I) Eine unmittelbar anwendbare Verordnung mit schrittweiser Umsetzung
Die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates („KI-Verordnung“) trat vor einem Jahr, am 2. August 2024, in Kraft. Sein Hauptziel besteht darin, den Markt in der Europäischen Union zu harmonisieren und den freien Verkehr von KI-Systemen zu gewährleisten. Dieser Text regelt die Entwicklung, den Einsatz und die Nutzung von KI in der Union, indem den Betreibern Anforderungen und Verpflichtungen auferlegt werden, die in einem angemessenen Verhältnis zu den mit dem beabsichtigten Zweck jedes Systems verbundenen Risiken stehen. Damit soll sichergestellt werden, dass in Verkehr gebrachte KI-Systeme die Gesundheit, Sicherheit und Grundrechte von Menschen schützen.
Die Umsetzung der Bestimmungen der KI-Verordnung erfolgt schrittweise in allen Mitgliedstaaten. Einige Verpflichtungen gelten bereits seit dem 2. Februar 2025, insbesondere:
- Verbot bestimmter KI-Praktiken, die als inakzeptabel angesehen werden (z. B. soziale Bewertung oder unterschwellige kognitive Manipulation),[1]
- das Erfordernis der Beherrschung von KI-Systemen für die betreffenden Betreiber.[2]
Die CNPD hat bereits Artikel zu diesen Verpflichtungen veröffentlicht, die seit dem 2. Februar gelten, und wird in den kommenden Monaten weiterhin über die neuen Verpflichtungen aus der KI-Verordnung und die Ableitungen zwischen der KI-Verordnung und der Datenschutz-Grundverordnung ("DSGVO") berichten.
Am 2. August traten neue Verpflichtungen in Kraft, darunter:
- die Transparenzpflicht für generative oder interaktive KI-Systeme (z. B. eine ausdrückliche Erwähnung, wenn ein Nutzer mit einer KI interagiert),
- Anforderungen an Konformitätsbewertungsstellen,
- die Kriterien für die Bewertung von KI-Modellen mit allgemeinem Verwendungszweck und ihre Einstufung entsprechend dem Risikoniveau;
- die Möglichkeit für Anbieter von KI-Modellen, einen freiwilligen Verhaltenskodex anzunehmen (Kapitel V der Verordnung).
II) Gesetzentwurf zur Umsetzung der KI-Verordnung in Luxemburg
Auf nationaler Ebene sieht der Gesetzentwurf Nr. 8476 u. a. Folgendes vor:
- die Benennung der zuständigen Behörden,
- Maßnahmen zur Unterstützung von KI-Innovationen,
- Erleichterung der Zusammenarbeit zwischen den Interessenträgern und
- Festlegung von Sanktionen und Rechtsbehelfsverfahren.
Anstatt neue spezifische Behörden zu schaffen, wurde beschlossen, die Mandate der bestehenden Institutionen zu erweitern. Dieser Ansatz gewährleistet Kontinuität, vermeidet Überschneidungen und nutzt das vorhandene Fachwissen, was angesichts des kontextuellen Charakters von KI-Technologien besonders wichtig ist.
Um eine wirksame und kohärente Umsetzung des RIA zu gewährleisten, sieht der Gesetzesentwurf PL8476 eine erhebliche Ausweitung der Aufgaben der CNPD vor. Die neuen Aufgaben der CNPD zielen darauf ab, das vorhandene Datenschutz-Know-how der CNPD zu nutzen und ihr Mandat auf Schlüsselaspekte der KI-Governance auszuweiten.
Die im Rahmen dieses Gesetzentwurfs vorgeschlagenen Aufgaben umfassen folgende Aufgaben:
- Benannte Stelle (Artikel 6): Die CNPD sollte als benannte Stelle benannt werden, die für die Bewertung der Konformität von Hochrisiko-KI-Systemen bei deren Einsatz durch Strafverfolgungsbehörden und Asyl- und Einwanderungsbehörden zuständig ist.
- standardmäßige Marktüberwachungsbehörde (Artikel 7 Absatz 1): Die CNPD würde als Standardbehörde für die Überwachung und Durchsetzung des KI-Gesetzes fungieren.
- Einrichtung eines Reallabors (Artikel 12 Absatz 1): Die CNPD würde den Betrieb der Reallabore überwachen und eine kontrollierte Umgebung für KI-Experimente bieten.
- zentrale Kontaktstelle (Artikel 13): Die CNPD würde als zentrale Anlaufstelle für Regulierungsfragen im Zusammenhang mit KI auf nationaler Ebene fungieren.
- Grundrechtsbehörde: Die CNPD wäre neben ALI und ITM befugt, die mit der Nutzung von KI-Systemen verbundenen Risiken für die Grundrechte zu überwachen und anzugehen.
[1] Artikel 5: der Verordnung des Europäischen Parlaments und des Rates über verbotene KI-Praktiken
[2] Artikel 4: der Verordnung des Europäischen Parlaments und des Rates zur KI-Beherrschung