{"id":348526,"date":"2024-09-06T07:37:53","date_gmt":"2024-09-06T07:37:53","guid":{"rendered":"https:\/\/publicsector.ch\/?p=348526"},"modified":"2024-10-21T11:34:46","modified_gmt":"2024-10-21T11:34:46","slug":"der-eu-ai-act-relevant-fuer-den-oeffentlichen-sektor-in-der-schweiz","status":"publish","type":"post","link":"https:\/\/publicsector.ch\/en\/der-eu-ai-act-relevant-fuer-den-oeffentlichen-sektor-in-der-schweiz\/","title":{"rendered":"Der EU AI Act: relevant f\u00fcr den \u00f6ffentlichen Sektor in der Schweiz?"},"content":{"rendered":"

Der EU AI Act \u2013 zu Deutsch \u00abVerordnung \u00fcber k\u00fcnstliche Intelligenz\u00bb oder vereinfacht \u00abKI-Verordnung\u00bb (KI-VO) \u2013 ist seit Kurzem in Kraft<\/a>. W\u00e4hrenddessen nimmt es der Schweizerische Bundesrat etwas gem\u00fctlicher und pr\u00fcft seine Optionen zur Regulierung k\u00fcnstlicher Intelligenz in der Schweiz; bis Ende 2024 soll ihm das UVEK eine \u00dcbersicht m\u00f6glicher Regulierungsans\u00e4tze abliefern<\/a>.<\/p>\n

In der Zwischenzeit fragen sich KI-interessierte Mitarbeitende in der \u00f6ffentlichen Verwaltung vielleicht: Betrifft uns diese vielbesagte KI-Verordnung im helvetischen \u00f6ffentlichen Sektor? Darauf wollen wir an dieser Stelle eine Antwort geben.<\/p>\n

Die kurze Antwort lautet: Nein, nicht direkt. Gemeint ist damit: nicht in rechtsverbindlicher Weise. Bei genauerem Hinsehen gibt es aber durchaus ein paar beachtenswerte Punkte.<\/p>\n

 <\/p>\n

I \u2013 Zum EU-Ansatz<\/strong><\/h2>\n

Die KI-Verordnung gilt mit wenigen Ausnahmen (z.B. Zwecke der nationalen Sicherheit oder der Forschung und Entwicklung) f\u00fcr den Einsatz von KI-Systemen in der ganzen Gesellschaft. Sie fokussiert auf die Produktesicherheit und macht nicht prinzipiell Halt vor staatlichem Einsatz \u2013 im Gegenteil: Betrachtet man die Auflistung von Hochrisiko-KI-Systemen, sind die dort beschriebenen Szenarien \u00fcberwiegend solche staatlicher Nutzung (siehe dazu sogleich unten).<\/p>\n

Bei den Pflichten wird dabei auf zwei Ebenen angesetzt: bei der Einstufung eines KI-Systems nach Risiko<\/em> in eine von vier Kategorien sowie bei der Eigenschaft als \u00abAnbieter\u00bb (provider) oder \u00abBetreiber\u00bb (deployer) <\/em>eines KI-Systems (dazu ebenfalls sogleich).<\/p>\n

 <\/p>\n

II \u2013 Der Anwendungsbereich<\/strong><\/h2>\n

a) Beh\u00f6rden in der EU als \u00abBetreiberinnen\u00bb von KI-Systemen<\/strong><\/h3>\n

Der Anwendungsbereich der KI-Verordnung umfasst zwar auch Beh\u00f6rden, jedoch nur solche in der EU (Art. 2 Abs. 1 lit. a-c KI-VO). Tats\u00e4chlich ist davon auszugehen, dass die KI-Verordnung als transversale Regulierung gerade auch auf den \u00f6ffentlichen Sektor eine Auswirkung haben wird.<\/p>\n

Die KI-Verordnung unterteilt KI-Systeme bekanntermassen in mehrere Risikokategorien:<\/p>\n

    \n
  • KI-Systeme mit inakzeptablem Risiko, die komplett verboten sind (Art. 5 KI-Verordnung);<\/li>\n
  • Hochrisiko-Systeme, die umfangreichen Pflichten unterliegen;<\/li>\n
  • KI-Systeme, die \u2013 als Ausnahme von den Hochrisiko-Systemen \u2013 nicht als besonders risikobehaftet gelten; und<\/li>\n
  • KI-Systeme, die lediglich Transparenzvorgaben umsetzen m\u00fcssen.<\/li>\n<\/ul>\n

