Bei der KI-VO gibt es letztlich 4 abstufende Risiko-Szenarien.
1) Inakzeptables Risiko
KI-Praktiken, die mit fundamentalen Werten der EU nicht vereinbar sind und ein inakzeptables Risiko für die Grundrechte der EU Bürgerinnen und Bürger darstellen, werden verboten. Darunter fällt beispielsweise das sogenannte „Social Scoring“, die Bewertung natürlicher Personen auf Grundlage ihres Sozialverhaltens, aber auch die Erstellung von Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet.
2) Hoch-Risiko-KI-Systeme
KI-Systeme in bestimmten Konstellationen werden als mit hohem Risiko behaftet klassifiziert. Welche das aktuell sind, findet man in Anhang III der KI-VO. Dazu zählen auch KI-Systeme, die bestimmungsgemäß für die Bewertung von Lernergebnissen oder die im Rahmen der Strafverfolgung zur Bewertung des Risikos einer natürlichen Person, zum Opfer von Straftaten zu werden, verwendet werden sollen. Aber auch KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden (Dazu wird es nochmal einen eigenen Beitrag geben).
3) Systemisches Risiko
Bestimmte Transparenzanforderungen müssen auch von KI-Systemen, die mit natürlichen Personen interagieren, Emotionserkennungssystemen, biometrischen Kategorisierungssystemen und KI-Systemen mit allgemeinem Verwendungszweck erfüllt werden (hier noch Meldepflichten). Ein KI-System mit allgemeinem Verwendungszweck ist ein KI-System, das vom Anbieter dazu bestimmt ist, allgemein anwendbare Funktionen wie Bild- und Spracherkennung, Audio- und Videogenerierung, Mustererkennung, Beantwortung von Fragen, Übersetzung und andere auszuführen; ein KI-System mit allgemeinem Verwendungszweck kann in einer Vielzahl von Kontexten verwendet und in eine Vielzahl anderer KI-Systeme integriert werden. Hier müssen Anbieter solcher KI-Modelle mit allgemeinem Verwendungszweck spezifische Transparenz- und Meldepflichten erfüllen, Art.51 ff.
4) Akzeptables Risiko
KI-Systeme, die nur mit geringen Risiken verbunden sind, sind nicht von der KI-VO betroffen. Das bedeutet allerdings nicht, dass für diese KI-Systeme keine Gesetze gelten. KI befand sich auch vor der KI-VO nicht in einem rechtsfreien Raum. Die DSGVO ist technologieneutral und gilt insbesondere auch für KI-Systeme, wenn personenbezogene Daten verarbeitet werden. Das wird auch mit der KI-VO weiterhin der Fall sein.