IHK zu Dortmund

AI-Act: Die EU reguliert künstliche Intelligenz

Was ist der AI-Act?

Der AI-Act (Artificial Intelligence Act) ist ein Gesetzesentwurf der Europäischen Union zur Regulierung von künstlicher Intelligenz. Es ist weltweit die erste umfassende Regulierung von künstlicher Intelligenz (KI).

Was ist das Ziel des AI-Acts?

KI hat das Potenzial vielfältige Vorteile für Wirtschaft und Gesellschaft hervorzubringen. Als Beispiele können die Verbesserung von Prognosen, die Optimierung der Ressourcennutzung und die Personalisierung von Dienstleistungen genannt werden. Dieselben KI-Faktoren, die einen sozioökonomischen Nutzen erbringen, bergen aber auch neue Gefahren und Nachteile für unsere Gesellschaft. Beispielsweise neigen KI-Systeme, die auf unzureichenden Trainingsdaten basieren, Vorurteile zu übernehmen und dadurch diskriminierende Entscheidungen zu treffen. Die EU möchte deshalb sicherzustellen, dass KI immer im Einklang mit den Werten, Grundrechten und Prinzipien der EU entwickelt wird.
Erklärte Position zum AI-Act des EU-Parlaments:
„Die Vorschriften sollen die Entwicklung, den Einsatz und die Nutzung von menschenzentrierten, vertrauenswürdigen KI-Systemen in der EU regeln und Gesundheit, Umwelt, Sicherheit, Grundrechte und Demokratie vor schädlichen Folgen schützen.“

Inkrafttreten des AI-Acts

Die Verordnung trat offiziell am 2. August 2024 in Kraft. Nach einer Übergangszeit von 24 Monaten findet sie ab dem 2.August 2026 Anwendung.
Was bedeutet das konkret?
Die Vorschriften für Hochrisiko-KI-Systeme in Anhang III treten in Kraft **
Beginn der Anwendung der Transparenzvorschriften (Artikel 50)
Es gelten Maßnahmen zur Förderung des Innovationsstarts
Die Mitgliedstaaten sollten über mindestens ein KI-Reallabor pro Land verfügen.
Die Durchsetzung des KI-Gesetzes beginnt auf nationaler und EU-Ebene
** Im Rahmen des Pakets „Digitaler Omnibus“ hat die Kommission vorgeschlagen, die Anwendung der Vorschriften für Hochrisiko-KI-Systeme mit der Verfügbarkeit von Unterstützungsinstrumenten, einschließlich der erforderlichen harmonisierten Normen, zu verknüpfen. Weitere Informationen finden Sie im FAQ-Bereich unter „Digital Omnibus“.
Einige Vorschriften gelten jedoch bereits früher oder später:
  • Seit 2. Februar 2025: KI-Systeme mit inakzeptablem Risiko sind verboten.
  • Seit 2. Februar 2025: Unternehmen müssen KI-Kompetenz (Schulung der Mitarbeiter) nachweisen.
  • Seit 2. August 2025: Verbindliche Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI).
  • Ab 2. August 2027: Spezielle Regeln für Hochrisiko-KI als Sicherheitskomponente in regulierten Produkten (z. B. Maschinen, Medizinprodukte).
Hier finden Sie die offizielle Timeline: Timeline for the Implementation of the EU AI Act | AI Act Service Desk

Die Pflicht zur KI-Kompetenz

Seit dem 2. Februar 2025 ist Artikel 4 des AI-Acts in Kraft. Dieser verpflichtet Betreiber und Anbieter von KI-Systemen dazu, ein ausreichendes Maß an „KI-Kompetenz“ bei ihren Mitarbeitern sicherzustellen. Das bedeutet, dass Mitarbeitende, die mit KI arbeiten, geschult werden müssen, um die Funktionsweise, die Grenzen und die Risiken der Systeme zu verstehen.

Wer ist vom AI-Act betroffen?

