Vereinfachung der EU-Digitalverordnung: Wichtige Überschneidungen und Herausforderungen

Da sich die digitale Regulierungslandschaft in Europa weiterentwickelt, sehen sich Unternehmen einem immer komplexeren Netz von sich überschneidenden Anforderungen gegenüber. Während diese Vorschriften darauf abzielen, die Verbraucher zu schützen und eine verantwortungsvolle Technologieentwicklung zu gewährleisten, stellt ihre Schnittstelle einzigartige Herausforderungen für Unternehmen dar, die auf dem EU-Markt tätig sind. Angesichts des Ziels des Compass für Wettbewerbsfähigkeit, die Regulierungslandschaft durch Verringerung von Aufwand und Komplexität zu vereinfachen, ist es für die EU von entscheidender Bedeutung, bestehende Überschneidungen zu erfassen und anzugehen. Hier ist ein praktischer Blick auf einige Beispiele der wichtigsten regulatorischen Überschneidungen und ihre realen Auswirkungen auf Unternehmen.

Die Triple Reporting Challenge für Cybersecurity

Der vielleicht unmittelbarste Schmerzpunkt liegt in den sich überschneidenden Berichtspflichten für Vorfälle in drei wichtigen Vorschriften: NIS 2, DORA und dem Cyber Resilience Act (CRA). Dadurch werden Ressourcen während kritischer Reaktionszeiten belastet. Anstatt sich auf die Stärkung der Cybersicherheitsergebnisse zu konzentrieren, nehmen Unternehmen häufig rechtliche Schritte vor, was das umfassendere Ziel der Stärkung der Cyberresilienz der EU untergräbt.

Ein Cloud-Anbieter, bei dem eine Sicherheitsverletzung auftritt, muss möglicherweise einen ersten Vorfallsbericht gemäß NIS 2 einreichen, einen separaten Bericht gemäß DORA einreichen, wenn er Kunden des Finanzsektors betreut, und die CRA-Berichtsanforderungen erfüllen, wenn der Vorfall seine Produkte betrifft. Diese separaten Berichte mit jeweils unterschiedlichen Kriterien und Zeitplänen müssen bei verschiedenen Regulierungsbehörden in mehreren Ländern eingereicht werden.

AI Act’s Balancing Act mit DSGVO

Die Schnittstelle zwischen KI-Regulierung und Datenschutz stellt Unternehmen, die KI entwickeln und einsetzen, vor mehrere praktische Herausforderungen. Die Ausbildung genauer, robuster und repräsentativer KI-Modelle und -Systeme erfordert den Zugriff auf und die Nutzung europäischer Daten, die die kulturelle, sprachliche und geografische Vielfalt widerspiegeln. Sowohl das KI-Gesetz als auch die DSGVO enthalten Anforderungen, die sich auf die Nutzung von Daten für die Schulung, Entwicklung und Bereitstellung von KI-Systemen und -Modellen auswirken.

Zum Beispiel müssen Entwickler eines KI-gestützten Einstellungstools, das nach dem KI-Gesetz als hochriskant eingestuft wird,:

• Stellen Sie sicher, dass ihre Trainingsdaten repräsentativ und unvoreingenommen sind (KI Act Anforderung)

• Potenziell Verarbeitung sensibler personenbezogener Daten zur Erkennung und Minderung von Verzerrungen

• Gleichzeitige Einhaltung des Datenschutzgrundsatzes der DSGVO sowie Einschränkungen bei der Verarbeitung sensibler Daten

Dies schafft einen Catch-22: Unternehmen benötigen Datenzugang, um Fairness und Einhaltung des KI-Gesetzes zu gewährleisten, sehen sich jedoch mit Einschränkungen gemäß der DSGVO konfrontiert. Da verschiedene Behörden diese Vorschriften auf nationaler und europäischer Ebene durchsetzen, sind Unternehmen mit Unsicherheit über die Entwicklung und den Einsatz von KI konfrontiert, was möglicherweise Anreize für Investitionen in KI-Innovationen schafft und die Verfügbarkeit neuer Lösungen auf dem EU-Markt verzögert.

