EU AI Act – Einordnung, Anforderungen, nächste Schritte (Philipp Riedi)

Philipp Also grundsätzlich ist es so, dass wenn ich nach dem EU-AI-Act bewerte, dann ist es erstmal immer die Frage, für was nutze ich es selber, weil Copilot ja in der Form, wie es ausgeliefert wird, Sicherheitsvorkehrungen hat und ich das jetzt nicht einfach zur Bewertung einsetzen darf, zumindest in dieser App, wie wir es nutzen, bin ich einfach nur Betreiber. Wenn ich aber Copilot in ein eigenes System packe und dieses System dann zum Beispiel im Verwendungszweck so stark verändere, dass es dem vom Copilot nicht mehr entspricht, dann wäre ich wieder Anbieter und dann könnte ich auch, da müsste es dann wieder neu bewertet werden, in einen Hochrisikobereich fallen.

Hendrik So und damit sind wir dann beim letzten Vortrag für den heutigen Tag. Und dabei geht es jetzt noch einmal ganz konkret um den EU-AI-Act. Der gilt ja bereits seit August 2024 und seit August dieses Jahres greifen die zentralen Pflichten für Unternehmen. In diesem Vortrag betrachten wir den EU-AI-Act hinsichtlich Risikoklassifizierung, Fristen und Compliance-Anforderungen. Dabei bleibt es dann nicht mal nur bei der Theorie, sondern wir erhalten auch jede Menge praxisnahe Tipps für die Umsetzung dieser Anforderungen. Und die hat für uns parat der Philipp Riedi. Er ist AI Governance Consultant bei der CubeServ GmbH und unterstützt Unternehmen beim strukturierten und verantwortungsvollen Einsatz von generativer KI. Dabei geht es nicht um juristische Spitzfindigkeiten, sondern es geht ihm um ganz praktische Fragen. Was bedeutet das Gesetz für meinen Arbeitsalltag? Welche KI-Anwendungen fallen unter welche Risikoklasse und was muss ich konkret tun? Philipp erklärt dabei aber nicht nur die Anforderungen, sondern auch, wie ihr sie effizient erfüllen könnt, ohne dass das Reglement zur Innovationsbremse wird. Deshalb sage ich jetzt herzlich willkommen, lieber Philipp, hier beim Spotlight. Hallo.

Philipp Guten Tag auch in die Runde, genau, danke fürs Intro.

Hendrik Sehr gerne.

Philipp Dann würde ich sagen, fange ich einfach mal an, oder?

Hendrik So machen wir das. Wenn ihr Fragen habt an den Philipp, dann schreibt sie gerne in den Chat. So, die Bühne gehört dir.

