EU AI Act: KI-Verordnung als Rechtsrahmen für künstliche Intelligenz
Die KI-Verordnung der EU (AI Act) schafft einen einheitlichen Rechtsrahmen für die Entwicklung, Bereitstellung und Nutzung von KI-Systemen in der Europäischen Union. Seit dem 2. August 2026 gilt der Großteil der Vorschriften; für bestimmte Hochrisiko-KI-Systeme gelten Übergangsfristen bis Dezember 2027 bzw. August 2028. Die Verordnung verfolgt einen risikobasierten Ansatz und soll Innovation ermöglichen, zugleich aber Sicherheit und Grundrechte schützen.
Warum wurde die Verordnung eingeführt?
Die KI-Verordnung der EU wurde eingeführt, um einen klaren und einheitlichen Rechtsrahmen für den Einsatz von künstlicher Intelligenz in Europa zu schaffen. Die Europäische Kommission legte den ersten Entwurf im April 2021 vor. Nach mehrjährigen Verhandlungen verabschiedeten das Europäische Parlament und der Rat die Verordnung 2024. Am 1. August 2024 trat sie in Kraft.
Hintergrund der Verordnung sind die rasanten technologischen Fortschritte im Bereich der KI, die sowohl Chancen als auch erhebliche Risiken mit sich bringen. Gesellschaftliche und ethische Herausforderungen wie Diskriminierung durch Algorithmen, mangelnde Transparenz bei automatisierten Entscheidungen oder der Missbrauch von KI erfordern eine gesetzliche Regulierung.
Ziel der KI-Verordnung ist es, Innovationen zu fördern, ohne grundlegende europäische Werte wie Datenschutz, Sicherheit und Menschenrechte zu gefährden. Die EU verfolgt dabei einen risikobasierten Ansatz, bei dem bestimmte besonders riskante KI-Praktiken verboten und andere Hochrisiko-Anwendungen stärker reguliert werden.
Die KI-Verordnung ist nicht das einzige EU-Regelwerk, das Unternehmen beim Einsatz digitaler Technologien beachten müssen. Je nach Anwendungsfall sind beispielsweise die Datenschutz-Grundverordnung (DSGVO), das Geoblocking-Verbot und die Cookie-Richtlinie relevant.
- Maximale Sichtbarkeit auf allen Kanälen
- Schnelle Reaktionszeit für zufriedenere Kunden
- Ihr einzigartiger Markenstil für echtes Wachstum
Zeitlicher Ablauf der KI-Verordnung
Die Vorschriften der KI-Verordnung werden schrittweise angewendet. Durch den AI Omnibus wurden einzelne Fristen für Hochrisiko-KI-Systeme zusätzlich verschoben:
-
- August 2024: Die KI-Verordnung tritt in Kraft.
-
- Februar 2025: Die Verbote bestimmter KI-Praktiken sowie erste Vorgaben zur KI-Kompetenz gelten.
-
- August 2025: Die Vorschriften für General-Purpose-AI-Modelle (GPAI) werden anwendbar.
-
- August 2026: Der Großteil der weiteren Vorschriften der KI-Verordnung gilt, darunter die Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte.
-
- Dezember 2027: Die Vorschriften für Hochrisiko-KI-Systeme nach Anhang III gelten.
-
- August 2028: Die Vorschriften für Hochrisiko-KI-Systeme, die unter die in Anhang I aufgeführten EU-Produktvorschriften fallen, gelten.
Klassifizierung von KI-Systemen nach Risikokategorien
Die Verordnung verfolgt einen risikobasierten Ansatz und teilt hierfür verschiedene KI-Systeme in vier Kategorien ein:
- Unannehmbares Risiko: Bestimmte KI-Praktiken, die eine erhebliche Gefahr für Sicherheit oder Grundrechte darstellen, sind verboten. Dazu gehören beispielsweise bestimmte Formen des Social Scoring, das ungezielte Sammeln von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungsdatenbanken sowie bestimmte Formen biometrischer Kategorisierung. Mit dem AI Omnibus wurde außerdem ein Verbot für KI-Systeme ergänzt, die nicht einvernehmliche sexuell explizite oder intime Inhalte bzw. Darstellungen sexuellen Missbrauchs von Kindern erzeugen.
- Hohes Risiko: Diese Systeme sind grundsätzlich erlaubt, unterliegen jedoch umfangreichen Anforderungen. Dazu zählen beispielsweise bestimmte KI-Systeme in kritischen Infrastrukturen, im Bildungsbereich oder im Personalmanagement, etwa Software zur Vorauswahl von Bewerbungen.
