Der Europäische KI-Gesetzentwurf vom 2. Februar 2025 führte zu wesentlichen Änderungen, die bestimmte KI-Praktiken EU-weit verbieten. Niederländische Unternehmen müssen nun strenge Regeln hinsichtlich der von ihnen verwendeten KI-Systeme einhalten.
Unternehmen, die verbotene KI-Tools nicht entfernen, müssen mit hohen Geldstrafen und möglichen rechtlichen Schritten von allen Betroffenen rechnen.
Ab Februar 2025 sind in den Niederlanden KI-Systeme verboten, die Menschen manipulieren, soziale Bewertungssysteme nutzen, Personen anhand biometrischer Daten kategorisieren oder Gesichtserkennung in Echtzeit im öffentlichen Raum einsetzen. Diese Verbote umfassen auch Technologien zur Emotionserkennung an Arbeitsplätzen und Schulen sowie die ungerichtete Sammlung von Gesichtsbildern aus dem Internet zum Aufbau von Erkennungsdatenbanken.
Die Regeln gelten ab sofort und lassen Unternehmen keine Übergangsfrist für die Abschaffung dieser Systeme. Um Strafen zu vermeiden, ist es unerlässlich zu verstehen, welche KI-Praktiken verboten sind und welche Schritte Ihr Unternehmen unternehmen muss.
Dieser Leitfaden erläutert die konkreten Verbote, beschreibt Ihre Pflichten zur Einhaltung der Vorschriften als niederländisches Unternehmen und behandelt die Schulungsanforderungen, die erforderlich sind, um Ihre Geschäftstätigkeit gemäß dem neuen Gesetz aufrechtzuerhalten.
Überblick über die Verbote ab Februar 2025
Die Verordnung (EU) 2024/1689, bekannt als EU-KI-Gesetz , führte spezifische Verbote für bestimmte Praktiken der künstlichen Intelligenz ein, die am 2. Februar 2025 in Kraft traten. Diese Regeln gelten für Ihr niederländisches Unternehmen, wenn Sie KI-Systeme in den Niederlanden oder der Europäischen Union entwickeln, einsetzen oder nutzen .
Umfang verbotener KI-Praktiken
Das KI-Gesetz verbietet bestimmte KI-Praktiken, die ein inakzeptables Risiko für Grundrechte und europäische Werte darstellen. Artikel 5 der Verordnung (EU) 2024/1689 benennt diese verbotenen Praktiken anhand ihres potenziellen Schadens und nicht anhand der Technologie selbst.
Zu den wichtigsten verbotenen Kategorien gehören:
- Manipulative KI-Systeme die Schwachstellen bestimmter Gruppen ausnutzen
- Soziale Bewertungssysteme durch öffentliche Behörden
- biometrische Fernidentifizierung in Echtzeit in öffentlich zugänglichen Räumen für Rechtswesen Durchsetzung (mit wenigen Ausnahmen)
- Biometrische Kategorisierungssysteme die auf sensible Attribute schließen lassen
- Ungezieltes Scraping von Gesichtsbildern aus dem Internet oder von Überwachungskameraaufnahmen
Unabhängig davon, ob Sie als KI-Anbieter, -Eintreiber oder -Vertreiber in den Niederlanden tätig sind, fallen Ihre Unternehmen unter diese Verbote. Die niederländische Datenschutzbehörde arbeitet mit anderen EU-Aufsichtsbehörden zusammen, um die Einhaltung der Vorschriften zu gewährleisten.
Bei Nichteinhaltung drohen Geldstrafen in Höhe von bis zu 7 % Ihres weltweiten Jahresumsatzes.
Gültigkeitsdaten und Übergangsfristen
Die Verbote gemäß Artikel 5 traten am 2. Februar 2025 in Kraft. Das bedeutet, dass Ihr Unternehmen diese Regeln sofort einhalten muss, wenn Sie entsprechende KI-Systeme verwenden oder entwickeln.
Der Durchsetzungsrahmen folgt einem gestaffelten Zeitplan. Die vollständigen Strafen, Governance-Strukturen und Vertraulichkeitsbestimmungen treten ab dem 2. August 2025 in Kraft.
Dies gibt Ihrer Organisation ein sechsmonatiges Zeitfenster, in dem die Regeln gelten, die vollständigen Durchsetzungsmechanismen jedoch noch ausgearbeitet werden. Die Europäische Kommission veröffentlichte am 4. Februar 2025 offizielle Leitlinien, um die praktische Umsetzung dieser Verbote zu verdeutlichen.
Die Marktüberwachungsbehörden, darunter die niederländische Datenschutzbehörde, übernahmen ab dem Februar die Verantwortung für die Überwachung und Durchsetzung dieser Regeln.
Schlüsseldefinitionen: KI-Systeme und -Praktiken
Gemäß dem KI-Gesetz bezeichnet ein KI-System Software, die maschinelles Lernen, logikbasierte Ansätze oder statistische Methoden nutzt, um Ergebnisse wie Vorhersagen, Empfehlungen oder Entscheidungen zu generieren. Diese Definition ist bewusst weit gefasst, um sowohl aktuelle als auch zukünftige Technologien abzudecken.
