EU-KI-Gesetz für US-Unternehmen: Leitfaden zur extraterritorialen Einhaltung

Gilt das EU-KI-Gesetz für Ihr US-Unternehmen?

Ja, in einem der folgenden Szenarien:

• Sie bringen ein KI-System auf den EU-Markt (verkaufen, lizenzieren oder stellen es EU-Kunden zur Verfügung).
• Sie stellen ein KI-System bereit, dessen Ausgabe in der EU verwendet wird.
• Sie setzen ein KI-System innerhalb der EU ein, unabhängig davon, wo das System gehostet wird.
• Sie sind ein in den USA ansässiger Anbieter, dessen Modell in ein nachgelagertes EU-Produkt integriert ist.

Cloud-basierte SaaS-Dienste werden berücksichtigt. Webbasierte KI-Tools, die für EU-Benutzer zugänglich sind, werden berücksichtigt. Es gibt keine Bagatellgrenze für die EU-Reichweite.

Anforderung an einen EU-Vertreter

Artikel 22 verpflichtet Anbieter außerhalb der EU, einen bevollmächtigten Vertreter zu benennen:

Anbieter von KI-Systemen mit hohem Risiko, die nicht in der EU ansässig sind, müssen einen in der EU ansässigen bevollmächtigten Vertreter benennen, bevor sie das System auf dem EU-Markt in Verkehr bringen. Der Vertreter ist der Ansprechpartner für die EU-Aufsichtsbehörden und muss die technische Dokumentation vorlegen.

Was US-Unternehmen tun müssen

Ein praktischer Fahrplan für die Einhaltung für in den USA ansässige Unternehmen:

• Erstellen Sie eine Liste der KI-Systeme, die eine Verbindung zur EU haben.
• Klassifizieren Sie jedes System gemäß Artikel 6 / Anhang III.
• Implementieren Sie die Kontrollen gemäß Artikel 9–14 für Systeme mit hohem Risiko.
• Benennen Sie einen EU-Vertreter, wenn Sie ein Anbieter von KI-Systemen mit hohem Risiko sind, der nicht in der EU ansässig ist.
• Führen Sie eine Konformitätsbewertung durch und versehen Sie das Produkt mit der CE-Kennzeichnung.
• Registrieren Sie sich in der EU-KI-Datenbank.
• Legen Sie fest, welche Behörde Ihr Hauptaufsichtsbehörde ist (in der Regel das Land Ihres EU-Vertreters).

Zusammenhang mit US-amerikanischen Rahmenwerken

US-Unternehmen können bestehende Compliance-Programme nutzen:

• NIST AI RMF passt gut zu Artikel 9 über das Risikomanagement und ist eine nützliche Vergleichsgrundlage.
• NYC LL144 (HR-Prüfungen zu KI-Verzerrungen) überschneidet sich mit Anhang III über die Verpflichtungen im Bereich der KI in Bezug auf Beschäftigungsverhältnisse.
• Staatliche Gesetze (CO AI Act, CT, IL) konvergieren auf ein ähnliches, risikobasiertes Modell – ein einzelnes internes Programm kann für mehrere Gerichtsbarkeiten gelten.
• SOC 2 / ISO 27001 sind keine Ersatz für die Einhaltung des KI-Gesetzes, aber die Kontrollen lassen sich gut integrieren.