Philipp Die beantworte ich dann im Nachhinein, genau. Ja, nochmal guten Tag in die Runde. Stellen wir uns mal vor, im Unternehmen soll eine KI-Plattform eingeführt werden. Die Daten sind klar, die Technik steht und es sollen unterschiedliche Anwendungen drauflaufen. Jetzt ist die erste naheliegende Frage natürlich, dürfen wir das? Und die Antwort darauf ist gar nicht so einfach, weil es eben nicht einfach nur von einer Plattform abhängt, sondern von den konkreten Umsetzungsmöglichkeiten, die ich damit habe. Und genau darüber will ich heute mit Ihnen, mit Euch reden, nämlich über den EU-AI-Act und werde das Ganze einordnen und werde vor allem ganz viel praktischen Einblick geben. Wie im Intro schon erwähnt, ich bin Philipp Riedi, AI Governance Consultant und bei der CubeServ tätig. Ganz kurz zur CubeServ, Sie haben heute auch schon eine Kollegin von mir gehört, die Helene, zu Responsible AI. Deswegen geht es da ganz kurz, wir beraten, haben Produkte, verschiedene Services, eben unter anderem im, Business Analytics und auch im AI-Bereich, wo ich eben zentral dafür verantwortlich bin und als CubeServ sind wir auch Premium-Partner von der SAP. Worum soll es jetzt heute konkret gehen? Ich werde das Ganze an einem Beispielfall präsentieren, den werde ich ganz am Anfang vorstellen. Dann werden wir mal Grundlagen des EU-AI-Acts durchgehen, damit Sie auch wissen, mit was Sie überhaupt bewerten in Zukunft. Dann werde ich vier verschiedene Praxisbeispiele mitnehmen. Warum, sehen Sie da noch. Und zu guter Letzt werden wir noch die nächsten Schritte für Sie ausloten. Gehen wir mal auf den Fall ein. Ich habe dafür eine fiktive Firma vorbereitet, die sogenannte Brenner GmbH. Die hat 900 Mitarbeitende, ist im DACH-Raum mit vier Standorten tätig und setzt unter anderem S/4HANA und SuccessFactors ein. Die Brenner AG hat unterschiedliche Probleme identifiziert, die sie gerne mit KI lösen wollen würde. Es ist einmal der Service, der komplett überfordert ist, weil die Hotline heiß läuft und die Wartezeiten sehr, sehr lange sind. Beim Personal ebenso kommen sehr, sehr viele Bewerbungen jährlich rein und es sind aber nur drei Recruiterinnen, die dementsprechend überfordert sind und die Rückmeldungen dauern auch hier oft Wochen. Und bei den Ersatzteilen ist es so, dass gängige Ersatzteile oft fehlen, aber besondere Ersatzteile dann wiederum relativ lang rumliegen und so wird viel Kapital gebunden. Die Brenner AG und die Geschäftsleitung ist jetzt auf die Idee gekommen, man könnte doch einfach eine KI-Plattform einführen, die auf Basis von unseren SAP-Daten funktioniert. Und wenn man das Ganze jetzt aus einer Projektsicht betrachten würde, dann könnte man meinen, ja, ein Vorhaben, eine Plattform lässt sich ja relativ einfach bewerten. Jetzt ist aber beim EU-AI-Act die Besonderheit, dass es eben nicht einfach nur reicht, die Plattform zu bewerten, sondern ich muss immer auch auf die Anwendungen schauen. Und da hat sich die Brenner AG eben überlegt, welche Anwendungen wollen wir darauf laufen lassen? Natürlich wollen wir unsere Probleme lösen. Das sind deswegen vier verschiedene Anwendungsfälle. Das ist Anwendungsfall A, bezieht sich einmal auf die Ersatzteile. Hier soll also auf Basis von vergangenen Daten eine Auskunft gegeben werden, wie in Zukunft, an welchem Standort welche Ersatzteile benötigt werden. Also eine Prognose für die Zukunft. Der Fall B, den ich mitgenommen habe, das bezieht sich auf den Kundenservice, auf einen Service-Chatbot. Das ist so eine der gängigsten Anwendungen für KI, würde ich sagen, über LLMs. Weil eben hier so viele Anfragen kommen, soll der Service-Chatbot in erster Instanz die Fragen beantworten und wenn es dann zu Sonderfällen kommt oder zu Spezialfällen, dann soll der Mensch am Ende mit eingreifen. Hier interagiert der Chatbot also zum ersten Mal mit Menschen. Fall C ist dann etwas Besonderes. Da hat die Brenner AG eine ursprüngliche Anwendung, ein Modell, eine Anwendung eingekauft, die administrative Aufgaben im Bewerbungsprozess erledigen soll. Das ist zum Beispiel. Das Gucken, ob irgendwas fehlt oder Dublettenbereinigung. Aber weil eben so eine Überlastung ist, hat sich die Brenner AG gedacht, das reicht uns nicht. Wir wollen hier auch noch eine Erweiterung mit einbinden, nämlich eine Vorsortierung und eine Rangfolge von Bewerbungen, die dann den entsprechenden Menschen vorgeschlagen werden soll, die dann auf Basis von dieser Vorauswahl entscheiden sollen. Hier werden also natürliche Menschen auch schon in einer gewissen Art und Weise bewertet. Und der letzte Anwendungsfall, es geht dann um den Schichtplan. Hier sollen die Schichten zugeteilt werden. Und dann ganz wichtig, ein Zusatzmodul soll auch noch mit eingekauft werden. Hier soll Emotionserkennung stattfinden. Das heißt, wie motiviert ist jemand? Wie engagiert ist jemand? Das soll alles auf Basis von Stimmen und Sprechweisen stattfinden. Das sind jetzt mal die vier verschiedenen Anwendungsfälle und jetzt stellt sich natürlich die Frage. Wie ist die Bewertung? Darf ich das einsetzen als Brenner AG, wenn es denn eine Plattform ist oder muss es unterschiedlich bewertet werden? Und genau darum soll es heute gehen. Genau diesen praktischen Ansatz will ich Ihnen vermitteln und damit Sie den praktischen Ansatz so, einschätzen können und ihn auch so anwenden können, geht es mir in erster Linie erstmal darum, dass ich Ihnen zeige, wie der EU-AI-Act aufgebaut ist und was so die wichtigsten Merkmale des EU-AI-Acts sind. Grundsätzlich handelt es sich dabei um eine Verordnung, die einen harmonisierten europäischen Rechtsrahmen für die Entwicklung, das in Verkehr bringen, die Inbetriebnahme und die Verwendung von KI-Systemen und ganz wichtig auch von Modellen mit allgemeinem Verwendungszweck, besser bekannt unter dem Namen generative KI-Modelle, geht. Das Ziel ist, dass Gesundheit, Sicherheit und Grundrechte von Nutzenden geschützt werden und gleichzeitig auf einer vertrauens- und verantwortungsvollen Art und Weise KI und Innovationen gefördert werden. Mit dem Ansatz ist die EU Vorreiterin gewesen und war die Erste, die ein solches Gesetz in Umlauf gebracht hat. Grundsätzlich gilt für den EU-AI, dass es sich um einen Use-Case-spezifischen Ansatz handelt. Das heißt, es geht nicht darum, welches Modell ich einsetze, zum Beispiel ChatGPT oder Claude, sondern es geht darum, wofür setze ich das Ganze ein. Der risikobasierte Ansatz bedeutet nichts anderes, dass verschiedene Verwendungszwecke risikobasiert eingeschätzt werden und dann kommen unterschiedliche Pflichten dabei raus, je nachdem, welche Rolle ich einnehme. Dazu kommen wir dann gleich noch. Und auch ganz wichtig, auch ohne nationales Umsetzungsgesetz gilt die Verordnung unmittelbar. Das ist also keine Richtlinie, das gilt sofort. Es stellt sich natürlich die Frage, wo gilt das Ganze? Jetzt kommen ja die meisten Modelle eben, ich habe schon zwei genannt, Claude, also Anthropic oder OpenAI mit ChatGPT aus USA. Und obwohl es EU-AI-Act heißt, ist es so, dass es trotzdem gilt. Wir haben hier nämlich ein sogenanntes Marktort-Prinzip. Das heißt, wenn die Modelle in der EU-Region angeboten werden, dann gilt auch hier der EU-AI-Act. Die Brenner AG ist in Deutschland, das heißt auch räumlich gilt das Gesetz, alle Anbieter, alle Betreiber, die in der EU tätig sind, für die gilt der EU-AI-Act. Und ich habe jetzt hier mal im Blau eingekreist die betroffenen Personen, das heißt nichts anderes als diese betroffenen Personen sollen geschützt werden, habe ich jetzt unten mal drei Beispiele, eben Kundinnen, Bewerbende oder Beschäftigte mit aufgenommen. Der risikobasierte Ansatz, den sehen Sie hier, das ist diese sogenannte Risikopyramide und dann gibt es noch einen Zusatz, zu dem komme ich gleich. Das ist wahrscheinlich die Darstellung, die die meisten von Ihnen schon mal irgendwie gesehen haben. Das heißt, es gibt vier unterschiedliche Risikoklassen. Es gibt die verbotenen Systeme, es gibt die Hochrisikosysteme, die Systeme mit begrenzten Risiken und die Systeme mit minimalen Risiken. Bei verbotenen Risiken ist eben sowas wie zum Beispiel Emotionserkennung am Arbeitsplatz oder Social Scoring. Hochrisiko wäre sowas wie zum Beispiel Bewerberauswahl, Leistungsbewertung oder Kreditwürdigkeit. Hier ist ganz wichtig zu sagen, der EU-AI behandelt in den meisten Paragrafen insbesondere. Diese Hochrisikobereiche, weil das am relevantesten ist und weil es da das höchste Risiko bietet und die verbotenen Praktiken, wie der Name schon sagt, verboten sind. Das begrenzte Risiko, da kommt es meist dann schon irgendwo zum Menschenkontakt, eben mit Chatbots oder die Erstellung