Diese Akteure sind vom AI-Act betroffen:
  • Anbieter (auch aus Drittländern), die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen
  • Betreiber von KI-Systemen, die sich innerhalb der EU befinden
  • Anbieter und Betreiber von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
Ausnahmen, die nicht vom AI-Act betroffen sind:
  • KI-Systeme für ausschließlich militärische Zwecke
  • Internationale Organisationen die KI-Systeme im Bereich der Strafverfolgung in Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat nutzen
  • Forschungs- und Entwicklungsaktivitäten zu KI-Systemen
  • Open-Source-Software unterliegt im Allgemeinen nicht der Regulierung, es sei denn, sie wird aufgrund ihrer Anwendung als verbotenes oder hochriskantes KI-System eingestuft

Wie wird KI im Rahmen des AI-Act definiert?

KI-Systeme müssen laut AI-Act mit einer der gängigen KI-Techniken entwickelt worden sein und
„[…] im Hinblick auf eine Reihe von Zielen, die vom Menschen festgelegt werden, Ergebnisse wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen hervorbringen [können], die das Umfeld beeinflussen, mit dem sie interagieren.“

Ist meine KI vom AI-Act betroffen?

Das Gesetz ist darauf ausgelegt, nur KI-Systeme mit hohem Risiko für die Allgemeinheit strengen Vorschriften zu unterlegen oder zu verbieten. Die meisten KI-Systeme fallen jedoch nicht unter diese Kategorie. Für sie gibt es keine Vorschriften oder nur Transparenzpflichten. Um zu bestimmen, welche Vorschriften für welche KI-Systeme gelten, wurden vier Risikoklassen gebildet.
Der Compliance-Checker des Future of Life Instituts ist ein nützliches Tool, um schnell herauszufinden, unter welche Risikoklasse ein KI-System fällt: EU AI Act Compliance Checker

Welche Risikoklassen gibt es?

Der AI-Act kategorisiert KI-Systeme in vier verschiedene Risikoklassen, die jeweils mit unterschiedlichen rechtlichen Vorgaben verknüpft sind.
Je größer das potenzielle Risiko bei der Verwendung eines KI-Systems ist, desto umfangreicher sind die damit verbundenen rechtlichen Anforderungen. Dazu gehören Risikobewertungen, Dokumentationspflichten, EU-Konformitätserklärungen und Überwachung durch den Betreiber.

Inakzeptables Risiko – Verbotene Praktiken

Die folgenden KI-Systeme stellen laut AI-Act ein unannehmbares Risiko dar und werden deshalb bereits sechs Monate nach Inkrafttreten der Verordnung EU-weit verboten:
  • Die unterschwellige Beeinflussung von Menschen, die diesen körperlichen oder psychischen Schaden zufügen könnten.
  • Ausnutzung der Schwäche oder Schutzbedürftigkeit einer Personengruppe aufgrund von Alter oder körperlicher- oder geistiger Behinderung.
  • Die Bewertung oder Klassifizierung der Vertrauenswürdigkeit natürlicher Personen über einen bestimmten Zeitraum auf Grundlage des sozialen Verhaltens, persönlicher Eigenschaften oder Persönlichkeitsmerkmalen.
  • Identifizierung von Personen in Echtzeit mithilfe biometrischer Daten in öffentlichen Bereichen für Zwecke der Strafverfolgung (Es gelten Ausnahmen).

Hohes Risiko

Stellt ein KI-System ein potenziell hohes Risiko für die Sicherheit, Gesundheit oder Grundrechte von Menschen dar, gilt es als Hochrisiko-KI-System. Anbieter solcher Systeme müssen eine Konformitätsbewertung durchführen und eine Konformitätserklärung ausstellen. Darunter fallen diese Anwendungen:
  • Biometrische Identifizierung und Kategorisierung von natürlichen Personen
  • Verwaltung und Betrieb kritischer Infrastrukturen
  • Entscheidungen über den Zugang zu Bildungseinrichtungen als auch für die Bewertung von Schülern
  • Auswahl von Bewerbern als auch für Entscheidungen über Beförderungen, Kündigungen, Aufgabenzuweisungen und die Leistungsüberwachung in Arbeitsverhältnissen
  • Beurteilungen des Anspruchs auf öffentliche Unterstützungsleistungen oder die Kreditwürdigkeit natürlicher Personen
  • Priorisierung des Einsatzes von Not- und Rettungsdiensten, einschließlich Feuerwehr und medizinischer Nothilfe
  • Verschiedene Anwendungen im Bereich der Strafverfolgung, des Asylrechts und der Justiz

