Eine Einführung in Verhaltenskodizes für das AI-Gesetz

Aktualisiert: 21. August 2024. Dieser Blogbeitrag wird aktualisiert, sobald neue Informationen verfügbar sind.

Im Zuge der Umsetzung des AI-Gesetzes ist es wichtig, die verschiedenen in der Verordnung vorgesehenen Durchsetzungsmechanismen zu verstehen.

Diese Zusammenfassung, die den Verhaltenskodex für Anbieter von KI-Modellen für allgemeine Zwecke detailliert beschreibt, wurde zusammengestellt von Jimmy Farrelldem Leiter der EU-KI-Politik bei Pour Demain. Für weitere Fragen wenden Sie sich bitte an ihn unter jimmy.farrell@pourdemain.eu.

Einführung

Dieser Blog-Beitrag erläutert das Konzept, den Prozess und die Bedeutung des Verhaltenskodex, eines Instruments des KI-Gesetzes zur Überbrückung der Übergangszeit zwischen dem Inkrafttreten der Verpflichtungen für Anbieter von KI-Modellen für allgemeine Zwecke (GPAI) und der letztendlichen Annahme harmonisierter europäischer GPAI-Modellstandards. Nach der detaillierten Ankündigung der EU-AI-Büros vom 30. Juli, wie dieser Prozess ablaufen wird, fasst dieser Beitrag die wichtigsten Informationen zusammen. 

Normen und die Notwendigkeit eines Verhaltenskodexes 

Nach der endgültigen Verabschiedung der AI-Akte durch den Europäischen Rat am 21. Mai¹und der Veröffentlichung der AI-Akte im EU-Amtsblatt am 12. Juli²und dem Inkrafttreten am 1. August werden die Verpflichtungen der Verordnung in den nächsten drei Jahren schrittweise eingeführt, wie in einem früheren Blog-Beitrag beschrieben. In der Zwischenzeit hat der komplexe Prozess der Entwicklung harmonisierter europäischer Normen begonnen, um die Verpflichtungen aus dem Gesetz umzusetzen. Während ein offizieller Normungsantrag von der Kommission angenommen und von CEN-CENELEC in Bezug auf Normen für KI-Systeme genehmigt wurde³angenommen wurde, muss ein ähnlicher Antrag zu GPAI-Musternormen noch ausgearbeitet werden. Wann ein solcher Normungsauftrag erteilt wird, hängt weitgehend davon ab, wie wirksam der Verhaltenskodex die einschlägigen Verpflichtungen aus dem KI-Gesetz umsetzen kann. Der Normungsprozess wird auch in einem früheren Blog-Beitrag ausführlich beschrieben. 

Nach dem AI-Gesetz sind die Verpflichtungen für AI-Modelle für allgemeine Zwecke, die in den Artikeln 50-55 aufgeführt sind, zwölf Monate lang einklagbar⁴ nach Inkrafttreten des Gesetzes (August 2025). Der europäische Normungsprozess, an dem hauptsächlich⁵ das Europäische Komitee für Normung (CEN) und das Europäische Komitee für elektrotechnische Normung (CENELEC), kann jedoch oft bis zu drei Jahre dauern⁶. Bei technischeren Normen, wie denen für GPAI, kann dieser Prozess sogar noch länger dauern, und wenn sie in Abstimmung mit internationalen Normen ausgearbeitet werden⁷wie im AI-Gesetz vorgeschrieben⁸. Die Notwendigkeit, mehrere Interessengruppen einzubeziehen, und der Ansatz der Konsensfindung nehmen noch mehr Zeit in Anspruch. Daher ist es unwahrscheinlich, dass die GPAI-Modellanbieterverpflichtungen in absehbarer Zeit als technische Standards umgesetzt werden.