Verbotene KI-Praktiken bezeichnen spezifische Einsatz- oder Nutzungsweisen künstlicher Intelligenz, die die Europäische Union als unzulässig eingestuft hat. Das Verbot bezieht sich auf die Praxis selbst, nicht auf die zugrunde liegende Technologie.
Das bedeutet, dass Sie dasselbe KI-System für zulässige Zwecke nutzen könnten, während Ihnen die Nutzung bestimmter Anwendungen untersagt ist. Ihr Unternehmen muss zwischen dem KI-System (der Technologie) und dessen Anwendung (der Art und Weise, wie Sie es nutzen) unterscheiden.
Ein KI-System zur Gesichtserkennung könnte für die Zutrittskontrolle von Gebäuden zulässig sein, für die Echtzeitüberwachung im öffentlichen Raum jedoch verboten. Kontext und Anwendung bestimmen die Rechtmäßigkeit gemäß Verordnung (EU) 2024/1689.
Detaillierte Liste verbotener KI-Praktiken
Der EU-KI-Gesetzentwurf verbietet bestimmte KI-Anwendungen, die ein inakzeptables Risiko für Grundrechte und die Sicherheit darstellen. Diese verbotenen Praktiken lassen sich in drei Hauptkategorien einteilen: Systeme, die menschliches Verhalten manipulieren, Systeme, die schutzbedürftige Gruppen ausbeuten , und Mechanismen, die Massenüberwachung durch Social Scoring ermöglichen.
Manipulative und betrügerische Systeme
Das KI-Gesetz verbietet jegliche KI-Systeme, die unterschwellige Techniken einsetzen, um menschliches Verhalten auf schädliche Weise zu verzerren. Dabei handelt es sich um Methoden, die außerhalb des Bewusstseins wirken und Entscheidungen oder Handlungen beeinflussen.
Verbotene manipulative Praktiken umfassen:
- KI-Systeme, die unterschwellige Komponenten einsetzen, die Sie nicht erkennen können
- Systeme, die darauf ausgelegt sind, altersbedingte Schwächen bei Kindern auszunutzen
- Technologien, die das Verhalten manipulieren, um physischen oder psychischen Schaden zu verursachen
Künstliche Intelligenz darf nicht dazu eingesetzt werden, Menschen absichtlich und dadurch erheblichen Schaden zuzufügen . Das bedeutet, dass Ihr Unternehmen keine Chatbots oder virtuellen Assistenten einsetzen darf, die Nutzer über ihre KI-Natur täuschen, wenn diese Täuschung zu Schäden führen könnte.
Das Verbot erstreckt sich auch auf KI-Systeme, die mithilfe von Dark Patterns oder psychologischer Manipulation Nutzer zu schädlichen Entscheidungen verleiten. Das Gesetz schützt Einzelpersonen vor KI-Praktiken, die rationale Entscheidungsfindung umgehen.
Wenn Ihr KI-System das Verhalten durch versteckte Manipulation anstatt durch transparente Information beeinflusst, verstößt es gegen das Gesetz.
Ausbeutung gefährdeter Personen
KI-Systeme, die Schwächen aufgrund von Alter, Behinderung oder sozialen bzw. wirtschaftlichen Umständen ausnutzen, sind strengstens verboten. Es ist untersagt, KI einzusetzen, um Menschen auszunutzen, die nicht in der Lage sind, Manipulation zu verstehen oder ihr zu widerstehen.
Dieses Verbot umfasst KI, die die Unerfahrenheit von Kindern oder den kognitiven Abbau älterer Menschen ausnutzt. Ihr Unternehmen darf keine Systeme einsetzen, die körperliche oder geistige Behinderungen ausnutzen, um Verhalten zu manipulieren.
Auch künstliche Intelligenz, die wirtschaftliche Not oder soziale Isolation ausnutzt, fällt unter dieses Verbot.
Zu den schutzbedürftigen Gruppen gehören:
- Kinder und Minderjährige
- Ältere Menschen mit kognitiven Beeinträchtigungen
- Menschen mit körperlichen oder geistigen Behinderungen
- Personen, die mit wirtschaftlichen Schwierigkeiten zu kämpfen haben
Das Verbot gilt, wenn Ihr KI-System durch Ausnutzung erheblichen Schaden verursacht oder wahrscheinlich verursachen wird. Sie müssen prüfen, ob Ihre KI-Anwendungen gefährdete Bevölkerungsgruppen unrechtmäßig ins Visier nehmen könnten.
Soziales Scoring und Verhaltensprofiling
Das KI-Gesetz verbietet KI-Systeme, die Menschen anhand ihres Sozialverhaltens oder ihrer persönlichen Merkmale bewerten oder klassifizieren. Soziale Bewertungsmechanismen, die zu unfairen Behandlungen oder Schäden führen, sind unzulässig.