von synthetischen Inhalten. Weniger Pflichten, hier ganz oft die Transparenzpflicht, zu der wir gleich auch noch kommen, aber deutlich einfacher einzuschätzen als diese Hochrisikosysteme. Und dann haben wir zu guter Letzt eben die minimalen Risiko, hier sowas wie die Bedarfsprognose oder wenn ich zum Beispiel mein E-Mail-Postfach sortieren lassen möchte, da habe ich jetzt erstmal keine Risiken. Und jetzt habe ich hier unten noch in Blau diese sogenannten General Purpose AI, also die KI mit allgemeinem Verwendungszweck. Das ist deswegen so entscheidend und deswegen auch dieser Zusatz, der ist erst später mit dazugekommen. Das heißt, zunächst einmal war diese Pyramide und dann kommt zu einem späteren Zeitpunkt noch diese General Purpose AI Regulatorik, weil wir nämlich beim EU-AI-Act eine sehr wichtige Unterscheidung haben, die ich Ihnen nicht vorenthalten möchte, nämlich die sogenannte Systemebene und ich habe einmal die sogenannte Modellebene. Diese Unterscheidung ist deswegen so wichtig, weil diese General Purpose-AI-Modelle, also sowas wie zum Beispiel ChatGPT oder Claude von Anthropic, in Systemen eingesetzt werden können. Das war am Anfang im Gesetz gar nicht so durchdacht, deswegen ist das erst im Nachhinein noch mit dazugekommen. Das heißt. Beim EU-AI-Act ist es für Anbieter von Modellen so, dass ich die zusätzlich nochmal auf eine Systemebene heben kann. Das heißt, innerhalb des EU-AI gibt es einmal Rechte oder Gesetze für die Modelle und dann gibt es noch einmal Gesetze für die Systeme. Und wenn wir von Systemen sprechen, dann reden wir immer von direkten Anwendungen, die irgendwo laufen und immer von einem Modell abhängig sind. Modelle können also auch unabhängig von diesen Systemen existieren. Systeme sind in aller Regel von den Modellen abhängig. Wann ist dann was in Kraft getreten? Wir haben ja schon am Anfang gehört, dass es seit August 2024 gilt der EU-AI-Act. Im Februar 2025 sind dann verbotene Praktiken, also die Verbotenen oder die Praktiken verboten worden, die eben unter dieses Gesetz fallen. Da ist das in Kraft getreten. Da sehen Sie dann auch dieses General Purpose AI. Das kam eben erst ein Jahr, nachdem der EU-AI-Act in Kraft getreten ist, also der Nachtrag. Und dann ganz frisch, ganz aktuell die sogenannte Transparenzpflicht nach Artikel 50, die ist zum 2. August dieses Jahres, 2026, in Kraft getreten, bedeutet nichts anderes, als dass gekennzeichnet werden muss, wenn etwas KI generiert ist. Wir haben dann jetzt noch in Orange ausstehende Gesetze. Wir brauchen einmal die Kennzeichnung von Bestandssystemen. Was meint es? Diese Transparenzpflicht greift für alle Systeme, die ab dem 2.8.2026 eingeführt wurden. Alle Systeme, die davor bereits eingeführt wurden, für die gilt diese Kennzeichnungspflicht erst ab dem 2.12.2026. Die Hochrisikosysteme, das gilt dann ab dem 2.12.2027 und zu guter Letzt, zumindest Stand 2026 im September, haben wir diese Hochrisiko nach Anhang 1 ab dem August 2028. Diese Verschiebung nach hinten, das haben vielleicht auch manche von Ihnen mitbekommen, es war eigentlich deutlich früher angesetzt, dass diese Hochrisiko-Anhänge zum Beispiel in Kraft treten. Das ist jetzt dieses Jahr im Juli nochmal nach hinten verschoben worden. Das heißt eben auch vom August 2026 bis ins Jahr 2027 bzw. von 2027 bis zum Jahr 2028. Genauso wie diese Kennzeichnung von bestehenden Modellen. Hier ist ganz wichtig zu betonen, das will ich sofort an dieser Stelle vorwegnehmen, nur weil es aufgeschoben ist, heißt es nicht, dass es aufgehoben ist. Das dauert relativ lang, mit dem ganzen Schritt zu halten, das Ganze dann auch wirklich umzusetzen und deswegen ist es ganz wichtig, dass Sie früh genug anfangen. Wenn Sie also Mitte oder Ende 2027 sich danach richten müssen, dann ist es sehr zu empfehlen, wenn man schon 2027 anfängt, beginnt sich darauf vorzubereiten. Wie man sich darauf vorbereiten kann, dazu kommen wir dann eben ganz am Ende nochmal. Jetzt habe ich schon mehrmals das Wort Anbieter und Betreiber fallen lassen. Es ist ganz entscheidend zu wissen, dass im EU-AI-Act unterschiedliche Rollen, unterschiedliche Verpflichtungen haben. Das heißt, wenn ich mich im Gesetz nach in einer gewissen Rolle befinde, wird für mich mehr oder auch weniger Pflicht erforderlich. Es gibt insgesamt sechs Rollen im EU-AI-Act. Das ist auf der linken Seite Importeur, Händler, Produkthersteller oder Bevollmächtigte. Auch hier gelten Regeln und Vorgaben. Die entscheidendsten, die wichtigsten beiden Rollen, die sind aber hier sehr groß und präsent, ist einmal die Anbieterrolle und einmal die Betreiberrolle. Wo ist der Unterschied? Anbieter entwickeln ihre eigenen Systeme und bringen sie unter eigenen Namen in Verkehr. Betreiber nutzen diese Systeme. Anbieter bringen unter eigenen Namen die Systeme in Verkehr. Betreiber nutzen diese Systeme. Hier ist die konkrete Definition, dass die Systeme eben entwickelt wurden. Dann ist man Anbieter, dass man sie unter eigenem Namen vertreibt. Betreiber ist eben ein System, das man von einem Dritten nutzt und für seine eigenen Produkte zum Beispiel nutzt. Jetzt ist es aber so und das ist ein ganz, ganz wichtiger Punkt, den wir selber auch schon bei uns bei der CubeServ diskutiert haben, wenn es um Produkte geht. Es ist ein sehr aktuelles Thema, nämlich um den sogenannten Rollenwechsel. Dem EU-AI-Act zufolge ist es nämlich möglich, vom Betreiber, der, wie Sie gleich noch sehen werden, deutlich weniger Pflichten hat als der, Anbieter, die Rolle zu wechseln. Und da gibt es drei Fälle, wie ich die Rolle wechseln kann. Das ist einmal, dass ich ein System unter eigenem Namen wieder im Umlauf bringe. Das heißt, ich nutze ChatGPT, packe das in ein eigenes Produkt, packe meinen Namen drauf, Und dann bin ich automatisch Anbieter, habe also die Pflichten vom Anbieter. Bei wesentlichen Änderungen bedeutet das, wenn ich das System so verändere, dass es für den eigentlichen Anbieter nicht vorhersehbar war, werde ich Anbieter, nicht mehr Betreiber. Und für neue Zweckbestimmung bedeutet das, wenn der Zweck, für das es eigentlich. Erstellt wurde, so weit verändert würde, dass der andere Zweck dabei rauskommt, dann werde ich auch zum Anbieter und bin kein Betreiber mehr. Was hat das genau für Folge? Das sehen Sie hier, ich werde jetzt nicht alle Pflichten vorlesen, aber Sie sehen doch, dass der Anbieter eben zwölf statt wie der Betreiber nur sechs Pflichten hat. Und das ist eben ganz wichtig zu wissen, denn mit diesen ganzen Pflichten kommen natürlich auch ganz viel Verantwortung und das muss unbedingt beachtet werden, wenn man KI-Systeme irgendwie einsetzt. Was dann auch noch ganz wichtig ist für die meisten von Ihnen ist, dass seit 2. Februar 2025 die KI-Kompetenzen geschult werden müssen. Bedeutet, Sie müssen sicherstellen, dass im Unternehmen zum Beispiel genug Kompetenz, von den Angestellten, von den Kollegen und Kolleginnen vorhanden ist. Ich als Unternehmen bin also nach dem EU-AI-Act verpflichtet dazu, meine eigenen Leute soweit auszubilden. Das wurde mit dem Omnibus neu formuliert, gilt aber seit dem 2. Februar 2025 und dann nochmal hier, ganz aktuell die Transparenzpflicht bedeutet, Sie haben das vielleicht bei mir auch schon in diesen Zwischenfolien gesehen, Wenn Sie zum Beispiel KI-generierten Text irgendwo verwenden oder wenn Sie KI-generierte Bilder für Marketingzwecke einsetzen, für LinkedIn irgendwas verwenden, dann müssen Sie das auch immer als solches kennzeichnen. Sollte das nicht der Fall sein, dann können Sie dagegen verstoßen und es kommen eben Strafen auf Sie zu. Das ist dann der Abschluss des theoretischen Rahmens. Bußgelder. Ganz wichtig, wenn ich mich beim EU-AI-Act insbesondere im Hochrisikobereich. Oder bei den verbotenen Praktiken nicht an geltendes Recht halte, dann habe ich mit sehr massiven und sehr sensiblen Bußgeldern auf der einen Seite, da sehen wir gleich noch, welche anderen Bußgelder es noch gibt, auf der einen Seite zu handeln, habe aber auf der anderen Seite eben auch noch mit den Problemen zu handeln, dass ich das aus dem Markt zurücknehmen muss, dass ich das Projekt stoppen muss und, dass ich meine Reputation dazu schade. Das heißt, mir vertrauen die Leute einfach weniger. Und wenn wir uns dann mit den Bußgeldern beschäftigen, dann gibt es hier für unterschiedliche Risikoklassen unterschiedliche Bußgelder. Hier ist zu erwähnen, dass immer der höhere Betrag, der hier aufgeschriebenen Sanktionen gilt. Das heißt, für verbotene Praktiken, Emotionserkennung zum Beispiel, werden bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes fällig. Bei Pflichtverstößen sind es bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes und bei falschen Auskünften eben 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes. Also hier ganz wichtig, man sollte seine Pflichten kennen. Wenn man die nicht kennt, dann schützt es vor der Strafe nicht. Und es kann eben auch zu Existenznöten dann kommen bei solchen Strafen. Genau, soviel zum theoretischen Rahmen, das ist noch kein, das geht deutlich mehr in die Tiefe, aber mir ging es jetzt vor allem darum, Ihnen die Grundlage zu bieten, dass Sie eben, für den praktischen Teil jetzt genug ausgestattet sind, nämlich, und da kommen wir zurück zur Brenner AG, für die verschiedenen Anwendungsbereiche, die auf dieser Plattform laufen sollen. Dafür habe ich Ihnen ein Prüfschema vorbereitet, das Sie auch nutzen können. Das ist, oder dieses Prüfschema ist etwas, wie wir selber vorgehen. Das ist ein sehr einfaches, eine sehr einfache Methode, um eine erste Prüfung durchzuführen. Ganz wichtig, es ist keine juristische Aussage, wenn es dann wirklich in den aktiven Betrieb geht, dann ist es ganz wichtig, sich nochmal mit Experten auszutauschen, und sich das von einem Juristen oder von einer Juristin abklären zu lassen. Diese fünf Schritte bilden aber eine erste gute Richtlinie, wenn es um Use Cases geht, wo es sich auch lohnt, von Anfang an mitzudenken, ist es denn wirklich sinnvoll, wie ich das einstufen würde. Das heißt, als allererstes sollte mal der Use Case beschrieben werden, Zweck, Daten, die betroffenen Personen und der Output sollte bestimmt werden. Im zweiten Schritt sollte dann geklärt werden, wird ein KI-System gebraucht, und welcher Anwendungsbereich soll geprüft werden? Der dritte Schritt ist dann die Rolle, die ich einnehme. Also bin ich Anbieter oder bin ich Betreiber und kommt ein möglicher Rollenwechsel in Frage. Die vierte Frage, die Sie sich stellen sollten, ist dann die Risikoeinstufung. Also wo auf dieser Risikopyramide lande ich? Und daraus ergibt sich dann auch fünftens die Pflichten, Fristen, Verantwortlichkeiten und dann eine mögliche Freigabe. Und mit diesem Prüfschema will ich jetzt durch die vier verschiedenen Anwendungsbeispiele. Die ich mitgebracht habe, einmal durchgehen. Vorab dieser Schritt 1, die Zweckbestimmung, die betroffenen Personen, Output und Wirkung und die menschliche Aufsicht. Das sind Dinge, die sollten Sie sich grundsätzlich unabhängig von der Risikoklasse immer überlegen, um, auch auf andere Gesetze, zum Beispiel die DSGVO und so weiter, also was passiert mit den Daten, handelt es sich hier um personenbezogene Daten zum Beispiel, das vorab einfach zu klären. Um das Ganze nochmal ins Gedächtnis zu rufen, was haben wir hier für vier verschiedene, Anwendungen? Wir haben hier einmal die Anwendung 1 mit der Bedarfsprognose für die Ersatzteile. Das betrifft keine Personen, sondern das sind nur Gegenstände. Das heißt, wie gehe ich durch das Ganze durch? Ich habe einen Use Case, ich habe die Bedarfsprognose je Teil und Standort und diese Bedarfsprognose sollen wir dann einen Vorschlag für eine mögliche Disposition bieten. Wird ein KI-System eingesetzt? Ja, nämlich ein Prognosemodell, das auf alten Daten lernt und mir dann wiederum eine Prognose ausspuckt. Und weil ich hier ein System nutze, das mir so bereitgestellt wurde, weil ich keine Abänderungen mache, weil das nur intern läuft. Als diese Firma bin ich Betreiberin und habe ein minimales Risiko. Das heißt, ich habe hier keine Einstufung in ein Hochrisiko, deswegen habe ich auch keine besonderen Pflichten. Der EU-AI-Act sieht nämlich keine besonderen Pflichten für minimales Risiko vor. Das heißt, wenn Sie vorher die Ampel gesehen haben, grün, es ist also ein ganz, geringes Risiko nur, dass hier irgendwas passieren kann. Der Fall B, der Service-Chatbot für Kunden, auch nochmal hier, er soll mit Kunden interagieren, also menschliche Interaktion und soll dann auf Fragen antworten. Und der Use Case ist dann dieser, dass ich die Kundenanfragen beantworte zu Lieferzeiten und Störungen auf der Website, die von dem Unternehmen bereitgestellt werden. Wird ein KI-System eingesetzt? Ja, es wird ein dialogbasiertes System eingesetzt, also ein LLM oder wie es auch oft in der Fachsprache heißt, ein Foundation-Modell. Und weil ich hier das einsetze, aber kein eigenes Produkt daraus mache, bin ich Betreiber und kein Anbieter, und somit lande ich in der Risikoklasse begrenztes Risiko. Welche Pflichten greifen hier für mich? Hier ist Artikel 50 zu nennen, also die Transparenzpflicht. Das heißt, ich muss den Nutzenden, die mit dem Service-Chatbot interagieren, klar machen, dass es sich hier um einen Chatbot handelt und nicht um einen echten Menschen. Das Ganze darf also umgesetzt werden, aber, es muss ersichtlich sein, dass es sich um einen Chatbot handelt, der mit KI betrieben wird. Dann kommen wir zum Fall C auf dieser KI-Plattform, nämlich das Bewerbungsranking. Und hier habe ich ja am Anfang schon angekündigt, dass es sich hier um einen Sonderfall handelt, nämlich wurde die eigentliche Anwendung, so wie wir sie eingekauft haben, hat eigentlich nur eine organisatorische Funktion gehabt. Das heißt, es wurden Dubletten angezeigt, es wurden Fehler angezeigt, wenn irgendwo etwas gefehlt hat. Was jetzt aber die Brenner AG noch zusätzlich mit eingefügt hat und programmiert hat, war, dass Bewerbungen vorsortiert werden, dass sie auf Eignung geprüft werden und dass dadurch eine Rangfolge entsteht, die an das Personal weitergeleitet wird, und auf Basis von dieser Vorauswahl soll dann eine Entscheidung über die verschiedenen Bewerber getroffen werden. Das heißt, der Mensch hat, obwohl die natürlichen Menschen bewertet werden, hier die letzte Entscheidungsmacht. Was jetzt bei diesem Fall ganz besonders ist, wir sind einmal im Human Resource Bereich, also in der Personalabteilung. Und dieser Human Resource Bereich, der wird vom EU-AI-Act, weil es eben um die Bewertung von natürlichen Menschen geht. Sehr, sehr häufig und in den allermeisten Fällen als Hochrisikosystem eingestuft. Und dann habe ich noch den zweiten Sonderfall, wo es jetzt um einen potenziellen Rollenwechsel geht, nämlich, dass sich das System abändere. Das heißt also, die erste Bewertung, die wir jetzt durchführen können, ist, wir wissen, wie der Use Case aussieht. Wir haben die Bewertung und die Eignung von Bewerbenden und die Reihenfolge zur Vorauswahl und es wird ein KI-System eingeführt, das zur Bewertung und zum Ranking genutzt wird. Was jetzt offen bleibt und was ich jetzt im Detail mir anschauen möchte, ist, welche Rolle habe ich, in welche Risikoklasse falle ich und welche Pflichten kommen dann auf mich zu. Wenn die Brenner AG das eingekaufte Modul oder Recruiting-Add-on steht jetzt hier, nutzt, um administrative Unterstützung zu betreiben, das heißt eben Dubletten, Vollständigkeitsprüfung oder fehlende Unterlagen zu prüfen, dann ist die Brenner AG nicht automatisch in einem Hochrisikobereich drin und, ganz wichtig, sie hat die Rolle als Betreiberin. Was die Brenner AG jetzt aber gemacht hat aufgrund der Probleme, die sie intern hat, ist, dass sie intern beauftragt hat, dass das Ganze noch erweitert werden soll, nämlich um die Funktionen, dass eine Eignungsbewertung, also eine Bewertung von den Personen und dadurch eine Rangfolge vorgenommen werden soll, die eben an das Personal weitergeleitet wird, und auf Basis dessen dann eine Auswahl getroffen werden soll. Und wenn die Brenner AG jetzt nämlich in diesen Fall hier reinkommt, dann sind wir nicht einfach mehr nur, Betreiber, sondern dann werden wir Anbieter, obwohl wir ein System nutzen, das eigentlich uns zum Betreiber machen würde. Das ist also hier ein ganz guter Fall, wo man sieht, was passieren kann, wenn man Systeme mit KI erweitert oder verändert, was super intuitiv wäre, weil die KI nämlich so viele Möglichkeiten bietet. Insbesondere in Zeiten von Vibe Coding war es oder ist es so einfach wie noch nie davor, Dinge einfach zu bauen, Dinge zu nutzen, Dinge unter eigenem Namen im Umlauf zu bringen. Und wenn man jetzt hier eben nicht aufpasst und dann gegen dieses Gesetz verstößt, dann habe ich eben ein Riesenproblem, weil ich zum einen eben nicht nur die Pflicht nicht beachtet habe, sondern zum anderen dann auch zusätzlich in diesen Sanktionen drin liege. Und wie wir vorher gesehen haben, können die unglaublich massiv sein und zu Existenzproblemen führen. Was ich also gucken muss bei dieser konkreten Anwendung ist, wie wurde der ursprüngliche Zweck verändert? Wie groß ist der Umfang dieser Änderung? Wie ist dann die technische Dokumentation? Und auch das ist ganz wichtig. Die eigentlichen Anbieter haben die