Unnötige Komplexität im Haftungsrahmen für KI

Die vorgeschlagene KI-Haftungsrichtlinie (AILD) würde unnötige rechtliche Komplexität und Unsicherheit zu einem bereits komplexen und neuartigen Rechtsrahmen hinzufügen, der sich auf KI in Europa auswirkt. Während die kürzlich aktualisierte Produkthaftungsrichtlinie (PLD) – die die Haftungsregelung der EU für defekte Produkte auf Software und KI ausdehnt – noch nicht in nationales Recht umgesetzt und in der Praxis getestet wurde, würde die AILD zusätzliche Haftungsregeln einführen, die speziell für KI gelten.

Die AILD würde höhere Versicherungskosten, eine erhöhte rechtliche Komplexität bedeuten und letztlich davon abhalten, neue KI-Lösungen auf den Markt zu bringen – ohne eine klar identifizierte rechtliche Lücke zu schließen. Da die EU plant, die Regulierungsvereinfachung nach dem Competitiveness Compass fortzusetzen, sollte der AILD-Vorschlag zurückgezogen werden.

Navigieren von Komplexitäten in Data Governance-Anforderungen

Der Schnittpunkt des Data Act mit anderen datenorientierten Vorschriften schafft erhebliche Komplexität für Unternehmen. Das Data Act ist komplex – einige seiner wichtigsten Bestimmungen sind unklar – und wird sich auf viele Aspekte der Datenwirtschaft auswirken – von der gemeinsamen Nutzung und Nutzung von Daten bis hin zur Bereitstellung von Cloud-Diensten. Seine weitreichenden Auswirkungen betreffen Produktdesign, vertragliche Vereinbarungen, Datennutzungsrechte und Geschäftsmodelle vieler Unternehmen, insbesondere IoT-Hersteller und Cloud-Dienstleister. Einige Beispiele für mögliche Inkonsistenzen:

• Das Datengesetz führt neue Anforderungen für nicht-personenbezogene Datenübermittlungen ein, die sich von dem etablierten Rahmen der DSGVO für personenbezogene Daten unterscheiden. Dies ist besonders für Unternehmen, die mit gemischten Datensätzen umgehen, eine Herausforderung.

• Die Wechselwirkung zwischen dem Data Act, dem Digital Markets Act (DMA) und der DSGVO schafft Komplexität bei der Datenübertragbarkeit. Zum Beispiel muss ein europäisches Fertigungsunternehmen, das IoT-Daten sammelt, DSGVO-Pflichten erfüllen, wie Datenminimierung oder Portabilitätspflichten. Gleichzeitig führt das Datengesetz Verpflichtungen zur Bereitstellung von Daten sowie bestimmte Einschränkungen ein – zum Beispiel für die Portabilität gegenüber DMA-Gatekeepern. Unternehmen werden weitere Leitlinien benötigen, um diese komplexe Regulierungslandschaft auszugleichen. Darüber hinaus sollen diese Rahmenbedingungen von verschiedenen Regulierungsbehörden – in vielen Fällen auf nationaler Ebene – mit unterschiedlichen Kompetenzen und Fachkenntnissen durchgesetzt werden. Dies kann zu inkonsistenten Interpretationen im gesamten Binnenmarkt führen – was sich in Rechtsunsicherheit für Unternehmen und Hemmnissen bei der Dateninnovation niederschlägt.

Nach vorne schauen

Die von der EU angekündigten Bemühungen zur Vereinfachung der regulatorischen Rahmenbedingungen – wie das ESG-Omnibus-Vereinfachungspaket – zeigen eine willkommene Reaktion auf Bedenken der Industrie. Ähnliche Bemühungen sollten auf die breitere digitale Regulierungslandschaft ausgedehnt werden, wo die schnelle Einführung mehrerer Gesetzesinitiativen unweigerlich zu Komplexitäten und Überschneidungen geführt hat. Da die EU ihre digitalen Vorschriften weiterhin umsetzt und verfeinert, besteht ein entscheidender Bedarf an:

• Standardisierte Berichtsmechanismen und Vorlagen für alle Cybersicherheitsvorschriften.

• Ausgewogene und risikobasierte Anwendung der DSGVO zur Unterstützung von KI-Innovationen.

• Verstärkte Leitlinien und rechtliche Klarheit in Bezug auf die Anwendung des Datengesetzes und Interaktionen mit anderen Rechtsrahmen.

• Rücknahme der KI-Haftungsrichtlinie.

ITI unterstützt die Regulierungsziele der EU, befürwortet jedoch eine bessere Koordinierung zwischen verschiedenen Rahmenbedingungen, um unnötige Komplexität zu reduzieren und gleichzeitig hohe Schutz- und Innovationsstandards beizubehalten.