Beim Social Scoring werden Personen anhand ihres Verhaltens, ihrer Beziehungen oder ihres prognostizierten Verhaltens bewertet. Dadurch entstehen Profile, die den Zugang zu Dienstleistungen, Chancen oder Rechten bestimmen.
Verbotene Social-Scoring-Aktivitäten umfassen:
- Bewertung von Bürgern anhand ihres sozialen oder beruflichen Verhaltens
- Erstellung von Vertrauenswürdigkeitswerten aus personenbezogenen Daten
- Vorhersage kriminellen Verhaltens auf Grundlage von Profiling
- Verweigerung von Leistungen aufgrund von Verhaltensbeurteilungen
Es ist untersagt, KI-Systeme einzusetzen, die anhand derer Punkte vergeben, ob jemand Zugang zu Gesundheitsversorgung, Bildung, Beschäftigung oder Finanzdienstleistungen erhält. Dieses Verbot gilt unabhängig davon, ob Sie diese Systeme als öffentliche Einrichtung oder als privates Unternehmen betreiben.
Die biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum unterliegt ebenfalls strengen Verboten, mit wenigen Ausnahmen für Strafverfolgungsbehörden.
Verbote von Biometrie, Gesichtserkennung und Emotions-KI
Das EU-KI-Gesetz verbietet verschiedene Arten von biometrischen Systemen und Gesichtserkennungssystemen, die ein Risiko für Grundrechte darstellen . Diese Verbote schränken die Nutzung biometrischer Daten , Gesichtserkennungsdatenbanken, Emotionserkennungstools und Echtzeit-Identifizierungssysteme durch niederländische Unternehmen im öffentlichen Raum ein.
Biometrische Kategorisierung und Datennutzung
Es ist verboten, KI-Systeme, die Personen anhand ihrer biometrischen Daten kategorisieren, um Rückschlüsse auf ihre ethnische Zugehörigkeit, politische Meinung, Gewerkschaftszugehörigkeit, religiöse Überzeugung oder sexuelle Orientierung zu ziehen, zu verwenden. Dieses Verbot gilt, sobald Sie diese Systeme auf den Markt bringen, in Betrieb nehmen oder für diesen Zweck einsetzen.
Das Verbot betrifft Systeme, die mithilfe biometrischer Analysen sensible Rückschlüsse auf Einzelpersonen ziehen. Bei Nichteinhaltung drohen Ihrem Unternehmen Geldstrafen von bis zu 7 % des weltweiten Jahresumsatzes.
Es gibt eine Ausnahme von dieser Regel. Sie können rechtmäßig erworbene biometrische Datensätze, wie z. B. Bilder, anhand biometrischer Daten im Kontext der Strafverfolgung kennzeichnen oder filtern.
Außerhalb des Bereichs der Strafverfolgung bleiben diese Kategorisierungspraktiken vollständig verboten.
Beschränkungen für Gesichtserkennungstechnologien
Es ist verboten, Datenbanken zur Gesichtserkennung durch das ungerichtete Sammeln von Gesichtsbildern aus dem Internet oder von Überwachungskameraaufnahmen zu erstellen oder zu erweitern. Dieses Verbot trat am 2. Februar 2025 in Kraft.
Für dieses Verbot müssen vier Bedingungen erfüllt sein:
- Die Praxis umfasst das Platzieren, Warten oder Verwenden eines KI-Systems.
- Ziel ist es, Datenbanken zur Gesichtserkennung zu erstellen oder zu erweitern.
- Die Methode nutzt das ungezielte Sammeln von Gesichtsbildern
- Die Datenquellen sind das Internet oder Videoaufnahmen von Überwachungskameras.
Das Schlüsselwort ist „nicht zielgerichtet“. Man kann nicht wahllos und breit angelegt Gesichtsbilder sammeln.
Das bedeutet, dass Sie in Supermärkten oder öffentlichen Bereichen keine Kameras einsetzen können, die automatisch Gesichter erfassen, um Erkennungsdatenbanken ohne spezifische Zielkriterien zu erstellen.
Emotionserkennung in Beschäftigung und Bildung
Es ist untersagt, KI-Systeme zur Emotionserkennung an Arbeitsplätzen und Bildungseinrichtungen einzusetzen. Dieses Verbot betrifft unmittelbar Personalabteilungen, Schulen und Ausbildungsstätten, die den Einsatz von Emotionserkennungssystemen erwägen.
Das Verbot umfasst alle KI-Systeme, die dazu entwickelt wurden, emotionale Zustände in diesen spezifischen Situationen zu erkennen oder zu interpretieren. Ob Gesichtsanalyse, Stimmmustererkennung oder andere biometrische Indikatoren verwendet werden, spielt dabei keine Rolle.
Es gibt eine enge Ausnahme. Die Verwendung von KI zur Emotionserkennung ist zulässig, wenn sie medizinischen oder sicherheitsrelevanten Zwecken dient.
Beispielsweise können die Überwachung der Aufmerksamkeit von Fahrern aus Sicherheitsgründen oder die Erkennung von Patientennot im Gesundheitswesen unter diese Ausnahme fallen.
