Die KI-Verordnung für Nicht-EU-Unternehmen: extraterritoriale Wirkung

Kurze Antwort: Außerhalb der EU niedergelassen zu sein entbindet nicht von der KI-Verordnung. Die Verordnung hat extraterritoriale Wirkung: Sobald Ihr KI-System in der Union in Verkehr kommt oder dessen Ausgabe in der EU verwendet wird, gelten die Regeln. Das gilt unabhängig davon, wo Ihr Unternehmen, Ihre Server oder Ihre Entwickler sitzen.

Wann die KI-Verordnung Sie betrifft

Die KI-Verordnung blickt auf die Marktreichweite, nicht auf den Niederlassungsort. Sie fallen darunter, wenn Sie:

• ein KI-System in der EU in Verkehr bringen oder in Betrieb nehmen;
• außerhalb der EU niedergelassen sind, aber die Ausgabe Ihres Systems in der Union verwendet wird;
• als Einführer oder Händler KI-Systeme in der EU bereitstellen.

Dieses "Ausgabe"-Kriterium ist weit: Ein Modell, das außerhalb der EU läuft, aber Ergebnisse liefert, die innerhalb der EU verwendet werden, kann unter das Gesetz fallen.

Der Bevollmächtigte in der EU

Nicht-EU-Anbieter von Hochrisiko-Systemen und bestimmten Modellen müssen in der Regel einen Bevollmächtigten in der Union benennen. Dieser fungiert als Anlaufstelle für die Aufsichtsbehörden, bewahrt die Dokumentation auf und trägt eine Mitverantwortung für die Einhaltung. Ohne Bevollmächtigten darf das System in vielen Fällen nicht auf den EU-Markt.

Parallele zur DSGVO

Wer die DSGVO kennt, erkennt das Muster: Auch dort gilt eine extraterritoriale Wirkung und ein Vertreter in der EU. Unternehmen, die bereits eine DSGVO-Vertretung haben, können diese Erfahrung wiederverwenden — wenngleich die Rollen rechtlich nicht identisch sind. Siehe auch den umfassenderen Stand der KI-Regulierung.

Die Pflichten bleiben dieselben

Extraterritoriale Wirkung bedeutet keine "leichteren" Regeln. Ein Nicht-EU-Anbieter eines Hochrisiko-Systems muss dieselben Anforderungen erfüllen wie ein EU-Anbieter: Risikomanagement, Dokumentation, Protokollierung, menschliche Aufsicht. Siehe die Übersicht der Hochrisiko-Pflichten.

Was zu tun ist

• Bestimmen Sie, ob Ihr KI-System oder dessen Ausgabe den EU-Markt berührt.
• Stellen Sie Ihre Rolle fest (Anbieter, Einführer, Händler oder Betreiber).
• Benennen Sie bei Bedarf einen Bevollmächtigten in der EU für Hochrisiko-Systeme.
• Erfüllen Sie die inhaltlichen Pflichten über den KI-Verordnung-Fahrplan.
• Vermeiden Sie die häufigsten KI-Verordnung-Fehler, etwa zu denken, die Regeln gälten nicht für Sie.

Die Frage ist nicht, wo Sie niedergelassen sind, sondern ob Ihre KI den europäischen Markt berührt. Wenn ja, sind Sie schlicht Beteiligter.