- Begrenztes Risiko/Transparenzrisiko: Für bestimmte KI-Systeme bestehen besondere Transparenzpflichten. Menschen müssen beispielsweise grundsätzlich darüber informiert werden, wenn sie direkt mit einem KI-System wie einem Bot interagieren, sofern dies nicht bereits offensichtlich ist. Auch für bestimmte KI-generierte oder manipulierte Inhalte gelten Kennzeichnungs- und Offenlegungspflichten.
- Minimales Risiko: Für die Mehrheit der KI-Systeme sieht die KI-Verordnung keine zusätzlichen spezifischen Pflichten vor. Beispiele sind Spam-Filter oder KI-gesteuerte Charaktere in Computerspielen.
Für generative KI bzw. General-Purpose-AI-Modelle enthält die KI-Verordnung darüber hinaus eigene Vorschriften. Anbieter von Modellen mit systemischem Risiko müssen zusätzliche Anforderungen an Risikobewertung und Sicherheit erfüllen.
Anforderungen und Pflichten
Die KI-Verordnung legt abhängig von der Rolle eines Unternehmens und der Art des eingesetzten KI-Systems unterschiedliche Anforderungen fest. Besonders umfangreich sind die Vorgaben für Hochrisiko-KI-Systeme. Sie betreffen unter anderem Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Genauigkeit und Cybersicherheit.
Risikomanagement
Für Hochrisiko-KI-Systeme sieht die Verordnung ein kontinuierliches Risikomanagement vor. Anbieter müssen vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte identifizieren, bewerten und durch geeignete Maßnahmen begrenzen. Das Risikomanagement begleitet den gesamten Lebenszyklus des Systems.
Datenqualität und Vermeidung von Verzerrungen
Bei Hochrisiko-KI-Systemen müssen Trainings-, Validierungs- und Testdatensätze bestimmte Qualitätsanforderungen erfüllen. Die Daten sollen für den vorgesehenen Zweck relevant und ausreichend repräsentativ sowie soweit möglich vollständig und fehlerfrei sein. Eine geeignete Daten-Governance soll außerdem dabei helfen, mögliche Verzerrungen zu erkennen und zu begrenzen. Die Vorgaben gelten insbesondere für Hochrisiko-Systeme, deren Entwicklung auf dem Training mit Daten beruht.
Dokumentation und Aufzeichnungen
Anbieter von Hochrisiko-KI-Systemen müssen eine technische Dokumentation erstellen und auf dem erforderlichen Stand halten. Sie dient unter anderem dazu, gegenüber zuständigen Stellen nachweisen zu können, dass die gesetzlichen Anforderungen eingehalten werden.
Hochrisiko-Systeme müssen zudem so gestaltet sein, dass relevante Vorgänge während des Betriebs automatisch protokolliert werden können. Solche Aufzeichnungen unterstützen die Rückverfolgbarkeit und die Überwachung des Systems.
Transparenz und Nutzerinformation
Bei KI-Systemen, die für die direkte Interaktion mit Menschen vorgesehen sind, müssen die betroffenen Personen grundsätzlich darüber informiert werden, dass sie mit einem KI-System interagieren, sofern dies nicht bereits offensichtlich ist.
Auch für KI-generierte oder manipulierte Inhalte bestehen Vorgaben. Anbieter bestimmter generativer Systeme müssen dafür sorgen, dass entsprechende Ausgaben maschinenlesbar als künstlich erzeugt oder verändert erkennbar sind. Bei Deepfakes und bestimmten KI-generierten Texten bestehen zusätzliche Offenlegungspflichten für die Betreibenden.
Bei bestimmten Entscheidungen, die auf dem Output eines in Anhang III aufgeführten Hochrisiko-KI-Systems beruhen und eine Person rechtlich oder ähnlich erheblich beeinträchtigen, kann zudem ein Recht auf eine klare und aussagekräftige Erklärung der Rolle des KI-Systems und der wesentlichen Elemente der Entscheidung bestehen.
Menschliche Aufsicht und Eingriffsmöglichkeiten
Hochrisiko-KI-Systeme müssen so gestaltet sein, dass Menschen sie während des Einsatzes wirksam beaufsichtigen können. Die zuständigen Personen sollen die Fähigkeiten und Grenzen des Systems angemessen verstehen, seine Ergebnisse beurteilen und bei Bedarf eingreifen können.
Genauigkeit, Robustheit und Cybersicherheit
Für Hochrisiko-KI-Systeme gelten Anforderungen an Genauigkeit, Robustheit und Cybersicherheit. Die Systeme müssen während ihres gesamten Lebenszyklus ein angemessenes Leistungsniveau erreichen und gegen Fehler, Störungen sowie Versuche geschützt sein, Schwachstellen gezielt auszunutzen.