Kodex der Praxis

In Artikel 56 des AI-Gesetzes wird der Verhaltenskodex als Platzhalter für die Einhaltung der Vorschriften beschrieben, um die Zeit zwischen dem Inkrafttreten der GPAI-Musteranbieterpflichten (zwölf Monate) und der Annahme von Standards (drei Jahre oder mehr) zu überbrücken. Die Einhaltung der in den Verhaltenskodizes festgelegten Maßnahmen durch die GPAI-Modellanbieter ist zwar rechtlich nicht bindend, gilt aber bis zum Inkrafttreten der Normen als Vermutung für die Konformität mit den Verpflichtungen der GPAI-Modellanbieter gemäß Artikel 53 und 55. Diese Verpflichtungen umfassen⁹:

• Bereitstellung von technischen Unterlagen für das AI-Büro und die zuständigen nationalen Behörden

• Bereitstellung relevanter Informationen für nachgeschaltete Anbieter, die ihr Modell in ihr KI- oder GPAI-System integrieren wollen (z. B. Fähigkeiten und Grenzen)

• Zusammenfassungen der verwendeten Trainingsdaten

• Maßnahmen zur Einhaltung des geltenden Unionsrechts zum Urheberrecht

Für GPAI-Modelle mit systemischem Risiko (Modelle, die oberhalb des Schwellenwerts von 10^25 FLOPS trainiert werden), gelten folgende weitere Verpflichtungen¹⁰:

• Modellbewertungen nach dem Stand der Technik

• Risikobewertung und -minderung

• Meldung schwerwiegender Zwischenfälle, einschließlich Abhilfemaßnahmen

• Angemessener Schutz der Cybersicherheit

Anbieter, die den Verhaltenskodex nicht einhalten, müssen der Kommission die Einhaltung der oben genannten Verpflichtungen mit anderen Mitteln nachweisen¹¹nachzuweisen, was möglicherweise aufwändiger und zeitraubender ist. Diese Situation spielt sich derzeit in einem parallelen Fall in der EU-Digitalpolitik ab: X (ehemals Twitter) hat sich aus dem verschärften Verhaltenskodex für Desinformation zurückgezogen¹²zurückgezogen hat, der kürzlich als Verhaltenskodex in den Koregulierungsrahmen des Gesetzes über digitale Dienste aufgenommen wurde¹³. 

Der Verhaltenskodex wird wahrscheinlich die Grundlage für die GPAI-Standards bilden. Der Inhalt des Kodex soll daher die Intentionen des AI-Gesetzes getreu widerspiegeln, auch im Hinblick auf Gesundheit, Sicherheit und Grundrechtsbelange.

Entwurfsverfahren

Aufgrund der zwölfmonatigen Frist für das Inkrafttreten der GPAI-Modellanbieterverpflichtungen muss der Verhaltenskodex innerhalb von neun Monaten nach Inkrafttreten des AI-Gesetzes (bis zum 1. Mai 2025) ausgearbeitet werden. Damit soll der Kommission Zeit gegeben werden, diese per Durchführungsrechtsakt zu genehmigen oder abzulehnen.¹⁴zu billigen oder abzulehnen, und im letzteren Fall alternative Methoden zur Durchsetzung zu entwickeln. 

In einer kürzlich veröffentlichten Mitteilung hat die Kommission die Struktur des Entwurfsprozesses skizziert, einschließlich eines Aufrufs zur Interessensbekundung an ein breites Spektrum von Interessengruppen für die Teilnahme an der Plenarsitzung des Verhaltenskodex, der Eröffnung einer Konsultation mehrerer Interessengruppen und paralleler spezieller "Workshops" für Anbieter und Vorsitzende und stellvertretende Vorsitzende der Arbeitsgruppen (AG) der Plenarsitzung. 

Die folgende Tabelle enthält weitere Informationen über die einzelnen Möglichkeiten, die Fristen, die beteiligten Teilnehmer und die Zulassungskriterien für die einzelnen Teilnehmer:

Gelegenheit	Deadline	Teilnehmer*innen	Kriterien für die Zuschussfähigkeit
Teilnahme an der Ausarbeitung der CoP (Plenum)	Sonntag, 25. August 2024, 18:00 Uhr MEZ	Vorsitzende oder stellvertretende Vorsitzende von Arbeitsgruppen (Akademiker oder andere unabhängige Experten)	- Nachgewiesene Sachkenntnis in den einschlägigen Bereichen und - Fähigkeit, die Aufgabe zu erfüllen (zeitliche Verpflichtungen und operative Erfahrung) und - Unabhängigkeit**
		GPAI-Modellanbieter	- Bestehende Operationen in der EU oder - Geplante Operationen in der EU
		- Nachgeschaltete Anbieter - Andere Branchenorganisationen	- Bestehende Geschäfte in der EU oder - Geplante Geschäfte in der EU und - Nachgewiesenes berechtigtes Interesse
		- Wissenschaft - Unabhängige Experten - Verbundene Organisationen	Nachweis von einschlägigem Fachwissen Kann sich auch für den Vorsitz/Vizevorsitz einer Arbeitsgruppe melden
		Andere Organisationen von Interessengruppen (einschließlich Organisationen der Zivilgesellschaft, die eine bestimmte Interessengruppe vertreten, oder Organisationen, die Rechteinhaber vertreten)	- Präsenz in der EU und - Nachweisliches berechtigtes Interesse und - Nachweisliche Vertretung einer relevanten Interessengruppe
Konsultation mehrerer Interessengruppen	Dienstag, 18. September 2024, 18:00 Uhr MEZ	Alle Interessengruppen	K.A.
Anbieter-Workshops*	K.A.	- GPAI-Modellanbieter - Vorsitzende/Vizevorsitzende der Arbeitsgruppen	K.A.

* In der Ankündigung der Kommission heißt es auch, dass die Vertreter der Mitgliedstaaten eng in die Ausarbeitung der CoP einbezogen werden sollen.

** Die Unabhängigkeit der Vorsitzenden oder stellvertretenden Vorsitzenden bezieht sich auf "keine finanziellen oder sonstigen Interessen, die ihre Unabhängigkeit, Unparteilichkeit und Objektivität beeinträchtigen könnten".

***In der Ankündigung ist auch von "speziellen Workshops" die Rede, die die Arbeitsgruppen begleiten sollen (vermutlich mit allen Arbeitsgruppenmitgliedern), um bestimmte Themen zu vertiefen.

Plenarsitzung

Das Plenum wird in die folgenden vier Arbeitsgruppen unterteilt, die sich an den verschiedenen Inhaltskategorien orientieren, die im oben erwähnten GPAI-Musterteil des AI-Gesetzes beschrieben sind:

• Arbeitsgruppe 1: Transparenz und urheberrechtliche Vorschriften
  Ausarbeitung von Unterlagen für nachgeschaltete Anbieter und das Amt für geistiges Eigentum auf der Grundlage der Anhänge XI und XII des Gesetzes über geistiges Eigentum, Maßnahmen zur Einhaltung des Unionsrechts zum Urheberrecht und zu verwandten Schutzrechten und Veröffentlichung einer Zusammenfassung der Schulungsinhalte.
• Arbeitsgruppe 2: Risikoermittlung und Bewertungsmaßnahmen für systemische Risiken
  Detaillierte Beschreibung der Risikotaxonomie auf der Grundlage eines Vorschlags des AI-Büros sowie Ermittlung und detaillierte Beschreibung relevanter technischer Risikobewertungsmaßnahmen, einschließlich Modellbewertung und kontradiktorischer Tests.
• Arbeitsgruppe 3: Risikominderungsmaßnahmen für systemische Risiken
  Identifizierung und detaillierte Beschreibung relevanter technischer Risikominderungsmaßnahmen, einschließlich des Schutzes der Cybersicherheit für das KI-Allzweckmodell und die physische Infrastruktur des Modells.
• Arbeitsgruppe 4: Internes Risikomanagement und Governance für Anbieter von KI-Modellen für allgemeine Zwecke
  Identifizierung und Detaillierung von Richtlinien und Verfahren zur Operationalisierung des Risikomanagements in der internen Governance von Anbietern von KI-Modellen für allgemeine Zwecke, einschließlich der Verfolgung, Dokumentation und Meldung schwerwiegender Vorfälle und möglicher Abhilfemaßnahmen.

Quelle: Europäische Kommission

Sobald die in Frage kommenden Teilnehmer ausgewählt und in die einzelnen Arbeitsgruppen eingeteilt sind (die Teilnehmer können mehreren Arbeitsgruppen angehören), wird das Plenum voraussichtlich im September 2024 zu einem "Kick-off" zusammenkommen. Hier werden die Details des Entwurfsprozesses weiter ausgearbeitet und ein erster Entwurf des Verhaltenskodexes, der auf den Beiträgen der Konsultation der verschiedenen Interessengruppen basiert, wird vorgestellt. Im Anschluss daran werden im Laufe des neunmonatigen Erarbeitungszeitraums drei Fernsitzungen der Arbeitsgruppe stattfinden. 