Einschränkungen der biometrischen Fernidentifizierung
Der Einsatz von Echtzeit-Fernidentifizierungssystemen mit biometrischer Erfassung ist in öffentlich zugänglichen Bereichen für Strafverfolgungszwecke nur in streng definierten Ausnahmefällen zulässig. Zu diesen Ausnahmen zählen die Suche nach Opfern von Entführung oder Menschenhandel, die Abwehr unmittelbarer Lebensgefahren oder terroristischer Angriffe sowie die Ermittlung von Verdächtigen schwerer Straftaten, die mit einer Freiheitsstrafe von mindestens vier Jahren geahndet werden.
Jede Nutzung bedarf der vorherigen Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsstelle. In dringenden Fällen dürfen Sie die Nutzung auch ohne Genehmigung beginnen, müssen aber innerhalb von 24 Stunden eine Genehmigung beantragen.
Wird die Genehmigung von den Behörden abgelehnt, müssen Sie die Nutzung des Systems unverzüglich einstellen und alle Daten löschen. Die Niederlande können für diese Ausnahmen eigene detaillierte Regelungen im nationalen Recht festlegen.
Ihr Unternehmen muss die zuständige Marktüberwachungsbehörde und die nationale Datenschutzbehörde über jede Nutzung informieren. Die Mitgliedstaaten übermitteln der Europäischen Kommission jährliche Berichte über die Nutzung biometrischer Echtzeit-Fernidentifizierung.
Compliance-Pflichten für niederländische Unternehmen
Niederländische Unternehmen müssen konkrete Maßnahmen ergreifen, um die Einhaltung der KI-Richtlinien zu gewährleisten. Dazu gehört die Identifizierung verbotener Systeme, deren Entfernung aus dem Betrieb und die ordnungsgemäße Dokumentation. Die niederländische Datenschutzbehörde (DPA) und die niederländische Behörde für digitale Infrastruktur (ADI) werden diese Vorgaben durchsetzen und Verstöße mit empfindlichen Strafen ahnden.
Identifizierung verbotener KI innerhalb des Betriebs
Sie müssen in Ihrem gesamten Unternehmen gründliche Risikoanalysen durchführen, um KI-Systeme zu identifizieren, die möglicherweise gegen die neuen Regeln verstoßen. Dies bedeutet, jegliche Technologie zu untersuchen, die Manipulationstechniken anwendet, Sicherheitslücken ausnutzt, Social Scoring implementiert oder biometrische Echtzeit-Identifizierungen im öffentlichen Raum durchführt.
Erstellen Sie zunächst ein Verzeichnis aller aktuell verwendeten KI-Systeme. Dokumentieren Sie, was jedes System leistet, wie es Daten verarbeitet und wen es betrifft.
Besonderes Augenmerk sollte auf Systeme gelegt werden, die mit Kunden, Mitarbeitern oder der Öffentlichkeit interagieren. Ihre Risikobewertungen sollten prüfen, ob ein System Grundrechte beeinträchtigen könnte.
Dies umfasst die Überprüfung, ob KI-Systeme Entscheidungen über Personen auf Grundlage von deren Verhalten, persönlichen Merkmalen oder sozialen Verbindungen treffen. Systeme, die Personen ohne Transparenz verfolgen oder Profile erstellen, bedürfen einer sofortigen Überprüfung.
Arbeiten Sie mit Ihren technischen Teams zusammen, um die Funktionsweise der einzelnen KI-Systeme zu verstehen. Sie können sich nicht allein auf die Beschreibungen der Anbieter verlassen.
Die niederländische Datenschutzbehörde hat klargestellt, dass Sie die Verantwortung für die Einhaltung der Vorschriften tragen, unabhängig davon, ob Sie das System selbst gebaut oder von einem Dritten erworben haben.
Auslaufenlassen oder Entfernen verbotener KI-Systeme
Sie müssen die Anwendung verbotener KI-Praktiken unverzüglich einstellen. Das Gesetz sieht keine Schonfrist für verbotene Systeme vor.
Wenn Ihre Risikobewertung eine verbotene Praxis identifiziert, müssen Sie diese unverzüglich deaktivieren. Erstellen Sie einen Deaktivierungsplan, der sowohl die technischen als auch die betrieblichen Auswirkungen berücksichtigt.
Manche Systeme sind möglicherweise in größere Plattformen eingebettet oder mit mehreren Prozessen verbunden. Sie müssen sicherstellen, dass die Entfernung der verbotenen Elemente keine wesentlichen Geschäftsfunktionen beeinträchtigt.
Bevor Sie ein System abschalten, sollten Sie festlegen, wie Sie die zuvor von ihm ausgeführten Aufgaben übernehmen werden. Dies kann bedeuten, auf manuelle Prozesse umzusteigen, andere Technologien einzusetzen oder Arbeitsabläufe komplett neu zu gestalten.
Dokumentieren Sie jeden Schritt des Entfernungsprozesses. Halten Sie fest, wann Sie die verbotene Praxis entdeckt haben, welche Maßnahmen Sie ergriffen haben und wann das System vollständig deaktiviert wurde.