Verpflichtung, dass sie nachweisen und dokumentieren, wie dieses System funktioniert, was da genau passiert. Wenn jetzt ich das System verändere und vom Betreiber zum Anbieter werde, dann habe ich plötzlich auch die Aufgabe, diese technische Dokumentation für dieses neue System, für das ich dann verantwortlich bin, nachzureichen. Das heißt, ich habe dann weitere Verpflichtungen und. Habe Unterstützung durch den Ausgangsanbieter. Genau, das heißt also so viel zur Rolle. Hier haben wir jetzt nochmal diese konkrete, diese Unterschiede, die da die Brenner AG eingeht. Ich habe also in der ursprünglichen Variante einfach nur administrative Unterstützung, und in der Variante, die die Brenner GmbH verwenden will und einsetzen will, habe ich die Bewertung und die Rangfolge. Das heißt, ich bewerte hier wirklich Menschen und deswegen bin ich auf der linken Seite, obwohl ich hier im Human Resource Bereich bin, nicht automatisch in einem Hochrisikobereich, muss dann je nach Funktion nochmal geprüft werden. Was aber Fakt ist, dass ich mit dieser erweiterten Funktion, die ich da selber programmiert habe als Brenner AG, auf alle Fälle in einem Hochrisikobereich lande. Und wie Sie sich daran erinnern, dieser Hochrisikobereich, der birgt deutlich mehr Anforderungen, deutlich mehr Verpflichtungen, bedeutet dementsprechend auch deutlich mehr Aufwand im tagtäglichen Betrieb. Und dann stellt sich auch wiederum die Frage, lohnt sich das eigentlich für mich von der reinen Arbeitszeit, wenn ich. Diesen Rollenwechsel vollziehe, wenn ich Anbieter werde? Vielleicht ganz kurz aus unserer eigenen Erfahrung. Wir hatten auch das Problem, dass wir vom Betreiber zum Anbieter geswitcht werden und haben uns dann tatsächlich in einem ganz konkreten Fall dagegen entschieden, das System so anzubieten. Haben also das Ganze bei dieser einfacheren Variante belassen, weil es für uns als, kleines und mittelständisches Unternehmen einfach zu viel Aufwand gewesen wäre und das Risiko sehr, sehr hoch ist, dass man irgendwie Probleme oder auf Probleme stößt. Genau. Das heißt also, wie lässt sich dann dieses Prüfschema komplett ausfüllen? Ich habe einmal den Use Case, das KI-System haben wir bewertet und jetzt bin ich eben, so wie das die Brenner AG machen will, als Anbieter, weil ich einen Rollenwechsel vollzogen habe. Ich bin im Hochrisikobereich und habe deswegen die kompletten Anbieterpflichten, neben den Betreiberpflichten, und habe da eben dann ab dem 2.12.2027 mit diesen Hochrisikopflichten zu tun. Und dann haben wir noch einen letzten Fall mit dabei, die letzte Anwendung auf dieser Plattform, das ist der Schichtplan und jetzt ganz wichtig, und manche werden sich das vielleicht auch schon gedacht haben, die Motivation, die Emotionserkennung. Da sind wir jetzt in einem sehr, sehr kritischen Bereich. Der Schichtplan an sich ist jetzt weniger das Problem. Was wirklich ein großes Problem ist, ist die Emotionserkennung durch die Stimme. Wenn ich Personen danach bewerte, wenn ich als Arbeitgeber meine eigenen Mitarbeitenden danach bewerte, dass ich sie leistungstechnisch einstufe, dass ich ihre Leistung danach bewerte, dann lande ich automatisch immer in einem Bereich, der als verboten gilt und das auch mit gutem Grund. KI sollte zumindest dem Gesetz nach und deswegen ist es auch gekommen, um uns als Bevölkerung zu schützen, das sollte niemals der Fall sein, deswegen ist das verboten. Die Brenner AG sollte damit also nichts zu tun haben, äh, die Brenner GmbH, Entschuldigung, sollte damit nichts zu tun haben, den reinen Schichtplan, das ist aber kein Problem. Genau. Heißt, das ist falsch, Entschuldigung, ich bin in einem Hochrisiko – doch ich bin in einem Hochrisikobereich und mit diesem Zusatzmodul falle ich eben sogar unter die verbotenen Risiken und hier bin ich aber einfach nur Betreiber, weil ich nichts an dem System verändere. Ich bringe es nicht unter eigenem Namen in den Umlauf und deswegen habe ich die Betreiberpflichten. Hier nochmal kurz als Übersicht für Sie. Wir haben also im ersten Fall eine Basiskontrolle, das ist gar kein Problem. Wir haben im zweiten Fall die Transparenzpflicht. Wir haben im dritten Fall Hochrisiko und wir sind sogar Anbieter für diesen Anwendungsfall. Und zu guter Letzt sind wir im Hochrisikobereich, aber eben zusätzlich auch, mit der Bewertung von Emotionen bei Menschen. Bei den verbotenen Praktiken und das wird zum sehr, sehr großen Problem, das sollte auf keinen Fall gemacht werden. Und dieses Beispiel soll eben zeigen, hier sehen Sie nochmal im Überblick die verschiedenen Pflichten, dieses Beispiel soll Ihnen zeigen, wie, einfach es doch sein kann, vom Betreiber zum Anbieter zu werden, was ich plötzlich für Verpflichtungen habe, wie massiv die Strafen sein können, wenn ich einmal nicht aufpasse, wenn ich eigentlich nur Effizienzsteigerung haben will. Und das gar nicht so genau weiß, dass ich da diesen Switch hinlegen kann, was dann alles auf mich zukommt, wenn ich sehe, dass ich hier zum Beispiel dieses, Risikomanagement-System brauche, wenn ich da alles außenrum brauche, dann stellt sich für vor allem kleinere Unternehmen die Frage, macht es denn wirklich Sinn, das System dann dahin zum Beispiel noch zu erweitern? Genau. Und dann will ich jetzt auch zum Abschluss kommen, damit ich die Zeit nicht überschreite. Wie sieht denn jetzt der nächste Schritt für Sie aus? Was sollten Sie denn jetzt tun? Sie sollten auf alle Fälle ein KI-Inventar anlegen. Warum ein KI-Inventar? Nur wenn ich weiß, welche Systeme, welche Modelle im Einsatz sind, kann ich auch beurteilen, wo und in welcher Risikoklasse ich mit den verschiedenen KI-Anwendungen liege. Ich sollte für jede Anwendung mir darüber Gedanken machen, bin ich Anbieter oder bin ich Betreiber? Mit dieser Frage kommen dann nämlich auch die ganzen Pflichten einher. Das ist dann auch der dritte Punkt. Sie sollten unbedingt sich an dieses Prüfschema halten. Sie sollten damit einfach mal durchgehen und gucken, wo lande ich denn ganz am Ende, um auch zu wissen und abgesichert zu sein, dass Sie nichts falsch machen. Und ganz wichtig, das ist mir, weil ich für das Enablement bei unserem Unternehmen auch zuständig bin, ein sehr großes Anliegen. Sie sollten sich unbedingt darüber Gedanken machen, wie kann ich es schaffen, dass meine Leute im Unternehmen, meine Kollegen und Kolleginnen, meine Angestellten genügend KI-Kompetenzen besitzen, damit sie sich auch an geltendes Recht halten können, damit sie wissen, was passiert, wenn man in einem Hochrisikobereich landet. Damit sie wissen, was für Pflichten sie haben, damit sie zum Beispiel nicht einfach irgendwelche KI-generierten Bilder in die Welt raussenden und sie als Unternehmen dann darunter leiden müssen. Der Mensch ist in der KI-Welt auf alle Fälle einer der größten Faktoren, wenn es um irgendwelche Fehler geht, wegen Unachtsamkeiten und so weiter. Das wären vier einfache Schritte, die Sie sofort umsetzen können. Und wie sieht jetzt so die Roadmap für Sie aus? Ich habe schon gesagt, die Verbote gelten seit 2. Februar 2025 und Sie sollten jetzt anfangen, sich auf alle Fälle mit dem Inventar zu beschäftigen, diese vier Schritte, die ich jetzt gerade genannt habe. Welche Rolle habe ich, worauf muss ich achten, was ist wirklich im Einsatz, um dann für alle Systeme, die in der Vergangenheit auch schon im Einsatz waren, die Kennzeichnung auf alle Fälle einzuführen und, dann ab 2027, das Risikomanagement mit, genau. Ja, und zu guter Letzt im Dezember dann 2027 wird eben dieser Anhang für das, Hochrisiko, Anhang 3 wird dann, verpflichtend wirksam Und darauf sollten Sie sich auf alle Fälle mit dem Inventar, das ich Ihnen unbedingt ans Herz legen würde, anzulegen, darauf vorzubereiten. Genau, was Sie mitnehmen sollten, die Risikoklassen sind nicht abhängig von den Modellen oder den Systemen, die Sie einsetzen, sondern von den Anwendungen. Die Rolle, die Sie einnehmen, ist dafür zuständig, welche Verpflichtungen Sie auch haben. Und nur, weil durch diese Omnibus-Thematik das Ganze nach hinten rausgeschoben wurde, heißt es nicht, dass Sie von den Pflichten befreit sind. Ich würde Ihnen auf alle Fälle raten, sich frühzeitig mit dem ganzen Thema auseinanderzusetzen, sich frühzeitig darum zu kümmern, das Unternehmen ready zu machen, damit man die Vorteile und die Effizienz von KI im Unternehmen auf alle Fälle nutzen kann. Genau. Ich würde mich freuen, wenn ich mich mit dem einen oder anderen connecten würde. Ich habe hier mein LinkedIn. Dargestellt mit dem QR-Code. Schreiben Sie mir gerne, wenn Sie Fragen haben, wenn Sie einfach nur austauschen wollen. Und genau, in diesem Sinne, vielen Dank.