Nach den drei Redaktionsrunden und am Ende des neunmonatigen Zeitraums, im April 2025, wird die endgültige Fassung des Verhaltenskodex auf einer Abschlussplenarsitzung vorgestellt. 

Parallel dazu werden spezielle Workshops mit den GPAI-Modellanbietern und den Vorsitzenden/Vizevorsitzenden der Arbeitsgruppen stattfinden, um jede iterative Entwurfsrunde zu informieren. Diese zusätzliche Beteiligung wird von der Kommission damit begründet, dass die GPAI-Modellanbieter die "Hauptadressaten" des Verhaltenskodex und damit die wichtigsten Interessenvertreter sind. Um die Transparenz dieser zusätzlichen Workshops zu gewährleisten, hat sich das AI-Büro verpflichtet, die Sitzungsprotokolle während des gesamten Prozesses an alle Plenarteilnehmer weiterzugeben. 

Vorsitzende und stellvertretende Vorsitzende

Eine entscheidende Komponente des Prozesses zur Ausarbeitung des Verhaltenskodex sind die Rollen des Vorsitzenden und der stellvertretenden Vorsitzenden der einzelnen Arbeitsgruppen sowie eines koordinierenden Vorsitzenden, der die Kohärenz aller vier Arbeitsgruppen gewährleistet. Wie in der obigen Tabelle erwähnt, können die Vorsitzenden Akademiker oder andere unabhängige Experten sein und müssen eine Reihe strenger Kriterien erfüllen, darunter technisches Fachwissen, zeitliche Verfügbarkeit, operative Erfahrung und Unabhängigkeit von finanziellen oder anderen Interessen. Sie sind in erster Linie dafür verantwortlich, die Beiträge aller Interessengruppen zu einem prägnanten Verhaltenskodex zusammenzufassen; eine Rolle, die oft als "Federhalter" bezeichnet wird. 

Zu den weiteren Aufgaben des Vorsitzes und der stellvertretenden Vorsitze gehören:

• Synthese von Beiträgen anderer Plenarteilnehmer 
• Moderation, Terminplanung und Erleichterung der Diskussionen der Arbeitsgruppe
• Erleichterung der Erstellung und Qualität effizienter Entwürfe
• Aufstellung und Durchführung von Tagesordnungen
• Teilnahme an separaten Workshops, Überwachung der Fortschritte und regelmäßige Berichterstattung über relevante Aktivitäten

Es ist nicht überraschend, dass für solch einschneidende Positionen ein erheblicher Zeitaufwand erforderlich ist. Obwohl die Vorsitzenden und stellvertretenden Vorsitzenden logistisch und verwaltungstechnisch von externen Vertragspartnern (wahrscheinlich einem Konsortium von Beratungsunternehmen) sowie dem AI-Büro unterstützt werden, erfordern die Funktionen wöchentliche Verpflichtungen und intensive Arbeitszeiten während des neunmonatigen Zeitraums von September 2024 bis April 2025. 

Darüber hinaus sind aus Gründen der finanziellen Unabhängigkeit alle Positionen des Vorsitzenden und des stellvertretenden Vorsitzenden unbezahlt (ebenso wie alle Plenarteilnehmer). Nichtsdestotrotz dürften diese Positionen von großer Bedeutung für die Erarbeitung eines endgültigen Verhaltenskodex sein, der sowohl technisch machbar ist als auch die Gesundheit, die Sicherheit und die Grundrechte der EU-Bürger schützt. Interessenbekundungen sind bis Sonntag, den 25. August, über die Plenaranmeldung einzureichen.

Inhalt des Verhaltenskodexes

Obwohl die grobe Struktur des Entwurfsprozesses bekannt gegeben wurde, ist der tatsächliche Inhalt des Kodex und seine mögliche Struktur noch offen und muss auf der Auftaktsitzung des Plenums beantwortet werden. Die folgende Beschreibung ist daher eine Spekulation, die sich an ähnlichen früheren Prozessen orientiert.