Die Aufsichtsbehörden werden klare Beweise dafür erwarten, dass Sie unverzüglich gehandelt haben, nachdem Sie den Verstoß festgestellt hatten.
Aufzeichnungen und Dokumentation
Sie müssen eine technische Dokumentation führen, die die Einhaltung der Verbotsregeln belegt. Dazu gehören Aufzeichnungen Ihrer Risikobewertungen, Entscheidungen über KI-Systeme und alle Änderungen, die Sie zur Erreichung der Konformität vorgenommen haben.
Ihre Dokumentation sollte Folgendes umfassen:
- Systeminventare mit Beschreibungen der einzelnen KI-Anwendungen
- Risikobewertungsberichte Darstellung Ihrer Analyse potenzieller Verstöße
- Entfernungsprotokolle detaillierte Angaben dazu, wann und wie Sie verbotene Systeme deaktiviert haben
- Folgenabschätzungen für Grundrechte für alle Grenzfälle
Diese Unterlagen sind mindestens fünf Jahre lang aufzubewahren. Die niederländische Datenschutzbehörde kann sie im Rahmen von Inspektionen oder Ermittlungen anfordern.
Fehlende oder unvollständige Dokumentation kann zu Bußgeldern von bis zu 7,500,000 € oder 1 % des weltweiten Jahresumsatzes führen. Ihre technische Dokumentation muss so detailliert sein, dass die Aufsichtsbehörden die Funktionsweise Ihrer KI-Systeme und deren Gesetzeskonformität nachvollziehen können.
Allgemeine Beschreibungen oder Marketingmaterialien genügen dieser Anforderung nicht. Fügen Sie technische Spezifikationen, Datenflüsse und Entscheidungsprozesse hinzu.
Aktualisieren Sie Ihre Dokumentation jedes Mal, wenn Sie KI-Systeme ändern oder neue einführen. Sie benötigen fortlaufende Prozesse, um sicherzustellen, dass zukünftige Systeme keine unzulässigen Praktiken einführen.
Anforderungen an KI-Kompetenz und Mitarbeiterschulung
Ab dem 2. Februar 2025 müssen niederländische Unternehmen, die KI-Systeme anbieten oder einsetzen, sicherstellen, dass ihre Mitarbeiter über ausreichende KI-Kenntnisse verfügen. Diese Verpflichtung gilt unabhängig davon, ob Sie KI-Systeme mit hohem oder niedrigem Risiko verwenden.
Dokumentierte Schulungsprogramme müssen auf die Aufgaben und den technischen Hintergrund Ihrer Mitarbeiter zugeschnitten sein.
Die Pflicht zur KI-Kompetenz erklärt
Artikel 4 des EU-KI-Gesetzes verpflichtet alle KI-Anbieter und -Anwender, für ausreichende KI-Kenntnisse ihrer Mitarbeiter zu sorgen. Sie müssen Maßnahmen ergreifen, um sicherzustellen, dass Mitarbeiter und Auftragnehmer, die mit KI-Systemen arbeiten, die Technologie verstehen, mit der sie arbeiten.
Die Pflicht zur KI-Kompetenz gilt für alle, die in Ihrem Namen KI-Systeme bedienen, nutzen oder Entscheidungen darüber treffen. Dies umfasst sowohl technisches Personal, das KI-Systeme entwickelt oder wartet, als auch Mitarbeiter ohne technischen Hintergrund, die KI-Tools in ihrer täglichen Arbeit einsetzen.
Die Schulungen zur KI-Kompetenz müssen individuell auf die jeweilige Rolle, das technische Wissen, die Erfahrung, die Ausbildung und den spezifischen Kontext der KI-Systemnutzung zugeschnitten sein. Ein Softwareentwickler, der KI-Modelle implementiert, benötigt beispielsweise eine andere Schulung als ein Kundendienstmitarbeiter, der KI-gestützte Chatbots nutzt.
Die Verpflichtung erfordert, dass Sie sich nach besten Kräften um ein angemessenes Alphabetisierungsniveau bemühen. Es reicht nicht aus, lediglich symbolische Schulungen anzubieten und die Einhaltung der Vorgaben zu behaupten.
Entwicklung effektiver Trainingsprogramme
Ihr KI-Schulungsprogramm sollte auf die spezifischen KI-Systeme eingehen, die Ihr Unternehmen einsetzt, anstatt allgemeine Informationen bereitzustellen. Die Mitarbeiter müssen verstehen, wie die jeweiligen KI-Tools, mit denen sie arbeiten, funktionieren, welche Grenzen sie haben und welche potenziellen Risiken bestehen.
Die Schulungsinhalte sollten Folgendes umfassen:
- Grundlegende KI-Konzepte, die für Ihre Systeme relevant sind
- Wie man KI-Tools richtig bedient
- Mögliche Verzerrungen und Fehler in KI-Ergebnissen
- Wann ist menschliche Aufsicht erforderlich?
