KI-Reallabore: Wie Regulatory Sandboxes nach der KI-Verordnung funktionieren

KI-Reallabore, englisch Regulatory Sandboxes, sind ein Instrument der KI-Verordnung (EU) 2024/1689, mit dem Unternehmen neue KI-Systeme unter Aufsicht einer Behörde entwickeln und testen können, bevor sie auf den Markt kommen. Sie sollen Innovation erleichtern und gleichzeitig helfen, die Anforderungen der Verordnung früh zu erfüllen. Dieser Überblick ersetzt keine Rechtsberatung.

Was ein KI-Reallabor ist

Ein Reallabor ist ein kontrollierter Rahmen, den eine zuständige Behörde einrichtet. Teilnehmende Unternehmen vereinbaren mit ihr einen Plan: welches System getestet wird, für welchen Zeitraum, mit welchen Daten und unter welchen Schutzvorkehrungen. Die Behörde begleitet das Vorhaben, gibt Hinweise zur Einhaltung der Vorschriften und bestätigt am Ende schriftlich, welche Tätigkeiten stattgefunden haben.

Art. 57 der KI-Verordnung verpflichtet jeden Mitgliedstaat, mindestens ein KI-Reallabor auf nationaler Ebene einzurichten, allein oder gemeinsam mit anderen Mitgliedstaaten. Die Einzelheiten zu Auswahl, Ablauf und Ausstieg regeln Durchführungsrechtsakte der Kommission.

Vorteile für Teilnehmende

• Rechtssicherheit: Unklare Fragen lassen sich mit der Behörde klären, bevor viel Geld in ein Produkt fließt.
• Nachweise: Der Abschlussbericht und die schriftliche Bestätigung können im späteren Konformitätsbewertungsverfahren berücksichtigt werden.
• Keine Bußgelder bei Wohlverhalten: Wer sich in gutem Glauben an den vereinbarten Plan und die Hinweise der Behörde hält, muss für Verstöße gegen die KI-Verordnung im Rahmen des Reallabors keine Geldbußen fürchten.
• Vorrang für KMU: Kleine und mittlere Unternehmen sowie Start-ups mit Sitz in der EU erhalten vorrangig Zugang, grundsätzlich kostenlos.
• Daten: Unter strengen Voraussetzungen dürfen personenbezogene Daten, die für andere Zwecke erhoben wurden, im Reallabor für KI-Systeme im öffentlichen Interesse weiterverarbeitet werden (Art. 59).

Was ein Reallabor nicht ist

Ein Reallabor ist keine Ausnahme vom Recht. Die Haftung gegenüber Dritten bleibt bestehen: Verursacht ein getestetes System Schaden, haften die Teilnehmenden nach den allgemeinen Regeln. Auch die DSGVO gilt weiter, die Datenschutzbehörden werden eingebunden. Werden erhebliche Risiken erkannt, kann die Behörde den Test aussetzen oder beenden.

Tests unter Realbedingungen außerhalb des Reallabors

Daneben erlaubt die Verordnung unter bestimmten Bedingungen, Hochrisiko-Systeme nach Anhang III außerhalb eines Reallabors unter realen Bedingungen zu testen (Art. 60). Voraussetzungen sind unter anderem ein Testplan, den die Marktüberwachungsbehörde billigt, eine Registrierung, eine zeitliche Begrenzung und in der Regel die informierte Einwilligung der Testpersonen (Art. 61). Für Unternehmen, die etwa ein KI-Werkzeug zur Personalauswahl entwickeln, kann das ein Weg sein, das System vor den Hochrisiko-Pflichten ab dem 2. Dezember 2027 zu erproben.

Für wen sich ein Reallabor lohnt

• Entwickler von Systemen, die wahrscheinlich als Hochrisiko-KI gelten, siehe Pflichten bei Hochrisiko-KI,
• Start-ups mit neuartigen Anwendungen, bei denen die Einordnung unklar ist,
• Projekte im öffentlichen Interesse, etwa in Gesundheit, Umwelt oder Verwaltung,
• Vorhaben, die besondere Daten benötigen.

Für einen internen Chatbot oder eine Textassistenz lohnt sich der Aufwand dagegen kaum.

So bereiten Sie sich vor

1. Klären, ob das System voraussichtlich in eine regulierte Risikoklasse fällt; eine erste Einordnung liefert KI-Risikoklasse prüfen.
2. Zweck, Daten, Risiken und geplante Schutzmaßnahmen schriftlich beschreiben.
3. Bei der zuständigen nationalen Behörde nach dem Stand des Reallabors und den Bewerbungsbedingungen fragen. Wer in Deutschland zuständig ist, erklärt KI-Aufsicht in Deutschland.
4. Datenschutzbeauftragten früh einbinden.