Der von den einzelnen Arbeitsgruppen erarbeitete Inhalt kann ähnlich strukturiert sein wie der gestärkte Verhaltenskodex für Desinformation, wenn die entsprechenden Unterzeichner¹⁵ sich auf hochrangige Verpflichtungen einigen, die Maßnahmen auf untergeordneter Ebene enthalten, die als Qualitative Reporting Elements (QRE) oder Service Level Indicators (SLI) oder alternativ als Key Performance Indicators (KPI) weiter detailliert werden können, die sowohl¹⁶. Dieser Ansatz, der eine breite Palette von Themen in spezifische Arbeitsgruppen einbezieht, alle relevanten Interessengruppen einbezieht und eine breite Palette von Leitlinien von sehr allgemein bis sehr spezifisch enthält, soll zu einem umfassenden und vollständigen Verhaltenskodex führen.

Zu den zusätzlichen Instrumenten, die in früheren Verhaltenskodizes verwendet wurden, gehören strukturelle Indikatoren¹⁷ (die parallel zu den KPIs verwendet werden), die darauf abzielen, systemische Risiken durch die Messung der Ergebnisse zu mindern. Beispiele für Strukturindikatoren könnten "Häufigkeit und Dauer von GPAI-Modellausfällen oder -Störungen" oder "Häufigkeit von Cyberangriffen mit GPAI-generierten Inhalten (z. B. Phishing, Malware)" sein. Schließlich wurde noch nichts über die Verfahren für die Überwachung und Aktualisierung nach dem Verhaltenskodex bekannt gegeben. Im Anschluss an die erste Iteration könnte eine ständige Arbeitsgruppe eingerichtet werden, der Unterzeichner des Kodex und andere Aufsichtsgremien angehören, um den Kodex auf der Grundlage technologischer, gesellschaftlicher, marktbezogener und gesetzlicher Entwicklungen zu überprüfen und anzupassen. Dies steht im Einklang mit dem AI-Gesetz selbst, das dem AI-Büro vorschreibt, die "häufige Überprüfung und Anpassung der Verhaltenskodizes" zu erleichtern.¹⁸.

Nächste Schritte

Da die beiden wichtigen Zeitfenster für die Beteiligung der Interessengruppen - die Plenarsitzung und die Konsultation der verschiedenen Interessengruppen- nun geöffnet sind, haben alle interessierten Parteien die Möglichkeit, sich an diesem äußerst folgenreichen Entwurfsprozess zu beteiligen. In der Zwischenzeit müssen auch die potenziellen Vorsitzenden und stellvertretenden Vorsitzenden ihr Interesse bekunden und sicherstellen, dass ihre praktischen Angelegenheiten in Ordnung sind.

Anmerkungen und Referenzen

1. Europäischer Rat billigt AI-Gesetz ︎
2. EUR-Lex ︎
3. Normungsantrag für KI-Systeme ︎
4. Artikel 113 Buchstabe b ︎
5. Das Europäische Institut für Telekommunikationsnormen (ETSI) kann ebenfalls einbezogen werden. ︎
6. CEN-CENELEC ︎
7. ISO ︎
8. Artikel 40 Absatz 3 ︎
9. Artikel 53 ︎
10. Artikel 55 ︎
11. Artikel 53 Absatz 4 und Artikel 55 Absatz 2 ︎
12. Das für den Binnenmarkt zuständige Kommissionsmitglied Thierry Breton besteht darauf, die Einhaltung der Vorschriften durch X mit anderen Mitteln zu erreichen. ︎
13. Gestärkter Verhaltenskodex zur Desinformation ︎
14. Artikel 56 Absatz 9 ︎
15. Unternehmen, Organisationen und Verbände, die an der Ausarbeitung der Kodizes beteiligt waren und in einem Anhang zu den endgültigen Kodizes aufgeführt sind. ︎
16. QREs sind qualitative Berichterstattungsstandards, während SLIs quantifizierbare Metriken sind. QREs und SLIs werden in den Verhaltenskodizes zur Desinformation verwendet. Die KPIs werden in Artikel 56 des AI-Gesetzes ausdrücklich erwähnt. ︎
17. Verschärfte Verhaltenskodizes zur Desinformation ︎
18. Artikel 56 Absatz 8 ︎