- Die KI-Richtlinien und -Verfahren Ihrer Organisation
Sie müssen den jeweiligen Kenntnisstand jedes Mitarbeiters berücksichtigen. Technisches Personal benötigt möglicherweise fortgeschrittene Schulungen zur Modellentwicklung und zum Testen, während allgemeine Anwender praktische Anleitungen zur Interpretation von KI-Ergebnissen und zur Erkennung fehlerhafter Resultate benötigen.
Schulungen können in verschiedenen Formen erfolgen, darunter Workshops, Online-Kurse, Coaching am Arbeitsplatz oder externe Programme. Das Format ist weniger wichtig als die Tatsache, dass die Mitarbeiter die notwendigen Kenntnisse und Fähigkeiten tatsächlich erwerben.
Dokumentation von Aktivitäten zur Förderung der KI-Kompetenz
Sie müssen Aufzeichnungen über Ihre Aktivitäten im Bereich KI-Schulungen führen, um die Einhaltung des EU-KI-Gesetzes nachzuweisen. Diese Dokumentation dient als Beleg dafür, dass Sie Ihren rechtlichen Verpflichtungen nachgekommen sind.
Ihre Unterlagen sollten Folgendes enthalten:
- Inhalte und Materialien des Schulungsprogramms
- Listen der Mitarbeiter, die die Schulung abgeschlossen haben
- Termine und Dauer der Schulungseinheiten
- Bewertungsergebnisse (falls zutreffend)
- Wie Sie die angemessenen Lese- und Schreibfähigkeiten für verschiedene Rollen ermittelt haben
Dokumentieren Sie Ihren Prozess zur Ermittlung des KI-Kompetenzbedarfs in Ihrem Unternehmen. Dies umfasst, wie Sie beurteilt haben, welche Mitarbeiter Schulungen benötigen und welche spezifischen Kenntnisse sie aufgrund ihrer Interaktion mit KI-Systemen benötigen.
Dokumentieren Sie, wie Sie Schulungen aktualisieren, wenn sich Ihre KI-Systeme ändern oder neue Mitarbeiter in Ihr Unternehmen eintreten. KI-Kompetenz ist keine einmalige Angelegenheit, sondern eine fortlaufende Verpflichtung, die sich an Ihre sich entwickelnde Nutzung von KI-Technologie anpassen muss.
Aufsicht, Durchsetzung und Strafen
Das EU-KI-Gesetz etabliert eine mehrstufige Durchsetzungsstruktur mit erheblichen finanziellen Strafen bei Nichteinhaltung. Niederländische Unternehmen unterliegen der Aufsicht nationaler und europäischer Behörden; die Bußgelder für verbotene KI-Praktiken können bis zu 7 % des weltweiten Jahresumsatzes betragen.
Niederländische und EU-Aufsichtsbehörden
Die niederländische Datenschutzbehörde fungiert als primäre nationale Aufsichtsbehörde für die Durchsetzung des KI-Gesetzes in den Niederlanden. Diese Behörde arbeitet mit anderen benannten niederländischen Marktüberwachungsbehörden zusammen, um die Einhaltung der Verordnung zu überwachen.
Auf europäischer Ebene überwacht die Europäische Kommission die Umsetzung des KI-Gesetzes in allen Mitgliedstaaten. Das der Kommission angegliederte Europäische KI-Büro koordiniert die Durchsetzungsmaßnahmen und stellt technische Expertise bereit.
Der Europäische Datenschutzausschuss unterstützt eine einheitliche Anwendung des Gesetzes, insbesondere wenn KI-Systeme die Verarbeitung personenbezogener Daten beinhalten. Diese Behörden arbeiten zusammen, um eine einheitliche Durchsetzung in der gesamten Europäischen Union zu gewährleisten.
Wenn Sie KI-Systeme in mehreren EU-Ländern betreiben, müssen Sie mit Kontrollen durch Aufsichtsbehörden in jedem Land rechnen, in dem Ihre Systeme eingesetzt werden oder Wirkung zeigen.
Sanktionen und zivilrechtliche Haftung
Verstöße gegen die in Artikel 5 aufgeführten verbotenen Praktiken werden mit Geldbußen von bis zu 35 Millionen Euro oder 7 % Ihres weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist. Diese Geldbußen gelten ab dem 2. Februar 2025.
Der Gerichtshof der Europäischen Union (EuGH) ist die letztendliche Auslegungsinstanz für die Bestimmungen des KI-Gesetzes. Nationale Gerichte können dem EuGH Fragen zur Entscheidung vorlegen, wenn Streitigkeiten darüber entstehen, was eine verbotene Praxis darstellt.
Neben Verwaltungsstrafen können zivilrechtliche Haftungsansprüche von Einzelpersonen oder Organisationen geltend gemacht werden, die durch nicht konforme KI-Systeme geschädigt wurden. Die Mitgliedstaaten können in ihrem nationalen Recht zusätzliche Strafen festlegen.
Leitlinien von europäischen und nationalen Gremien
Die Europäische Kommission veröffentlichte am 4. Februar 2025 Leitlinien zu verbotenen KI-Praktiken. Diese Dokumente erläutern, wie die Behörden die Verbote des Artikels 5 auslegen werden, und liefern praktische Beispiele für die Einhaltung.