Hendrik Philipp, erstmal dir vielen, vielen Dank für diesen Vortrag. Wir haben noch so ein paar Fragen. Und zwar, ich fange einfach mal an mit dem Julian, der sich schon mal sehr bedankt hat für deine Präsentation. Wenn man also einen Agenten in SAP entwickelt, der in den Hochrisikobereich fällt, würde man in diesem Fall auch als Anbieter gelten?

Philipp Das kommt darauf an, wie dieses System eingesetzt wird. Wenn das einfach nur intern eingesetzt wird, heißt, wenn ich diesen Agenten intern einfach nur für interne Anwendungen einsetze, bin ich nicht automatisch als Anbieter zuständig. Ich ziehe mir hier meine Kamera runter, dann kann ich hier reinschauen, genau. Bin ich nicht als Anbieter und habe nicht die Anbieterpflichten, sondern bin Betreiber. Wenn ich aber den Agenten in einem System einsetzen würde, das ich dann wieder unter eigenem Namen verkaufe, ich sage jetzt mal ganz plakativ, wir haben jetzt ein Produkt A, und da nutze ich die Technik von einem externen Anbieter, dann würde ich wiederum, Anbieter werden und gehe eben von dieser Betreiberrolle in die Anbieterrolle. Hier nochmal ganz wichtig mit Nachdruck, weil das uns nämlich selber auch untergelaufen ist, wirklich immer doppelt prüfen. Und nicht einfach nur AI fragen, werde ich hier anbieten, sondern, wenn es wirklich in einem produktiven Modus geht, dann sollte man sich da absichern mit einem juristischen Experten, weil es oft Feinheiten sind und auch ganz wichtig, der EU-AI ist kein starres Konstrukt, sondern der entwickelt sich immer weiter. Aber genau, gilt also für alles, nicht nur für SAP. Auf jeden Fall.