Begrenztes Risiko

Unter die Kategorie „Begrenztes Risiko“ fallen alle KI-Systeme, die mit Menschen interagieren. Beispiele dafür sind Chatbots oder Anwendungen zur Emotionserkennung. Für Anbieter solcher KI gilt eine Transparenzpflicht. Das bedeutet, dass eine natürliche Person darüber informiert werden muss, dass sie mit einem KI-System interagiert.

Niedriges Risiko

Mit niedrigem Risiko werden KI-Systeme bewertet, die unter keine andere Risiko-Kategorie fallen. Dazu zählen interne Anwendungen wie Spam-Filter oder Systeme für die vorausschauende Wartung von Maschinen. Sie müssen keine rechtlichen Anforderungen erfüllen. Dennoch besteht für Unternehmen die Möglichkeit, freiwillig Verhaltenskodizes für diese KI-Systeme anzuwenden.

Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?

Unter KI-Modellen mit allgemeinem Verwendungszweck (General Purpose Artifical Intelligence, GPAI) versteht man KI-Systeme, die eine Vielzahl von Funktionen ausführen und sich an verschiedene Aufgaben anpassen können. Ein populäres Beispiel hierfür ist ChatGPT von Open AI. Das KI-Modell kann Audio- und Textdaten verarbeiten, Texte und Bilder generieren und viele weitere Aufgaben bewältigen. Da GPAI stark an wirtschaftlicher und gesellschaftlicher Relevanz gewinnen, gelten für sie gesonderte Risikokategorien. Diese richten sich nicht der jeweiligen Anwendungen, sondern der Funktion des zugrunde liegenden Basismodells.
Für normale GPAI gilt:
  • Zusätzliche technische Dokumentation
  • Detaillierte Aufstellung über die Verwendung urheberrechtlich geschützter Trainingsdaten
  • Anforderungen zur Kennzeichnung generierter Inhalte
Für GPAI mit erheblichen Auswirkungen, worunter man „sehr leistungsstarke“ Basismodelle, die systemische Risiken bergen können, versteht, gilt zusätzlich:
  • Pflichten in Bezug auf die Überwachung schwerwiegender Vorfälle
  • Modellbewertung
  • Angriffstests

Wie hoch fallen Sanktionen für Verstöße aus?

Die Strafen für Verstöße gegen die Vorschriften werden entsprechend der Größe und dem Geschäftszweck des Unternehmens festgelegt.
  • Anwendung verbotener KI-Systeme: Bis 35 Mio. EUR oder 7% des Umsatzes.
  • Verstöße gegen Verpflichtungen des AI-Acts: Bis 15 Mio. EUR oder 3% des Umsatzes.
  • Angabe falscher Informationen: Bis 7,5 Mio. EUR oder 1,5% des Umsatzes.

Welche Unterstützung gibt es für KMU und Startups?

Um europäische Start-ups und KMU bei der Entwicklung von AI-Act konformen KI-System zu unterstützen, werden aktuell sog. KI-Reallabore (Regulatory Sandboxes) etabliert. Sie sollen eine Möglichkeit bieten, KI-Systeme unabhängig und unter Regulierungsaufsicht zu entwickeln und zu testen, bevor sie auf den Markt kommen. Die KI-Reallabore sollen alle relevanten Akteure – öffentliche und private, einschließlich notifizierter Stellen, Normungsorganisationen und Forschungseinrichtungen – einbeziehen und sind für KMU und Startups grundsätzlich kostenfrei. Gemäß AI-Act muss jeder Mitgliedstaat bis spätestens 2. August 2026 mindestens ein solches Labor in Betrieb haben.
Der KI-Service Desk der Bundesnetzagentur unterstützt Unternehmen, Behörden und Organisationen bei der Umsetzung der KI-Verordnung in Deutschland.