Diese Leitlinien sind zwar nicht rechtsverbindlich, bieten aber wertvolle Einblicke in die Prioritäten der Rechtsdurchsetzung. Nur der EuGH kann verbindliche rechtliche Auslegungen vornehmen.
Die niederländischen Aufsichtsbehörden können zusätzliche, auf die lokalen Gegebenheiten zugeschnittene nationale Leitlinien herausgeben. Sie sollten die Aktualisierungen sowohl europäischer als auch niederländischer Stellen im Hinblick auf die sich entwickelnden Durchsetzungsansätze verfolgen.
Die Leitlinien sind in allen EU-Sprachen verfügbar, um das grenzüberschreitende Verständnis zu fördern.
Häufig gestellte Fragen
Der Europäische KI-Gesetzentwurf bringt spezifische Anforderungen und Beschränkungen mit sich, die niederländische Unternehmen ab Februar 2025 betreffen. Diese Bestimmungen verbieten bestimmte KI-Praktiken, schreiben Compliance-Maßnahmen vor und legen Strafen für Verstöße fest.
Welche neuen Regelungen gelten ab Februar 2025 für den Einsatz von künstlicher Intelligenz in niederländischen Unternehmen?
Das europäische KI-Gesetz trat am 1. August 2024 in Kraft, die ersten Verbote traten am 2. Februar 2025 in Kraft. Diese Bestimmungen gelten für alle niederländischen Unternehmen, die KI-Systeme innerhalb der Europäischen Union entwickeln, einsetzen oder nutzen.
Das Gesetz verbietet manipulative KI-Systeme, die unterschwellige Techniken einsetzen, um Entscheidungen zu beeinflussen, die Menschen normalerweise nicht treffen würden. Auch KI-Systeme, die Schwächen aufgrund von Alter, Behinderung oder sozioökonomischem Status ausnutzen, sind verboten.
Soziale Bewertungssysteme, die Personen anhand ihres Sozialverhaltens oder ihrer persönlichen Merkmale beurteilen, werden vollständig verboten. Die Vorschriften untersagen außerdem KI-basierte Risikobewertungen, die Straftaten ausschließlich durch Profiling oder Persönlichkeitsanalyse anstatt durch Fakten im Zusammenhang mit kriminellen Aktivitäten vorhersagen.
Biometrische Kategorisierungssysteme, die aus Gesichtsbildern oder Fingerabdrücken auf Rasse, politische Ansichten, Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder sexuelle Orientierung schließen, sind nicht zulässig. Die biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum ist verboten, außer in genau definierten Situationen mit spezifischer rechtlicher Genehmigung.
Welche Auswirkungen haben die niederländischen KI-Leitlinien vom Februar 2025 auf den Datenschutz und die Datensicherheit der Verbraucher?
Das KI-Gesetz ergänzt bestehende Datenschutzbestimmungen, einschließlich der DSGVO. Die niederländische Datenschutzbehörde gibt Leitlinien dazu heraus, wie KI-Systeme die Datenschutzregeln einhalten müssen, insbesondere im Hinblick auf automatisierte Entscheidungsfindung.
Das ungerichtete Sammeln von Gesichtsbildern aus dem Internet oder von Kameraaufnahmen zum Erstellen oder Erweitern von Gesichtserkennungsdatenbanken ist verboten. Diese Einschränkung schützt die Persönlichkeitsrechte von Einzelpersonen und verhindert die unbefugte Erfassung biometrischer Daten.
KI-Systeme müssen während ihres gesamten Lebenszyklus die Grundrechte achten. Behörden und Einrichtungen, die öffentliche Dienstleistungen erbringen, müssen bei der Nutzung risikoreicher KI-Systeme eine Folgenabschätzung für die Grundrechte durchführen.
Welche KI-basierten Aktivitäten dürfen niederländische Unternehmen aufgrund der jüngsten Gesetzesänderungen nicht mehr durchführen?
Ihr Unternehmen darf in Arbeits- oder Bildungseinrichtungen keine Systeme zur Emotionserkennung einsetzen. Diese Systeme sind unabhängig von den behaupteten Vorteilen oder Anwendungsfällen verboten.
Es ist verboten, KI-Systeme einzusetzen, die Menschen durch unterschwellige Techniken manipulieren oder ihre Schwächen ausnutzen. Dies umfasst Systeme, die gezielt Personen aufgrund ihrer Behinderung, ihres sozialen Status oder ihres Alters ansprechen, um ihr Verhalten zu beeinflussen.
Biometrische Kategorisierungssysteme, die Personen anhand sensibler Merkmale klassifizieren, sind verboten. Es ist untersagt, mithilfe von KI aus biometrischen Daten auf die ethnische Zugehörigkeit, politische Ansichten, religiöse Überzeugungen oder sexuelle Orientierung einer Person zu schließen.