     <\/p>\n

    Daneben sind auch Regeln f\u00fcr sogenannte \u00abKI-Modelle mit allgemeinem Verwendungszweck\u00bb \u2013 ChatGPT und Co. \u2013 vorgesehen.
    \nDie Risikobewertung der KI-Verordnung h\u00e4ngt dabei meist mit dem Einsatzkontext zusammen (was sich aus der Formel ergibt, mit der ein Risiko berechnet wird: Risiko = Schaden x Wahrscheinlichkeit des Eintretens). Und diesbez\u00fcglich sind viele Szenarien, die hohe Risiken mit sich bringen, \u00f6ffentliche Einsatzszenarien. Dies l\u00e4sst sich durch die Rolle des Staats erkl\u00e4ren, namentlich die Tatsache, dass der Staat in vielf\u00e4ltiger Weise hoheitlich t\u00e4tig wird und in unsere Leben als B\u00fcrgerinnen und B\u00fcrger eingreift. So finden sich im Anhang III der KI-Verordnung, die die Kategorien von Hochrisiko-KI-Systemen auflistet, viele staatliche Einsatzszenarien, u.a.:<\/p>\n

      \n
    • Kritische Infrastruktur;<\/li>\n
    • Allgemeine und berufliche Bildung;<\/li>\n
    • Zug\u00e4nglichkeit und Inanspruchnahme grundlegender \u00f6ffentlicher Dienste;<\/li>\n
    • Strafverfolgung;<\/li>\n
    • Migration, Asyl und Grenzkontrolle;<\/li>\n
    • Rechtspflege und demokratische Prozesse.<\/li>\n<\/ul>\n

       <\/p>\n

      Konkret bedeutet dies, dass von den erfassten Akteuren nicht nur die (meist privatwirtschaftlichen) Produkteherstellerinnen oder H\u00e4ndlerinnen erfasst werden, sondern auch die Beh\u00f6rden, die KI-Systeme einsetzen. Diese k\u00f6nnen u.U. zu \u00abAnbieterinnen\u00bb (providers<\/em>) oder, wahrscheinlicher, \u00abBetreiberinnen\u00bb (deployers<\/em>) von KI-Systemen werden, wenn sie KI-Systeme unter eigenem Namen in Betrieb nehmen oder in eigener Verantwortung verwenden (vgl. Art. 3 Abs. 2 Ziff. 3 und 4 KI-VO). Damit unterstehen sie den f\u00fcr diese Personenkategorien geltenden Pflichten der KI-Verordnung. (Nota bene<\/em>: Die Hauptanteile der Pflichten sind jedoch bei den Anbieterinnen von KI-Systemen angesiedelt; nicht also bei den Betreiberinnen, zu denen Beh\u00f6rden meist z\u00e4hlen werden.)<\/p>\n

       <\/p>\n

      b) Aber die DSGVO gilt manchmal auch f\u00fcr die Schweiz? Ist das f\u00fcr den EU AI Act nicht dasselbe?<\/strong><\/h3>\n

      Kennt man die Datenschutz-Grundverordnung der EU (DSGVO), mag man einwenden, dass diese auch extraterritorial zur Anwendung kommen kann; n\u00e4mlich dann, wenn f\u00fcr Personen in der EU Angebote oder Dienstleistungen erbracht werden oder wenn das Verhalten von Personen in der EU beobachtet wird (Art. 3 Abs. 2 DSGVO). Ist ein \u00e4hnlicher Mechanismus nicht auch allenfalls in der KI-Verordnung zu finden?<\/p>\n

      Ja, der EU AI Act wurde auch einen extraterritorialen Anwendungsbereich versehen. Er gilt etwa f\u00fcr Anbieter von KI-Systemen, die in der EU KI-Systeme einsetzen oder KI-Modelle mit allgemeinem Verwendungszweck in Verkehr bringen, auch wenn sie selbst ausserhalb der EU niedergelassen sind (Art. 2 Abs. 1 lit. a KI-VO). Aus der Sicht \u00f6ffentlicher Beh\u00f6rden in der Schweiz d\u00fcrfte dieser Anwendungsfall kaum je zum Tragen kommen.<\/p>\n

      Interessanter ist diesbez\u00fcglich die Ankn\u00fcpfung des Anwendungsbereichs an \u00abbetroffene Personen, die sich in der Union befinden\u00bb (Art. 2 Abs. 1 lit. g KI-VO). Gemeint ist damit, dass von KI-Systemen generiertes Material in der EU verwendet wird, was mit Absicht zu geschehen hat, nicht nur zuf\u00e4lligerweise. Typischerweise sind solche Anwendungsf\u00e4lle im \u00f6ffentlichen Sektor rar, weil sich die Aus\u00fcbung staatlicher Hoheitsmacht auf das eigene Territorium zu konzentrieren hat. Jedoch sind durchaus Situationen denkbar, in denen KI-generierter Output auch mit Absicht an Personen in der EU gerichtet wird. Etwa dann, wenn eine \u00f6ffentliche Hochschule Studieninteressierte aus der EU anzieht und diesen im Zulassungsverfahren eine KI-gest\u00fctzte Absage zu einem Studiengang erteilt. Allerdings d\u00fcrfte auch hier das Sanktionsrisiko gering sein, weil sich die Aufsicht der zust\u00e4ndigen EU-Beh\u00f6rden nicht auf die Schweiz erstrecken wird. Es ist daher nicht davon auszugehen, dass eine Hochschule f\u00fcr die Nichteinhaltung der KI-Verordnung sanktioniert wird.<\/p>\n

