt gebracht werden. Dazu zählen KI-Systeme in sehr vielen unterschiedlichen Feldern: von Medizinprodukten über Systeme als Teil kritischer Infrastruktur bis zur Bewerberauswahl im Job, in der Justiz, bei Grenzkontrollen oder bei Prüfungen im Bildungswesen. Anbieter solcher Hochrisiko-Systeme haben in Zukunft einige Pflichten: Neben Transparenz und einer Überwachung durch menschliches Personal sind sie unter anderem verpflichtet, ein Risikomanagementsystem zu betreiben, die Qualität der verwendeten Trainings- und Testdaten sicherzustellen und ausführliche Aufzeichnungen anzufertigen.

Auf Unternehmen, die KI-Systeme nutzen, – und davon gibt es immer mehr – kommt durch die Umsetzung des „AI Act“ auch in Luxemburg mehr Arbeit zu. Auch wenn sie keine Hochrisiko-Systeme nutzen oder anbieten, müssen sie in Zukunft für ausreichend KI-Kompetenz in ihrem Unternehmen sorgen. Der „AI Act“ sieht vor, dass Unternehmen eine Bewertung erstellen, die den zuständigen nationalen Behörden auf Anfrage zur Verfügung gestellt werden soll. Außerdem sollen sie ihr KI-System in einer neu eingerichteten EU-Datenbank registrieren.

Auf europäischer Ebene ist das EU AI-Office für den „AI Act“ zuständig, es ist angesiedelt in der GD Connect (Generaldirektion Kommunikationsnetze, Inhalte und Technologien). Seine Aufgaben sind jedoch eher allgemeiner Natur. Von Brüssel aus soll die Zusammenarbeit unter den Mitgliedsstaaten koordiniert sowie die Entwicklung von vertrauenswürdiger KI gefördert werden. Zu überwachen, ob und wie der „AI Act“ tatsächlich eingehalten wird, dafür sind die Mitgliedsstaaten zuständig, die wiederum Rückmeldung an die EU-Ebene geben.

Die jeweilige nationale KI-Aufsicht hat im Grunde vier Aufgaben: Die Behörde muss unabhängige Prüfstellen benennen, die Hochrisiko-KI-Systeme kontrollieren. Sie muss den Markt überwachen und dient als Anlaufstelle für Anbieter, wenn diese Fehler in ihren Systemen entdecken. Außerdem soll sie Innovation und Wettbewerb fördern. Für Luxemburg hat der Regierungsrat bereits im November 2024 die nationale Datenschutzkommission (CNPD) als nationale KI-Aufsicht bestimmt. Im neuen Gesetzesentwurf wird die CNPD zum „organisme notifié“ ernannt, wenn ein KI-System mit hohem Risiko von Strafverfolgungsbehörden, Einwanderungsbehörden oder Asylbehörden in Betrieb genommen werden soll.

Die CNPD wird ebenfalls für die Koordinierung der einzelnen sektoral zuständigen Behörden verantwortlich sein. Je nach Anwendungsbereich des KI-Systems wird in Luxemburg also eine andere Behörde die Kontrolle des Marktes übernehmen. So ist beispielsweise die „Autorité de contrôle judiciaire“ für KI-Systeme im Justizbereich zuständig, die „Commission de surveillance du secteur financier“ (CSSF) für den Finanzsektor und das „Commissariat aux assurances“ für die Versicherungsbranche. Weitere zuständige Behörden sind das „Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services“ (ILNAS), das „Commissariat du gouvernement à la protection des données auprès de l’Etat“ und die noch nicht gegründete „Agence luxembourgeoise des médicaments et produits de santé“. Letztere soll für die Hochrisiko-KI-Systeme im Gesundheitsbereich verantwortlich sein und befindet sich gerade selbst noch im Zustand eines Gesetzesentwurfs, eingereicht im Januar von Gesundheitsministerin Martine Deprez (CSV).