Konformitätsbewertung und Zertifizierung
Bevor ein Hochrisiko-KI-System in Verkehr gebracht oder in Betrieb genommen wird, ist grundsätzlich eine Konformitätsbewertung erforderlich. Welches Verfahren zum Einsatz kommt, hängt von der Art des Systems ab. Bei vielen Hochrisiko-Systemen nach Anhang III erfolgt die Bewertung über eine interne Kontrolle; in bestimmten Fällen müssen benannte Stellen einbezogen werden.
Wesentliche Änderungen an einem bereits bewerteten Hochrisiko-System können eine neue Konformitätsbewertung erforderlich machen. Nach dem Inverkehrbringen sieht die Verordnung außerdem eine laufende Überwachung vor.
Auswirkungen und Herausforderungen für Unternehmen
Die KI-Verordnung schafft für Unternehmen einen einheitlichen rechtlichen Rahmen, führt zugleich aber zu zusätzlichen Anforderungen bei Compliance, Dokumentation und technischen Prozessen. Welche Pflichten ein Unternehmen konkret erfüllen muss, hängt unter anderem davon ab, ob es als Anbieter oder Betreiber auftritt, welche Art von KI eingesetzt wird und welcher Risikoklasse das jeweilige System zugeordnet ist.
- Texte & Bilder per Chat
- Posts automatisch veröffentlichen
- Lernt mit jeder Kampagne
Höhere Kosten und bürokratischer Aufwand
Die Einhaltung der neuen Vorgaben kann zusätzlichen organisatorischen und finanziellen Aufwand verursachen. Besonders bei Hochrisiko-KI-Systemen müssen Unternehmen unter anderem Prozesse für Risikomanagement, Dokumentation, Überwachung und Compliance einrichten.
Für kleine und mittlere Unternehmen kann dieser Aufwand stärker ins Gewicht fallen. Die Verordnung und der AI Omnibus sehen deshalb verschiedene Unterstützungs- und Vereinfachungsmaßnahmen vor. Dazu gehören regulatorische Reallabore (Testumgebungen bzw. Sandboxes) sowie vereinfachte Anforderungen für bestimmte kleinere Unternehmen. Einige dieser Erleichterungen wurden durch den AI Omnibus auch auf sogenannte Small Mid-Cap Companies ausgeweitet.
Unternehmen, die gegen die Vorschriften verstoßen, riskieren allerdings hohe Geldbußen. Die mögliche Höhe richtet sich unter anderem nach Art und Schwere des Verstoßes sowie bei Unternehmen teilweise nach dem weltweiten Jahresumsatz.
Innovationsförderung
Trotz zusätzlicher Regulierung soll die KI-Verordnung auch die Entwicklung und Nutzung vertrauenswürdiger KI fördern. Einheitliche Vorschriften innerhalb der EU können Rechtsunsicherheiten reduzieren und Unternehmen die Planung grenzüberschreitender Angebote erleichtern.
Zu diesem Zweck sieht der Rechtsrahmen unter anderem regulatorische Reallabore vor, in denen KI-Lösungen unter kontrollierten Bedingungen entwickelt und erprobt werden können. Der AI Omnibus erweitert den Zugang zu solchen Reallaboren und sieht zusätzlich ein Reallabor auf EU-Ebene vor.
Extraterritoriale Wirkung und Auswirkungen auf internationale Unternehmen
Die KI-Verordnung betrifft nicht nur Unternehmen mit Sitz in der EU. Sie gilt unter anderem auch für Anbieter aus Drittstaaten, die KI-Systeme in der Europäischen Union in Verkehr bringen oder in Betrieb nehmen oder GPAI-Modelle auf dem EU-Markt bereitstellen. Zudem können Anbieter und Betreiber außerhalb der EU erfasst sein, wenn der Output eines KI-Systems in der Europäischen Union genutzt wird.
Ein US-amerikanisches Unternehmen, das beispielsweise eine KI-gestützte Recruiting-Software auf dem europäischen Markt anbietet, muss deshalb prüfen, welche Vorschriften des AI Act für sein Angebot gelten. Auch Unternehmen ohne Niederlassung in der EU können somit unter den räumlichen Anwendungsbereich der Verordnung fallen.
Für international tätige Unternehmen entstehen dadurch zusätzliche Anforderungen bei der Planung und Bereitstellung von KI-Produkten und -Diensten. Welche Verpflichtungen konkret greifen, hängt von der Rolle des Unternehmens, dem jeweiligen System, seinem Einsatzzweck und dem Ort seiner Bereitstellung bzw. Nutzung ab.
Bitte beachten Sie den rechtlichen Hinweis zu diesem Artikel.
Reviewer
Melissa Senn
Melissa Senn ist seit 2016 bei IONOS und fokussiert sich im Digital Guide auf die Bereiche Website, E-Commerce, Social Media sowie KI. Als Digitalstrategin nutzt sie ihre umfassende SEO- und GEO-Erfahrung, um komplexe technologische Trends in praxisnahe Inhalte zu verwandeln.