Soziale Bewertungssysteme sind vollständig verboten. Es ist nicht gestattet, KI einzusetzen, die Menschen anhand ihres Sozialverhaltens oder ihrer persönlichen Merkmale bewertet oder klassifiziert.
Die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Bereichen ist für kommerzielle Zwecke verboten. Strafverfolgungsbehörden dürfen solche Systeme nur in eng definierten Fällen und mit entsprechender rechtlicher Genehmigung einsetzen.
Welche Schritte müssen niederländische Unternehmen unternehmen, um ihre KI-Systeme an die im Februar 2025 festgelegten Compliance-Standards anzupassen?
Sie müssen alle KI-Systeme identifizieren, die Ihr Unternehmen derzeit nutzt oder einsetzt. Diese Bestandsaufnahme sollte jedes System gemäß den im KI-Gesetz definierten Risikoklassifizierungen kategorisieren.
Überprüfen Sie Ihre KI-Systeme anhand der Liste verbotener Praktiken. Sollten Sie verbotene Systeme verwenden, müssen Sie diese unverzüglich abschaffen, um behördliche Strafen zu vermeiden.
Dokumentieren Sie die Zwecke, Datenquellen und Entscheidungsprozesse Ihrer KI-Systeme. Diese Dokumentation dient dem Nachweis der Einhaltung von Vorschriften und unterstützt alle erforderlichen Folgenabschätzungen.
Für KI-Systeme mit hohem Risiko sind zusätzliche Compliance-Maßnahmen erforderlich. Behörden müssen diese Systeme bis zum 2. August 2026 in der europäischen Datenbank registrieren und Folgenabschätzungen hinsichtlich ihrer Auswirkungen auf die Grundrechte durchführen.
Schulen Sie Ihre Mitarbeiter hinsichtlich der neuen Anforderungen und etablieren Sie interne Prozesse zur fortlaufenden Überwachung der Einhaltung dieser Vorgaben. Ihr Compliance-Programm sollte regelmäßige Überprüfungen von KI-Systemen umfassen, um sicherzustellen, dass diese den gesetzlichen Bestimmungen entsprechen.
Gibt es branchenspezifische Verbote im Zusammenhang mit KI, die niederländische Unternehmen nach der Einführung der neuen Vorschriften beachten sollten?
Organisationen im Bildungssektor unterliegen spezifischen Beschränkungen. Es ist nicht gestattet, Systeme zur Emotionserkennung zur Überwachung von Schülern oder zur Beurteilung ihres emotionalen Zustands einzusetzen, unabhängig vom angestrebten pädagogischen Nutzen.
Auch im Arbeitsumfeld gibt es ähnliche Einschränkungen. Arbeitgeber können keine KI zur Emotionserkennung einsetzen, um die emotionalen Zustände oder Reaktionen ihrer Mitarbeiter während der Arbeitstätigkeit zu überwachen.
Strafverfolgungsbehörden haben nur begrenzte Ausnahmen für biometrische Identifizierungssysteme. Diese Ausnahmen erfordern eine strenge rechtliche Genehmigung und gelten nur für spezifische Situationen, wie die Suche nach Entführungsopfern, die Abwehr unmittelbarer Bedrohungen oder die Verfolgung von Verdächtigen schwerer Straftaten.
Öffentliche Stellen, die öffentliche Dienstleistungen erbringen, unterliegen über die allgemeinen Verbote hinausgehenden Anforderungen. Sie müssen für alle KI-Systeme mit hohem Risiko eine Folgenabschätzung der Auswirkungen auf die Grundrechte durchführen und diese Systeme in der europäischen Datenbank registrieren.
Welche Strafen drohen bei Nichteinhaltung der im Februar 2025 eingeführten niederländischen KI-Beschränkungen?
Bei Nichteinhaltung des KI-Gesetzes können die Aufsichtsbehörden erhebliche Geldstrafen verhängen. Die Strafstruktur ist nach Schwere des Verstoßes gestaffelt.
Die Verwendung verbotener KI-Systeme stellt die schwerwiegendste Verstoßkategorie dar. Ihrem Unternehmen drohen erhebliche finanzielle Strafen, wenn Sie nach Ablauf der Frist im Februar 2025 weiterhin verbotene Systeme betreiben.
Die genaue Höhe der Strafe hängt davon ab, ob Ihr Unternehmen als kleines oder mittleres Unternehmen oder als größeres Unternehmen eingestuft wird. Die Aufsichtsbehörden berücksichtigen Faktoren wie die Art des Verstoßes, dessen Dauer und den entstandenen Schaden.
Neben finanziellen Strafen kann die Nichteinhaltung der Vorschriften dem Ruf Ihres Unternehmens schaden. Personen, die durch verbotene KI-Systeme geschädigt wurden, können weitere Rechtsmittel im Rahmen zivilrechtlicher Verfahren einlegen.
Die niederländische Datenschutzbehörde und andere Aufsichtsbehörden verfügen über Durchsetzungsbefugnisse. Sie können Beschwerden nachgehen, Prüfungen durchführen und die sofortige Einstellung verbotener Praktiken anordnen.