Als Standard-Marktaufsichtsbehörde und zentrale Anlaufstelle kommt vor allem auf die CNPD ein erheblicher Mehrbedarf an Personal und technischen Mitteln zu. Für das laufende Jahr 2025 hat die Behörde einen Bedarf von acht zusätzlichen Stellen angemeldet, für das Jahr 2026 weitere drei. Nicht alle angesprochenen Behörden sind mit der Aufgabenzuteilung zufrieden. Die CSSF kritisiert in ihrem Gutachten zum Gesetzesentwurf die Ausweitung ihrer Zuständigkeit. Laut Gesetzestext, so die Lesart der CSSF, lägen alle KI-Systeme unter ihrer Aufsicht, die von Unternehmen im Finanzsektor genutzt werden – und nicht nur KI-Systeme für Finanzdienstleistungen.

Handels- und Handwerkskammer fordern in ihrem gemeinsamen Gutachten ausreichende Ressourcen für die Behörden, da diese „unweigerlich ein Schlüsselelement für die Attraktivität des Landes als europäischer ‚AI Hub‘“ seien. Sie sollten leicht zugänglich und offen für den Dialog mit allen relevanten Akteuren sein sowie Unternehmen bei ihren neuen Pflichten begleiten, so das Gutachten weiter. Handels- und Handwerkskammer setzen sich außerdem dafür ein, den „Verwaltungsaufwand nicht unnötig“ zu erhöhen, insbesondere für Start-ups und kleine und mittlere Unternehmen.

Auch in Sachen KI bleibt Überregulierung eine Sorge der Wirtschaft. Auf der anderen Seite stellt sich für eine effektive Regulierung jedoch die Frage: Wie mächtig sind die ernannten Behörden in ihren neuen Aufgaben? Was passiert, wenn sich ein KI-Anbieter in Luxemburg nicht an die neuen Regeln hält? Laut Gesetzesentwurf haben die Behörden der Marktüberwachung in Zukunft das Recht, zu sanktionieren. Diese Sanktionen bestehen aus drei Stufen: Verwarnung, Verweis und schließlich eine Verwaltungsgeldbuße. Im Gesetzestext heißt es: „Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Sie berücksichtigen die Interessen kleiner und mittlerer Unternehmen, einschließlich neu gegründeter Unternehmen, und ihre wirtschaftliche Lebensfähigkeit.“

Laut Handels- und Handwerkskammer mangelt es an dieser Stelle an Klarheit. Sie fordern sowohl „die Verbindung zwischen Geldbußen und anderen Durchsetzungsmaßnahmen als auch die Grundsätze für die Festlegung der Höhe der Geldbußen klarer zu formulieren.“ Im Gesetzestext sind – analog zur EU-Verordnung – zwei Geldbußen konkret ausformuliert: Wer verbotene KI-Systeme auf den europäischen Markt bringt, wird mit einer Strafe von bis zu 35 Millionen Euro oder sieben Prozent seines gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr belegt, je nachdem, welcher Betrag höher ist. Falsche oder unvollständige Informationen zu KI-Systemen können bis zu 7,5 Millionen Euro kosten oder ein Prozent des Jahresumsatzes.

Die Arbeitnehmerkammer (CSL) begrüßt in ihrem Gutachten die Regulierungsbestrebungen der Regierung, mahnt aber an, dass der Gesetzesentwurf sich in erster Linie auf die Geschäftsbeziehung zwischen Anbieter und Nutzer von KI fokussiere, die Wahrung der Grundrechte jedoch nur in zweiter Linie verfolge. Es fehlt der CSL an Leitplanken für den Schutz von Arbeitnehmern, die in Zukunft in ihren Unternehmen mit KI-Systemen konfrontiert werden. Der „AI Act“ und damit seine luxemburgische Umsetzung sieht solche Regelungen jedoch nicht vor. Dafür wird es wohl weiterer Gesetze bedürfen.