Hendrik Genau, auf jeden Fall. Wir haben tatsächlich auch noch eine Veranstaltung zum EU-AI-Act, die in ungefähr einer Woche startet. Schreibe ich gleich nochmal in den Chat was. Vanessa hat noch eine Frage. Wie kann ich Anwendungen mit, sie sagt unendlich vielen Use Cases, wie zum Beispiel Microsoft Copilot oder Joule, nach dem EU-AI-Act bewerten?

Philipp Auch hier wieder, wenn ich es intern, also grundsätzlich ist es so, dass wenn ich nach dem EU-AI-Act bewerte, dann ist es erstmal immer die Frage, für was nutze ich es selber. Weil Copilot ja in der Form, wie es ausgeliefert wird. Sicherheitsvorkehrungen hat und ich das jetzt nicht einfach zur Bewertung einsetzen darf, zumindest in dieser App, wie wir es nutzen, bin ich einfach nur Betreiber. Wenn ich aber Copilot – ist ja auch nichts anderes als ein GPT-Modell im Hintergrund –, wenn ich also diese Copilot-Funktionen – sind wir wieder bei dem gleichen Thema – in ein eigenes System packe und dieses System dann zum Beispiel im Verwendungszweck so stark verändere, dass es dem von Copilot nicht mehr entspricht, dann wäre ich wieder Anbieter und dann könnte ich auch, da müsste es dann wieder neu bewertet werden, in einen Hochrisikobereich fallen. Also auch hier, immer wenn ich ein System nutze, das von Dritten bereitgestellt wird und dann entweder unter eigenem Namen oder so stark verändere und wiederverwende, dass es nicht mehr erkennbar ist, wäre ich zum Anbieter und dann muss auch diese Hochrisikoeinstufung geschehen, weil eben nicht, modellabhängig oder systemabhängig bestimmt wird, in welcher Risikoklasse es ist, sondern das gleiche Modell und das gleiche System kann am Ende des Tages sogar in den verbotenen. Praktiken landen. Auch wenn ich davor zum Beispiel nur minimales Risiko hatte, wenn ich es als Chatbot verwendet habe.