      Es wird aufmerksam zu verfolgen sein, was die neuen Beh\u00f6rden, die von der KI-Verordnung geschaffen werden (nationale Beh\u00f6rden, KI-Gremium, B\u00fcro f\u00fcr K\u00fcnstliche Intelligenz), zu diesem Punkt ver\u00f6ffentlichen werden und inwiefern diese Hilfestellungen auch f\u00fcr den Umgang mit KI in der Schweiz nutzbar gemacht werden k\u00f6nnen.<\/p>\n

       <\/p>\n

      III \u2013 <\/strong>Wie kann ich mir den EU AI Act in der \u00f6ffentlichen Verwaltung der Schweiz zunutze machen?<\/h2>\n

      a) Als Inspiration im Gesetzgebungsprozess<\/strong><\/h3>\n

      Ein Kanton, der sein Personalrecht neu regelt und den Einsatz von KI-Systemen in der Rekrutierung aufnehmen will, oder ein Spezialgesetz verfasst, in dem es auch um den Einsatz algorithmischer Systeme geht (looking at you, Police forces!), kann sich durchaus von gewissen Bestimmungen des EU AI Acts f\u00fcr die eigene Arbeit inspirieren lassen. Auch wenn der Regulierungskontext nicht derselbe ist, kann der EU AI Act Ideen bieten daf\u00fcr, wie etwa die Anforderungen an Datenqualit\u00e4t, Dokumentation, menschliche \u00dcberwachung oder Risikobewertungen beim Einsatz von KI-Systemen gesetzlich verankert werden k\u00f6nnten.<\/p>\n

      Diese Policy-Entscheidungen der KI-Verordnung wird auch der Schweizerische Bundesrat beachten, wenn er sich Ende Jahr \u00e4ussert. Es ist jedoch davon auszugehen, dass eine transversale Regulierung in der Schweiz weniger wahrscheinlich sein d\u00fcrfte (nicht zuletzt, weil der f\u00f6deralistische Flickenteppich ein solches Vorgehen erschweren wird).<\/p>\n

      \u00a0<\/strong><\/p>\n

      b) Im Beschaffungsverfahren<\/h3>\n

      Will eine \u00f6ffentliche Beh\u00f6rde in der Schweiz ein KI-System beschaffen, das im Rahmen des Betriebs kritischer Infrastruktur genutzt werden soll, ist auch hier denkbar, dass sie sich in der Umschreibung der Zuschlagskriterien von den Vorgaben des EU AI Act leiten lassen kann, sofern diese sachlich passen. Dort findet sie vielleicht eine passende Formulierung f\u00fcr das Risikomanagement-System oder die Transparenzerfordernisse, die die neu zu beschaffende L\u00f6sung vorweisen k\u00f6nnen muss.<\/p>","protected":false},"excerpt":{"rendered":"

      Der EU AI Act \u2013 zu Deutsch \u00abVerordnung \u00fcber k\u00fcnstliche Intelligenz\u00bb oder vereinfacht \u00abKI-Verordnung\u00bb (KI-VO) \u2013 ist seit Kurzem in Kraft. W\u00e4hrenddessen nimmt es der Schweizerische Bundesrat etwas gem\u00fctlicher und pr\u00fcft seine Optionen zur Regulierung k\u00fcnstlicher Intelligenz in der Schweiz; bis Ende 2024 soll ihm das UVEK eine \u00dcbersicht m\u00f6glicher Regulierungsans\u00e4tze abliefern. In der Zwischenzeit […]<\/p>\n","protected":false},"author":9,"featured_media":348559,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[22,21,20],"tags":[105,68,51,91,37],"class_list":["post-348526","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-compliance","category-datenschutz","category-regulierung-im-digitalen-zeitalter","tag-ai","tag-kunstliche-intelligenz","tag-offentliches-recht","tag-swiss-law","tag-verwaltungsrecht"],"_links":{"self":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/348526","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/comments?post=348526"}],"version-history":[{"count":5,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/348526\/revisions"}],"predecessor-version":[{"id":348634,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/posts\/348526\/revisions\/348634"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/media\/348559"}],"wp:attachment":[{"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/media?parent=348526"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/categories?post=348526"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/publicsector.ch\/en\/wp-json\/wp\/v2\/tags?post=348526"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}