Hendrik Okay, vielleicht dazu auch von Frederik noch die Frage, wie wäre denn die Anwendung D, also der Hochrisikofall zu bewerten, wenn die Brenner AG, einen US-Standort hätte, dort also die Anwendung aufgesetzt wird und nur auf den US-Standort auch angewendet wird?

Philipp Dann würde der, also wenn das dann wirklich nur innerhalb der USA stattfinden würde, würde der EU-AI-Act. Nicht mehr gelten, sondern dann bin ich ja in der USA. Genau. Das ist also innerhalb der EU.

Hendrik Okay, alles klar. Gut. Jetzt hatte George noch ein paar Fragen und zwar bezüglich der Kennzeichnung nach Artikel 50. Müssen KI-generierte Inhalte auch innerhalb eines Unternehmens gekennzeichnet werden? Oder nur, wenn es quasi nach extern geht, also wenn es innerhalb des Unternehmens bleibt, müssen sie dann auch gekennzeichnet werden? Oder geht es nur darum, dass diese Inhalte auch nach extern sozusagen gestreut werden?

Philipp Ich muss tatsächlich, also es ist definitiv so, dass wenn Inhalte KI generiert gestreut werden, dann muss es immer gekennzeichnet werden. Wie es intern ist, ich müsste tatsächlich selber nachschauen. Ähm. Ich sage mal, ein Problem ist, dass solange es in einem internen Bereich bleibt, wo kein Kläger oder kein Richter, habe ich wenig Probleme nur, und das ist der entscheidende Punkt, wenn diese Inhalte verbreitet werden intern, zum Beispiel über eine E-Mail, weil ich habe ein Bild erstellt, das fälschlicherweise eine Konkurrenz in irgendeiner blöden Situation erstellt oder Unwahrheiten verbreitet. Und jetzt haben wir, weil uns die Schulungen gefehlt haben, haben wir jetzt Person XY, die das extern nutzt, weil sie findet, dass das ein guter Marketing-Gag wäre zum Beispiel. Dann habe ich wieder ein Problem. Das heißt, ich müsste nachschauen oder das müsste ich nochmal prüfen, ob es immer zu kennzeichnen ist. Grundsätzlich gilt, sobald es in Umlauf gerät, muss es gekennzeichnet werden. Und da ist eben genau das Problem, dass es dann über irgendwelche blöden Situationen, auch wenn es nur für den internen Gebrauch gedacht war, zu Problemen führen kann, wenn es nicht gekennzeichnet war. Vielleicht auch hier noch ganz wichtig zu wissen, das habe ich jetzt im Vortrag gar nicht genannt, aber vielleicht hat das die eine oder andere Person auch mitbekommen, dass Anthropic, also der Anbieter von Claude. Innerhalb der Texte, die generiert werden, auch schon eine Transparenzpflicht quasi erfüllt. Also es wird durch die Nutzung der verschiedenen Worte, der Anordnung der Token, die für die Generierung genutzt werden, wird maschinenlesbar auch schon erkenntlich, dass es durch KI erstellt wurde oder auch in den Bildern. Das ist jetzt natürlich die Frage, kann man das dann im Nachhinein wieder verändern? Aber da sind wir beim anderen Thema. Grundsätzlich ist es aber so, dass auch hier ein gutes Beispiel dafür ist, also US-Anbieter kommt der Transparenzpflicht innerhalb der EU nach. Also auch für die gilt dieses Recht und die sind eben auch. dem nachgekommen, genau.

Hendrik Eigentlich eine Frage, die wir vielleicht ganz am Anfang hätten stellen sollen. George fragt nämlich, was ist denn jetzt so ein KI-generierter Inhalt? Einfaches Beispiel, eine erzeugte PowerPoint-Folie, bei der einfache Formen generiert worden sind und die Inhalte selbst umgeschrieben worden sind. Ist das dann schon so ein KI-generierter Inhalt?

Philipp Wenn es auf die Transparenzpflicht rausläuft, ist es, also grundsätzlich ist es so, so alles, was ich mit einem Prompt über ein LLM erstellt habe, gilt als generierter Inhalt. Jetzt ist es aber so, dass, wenn es auf diese Frage hin oder abzielt, mit der Transparenzpflicht auch, dass wenn ich jetzt zum Beispiel eine, ich sage jetzt mal, ganz plakatives Beispiel, eine Kuh im Weltraum auf dem Mars eine USA-Flagge, reinstecken sehe, dann ist es so klar, dass es so unrealistisch ist, dass das niemals passieren wird, dass da zum Beispiel diese Transparenzpflicht in diesem Sinne gar nicht mehr so greifen muss, weil es offensichtlich ist. Es geht hier vor allem um die Thematik rund um Deepfakes, die ja verboten sind. Ab 2026 oder 2027 kommt dieses Gesetz auch in Kraft, eben vor solchen Sachen zu schützen, wo es nicht offensichtlich ist, dass es von KI generiert ist. Ich denke auch an Marketing-Texte oder an LinkedIn-Posts, die sich immer, also ja, synthetische Daten generell gelten als KI-generiert.

Hendrik Okay, super. Ich würde sagen, wir haben ein bisschen überzogen, aber ich glaube, an der Stelle können wir dann jetzt auch einen Schlussstrich machen. Philipp, ich danke dir wirklich sehr, dass du jetzt noch so lange geblieben bist und die Fragen noch beantwortet hast. Vielen Dank für deinen tollen Vortrag und bis zum nächsten Mal.

Philipp Vielen Dank. Danke, dass ich hier sein durfte.