AI-Act: Die EU reguliert künstliche Intelligenz (KI)
Der AI-Act (Artificial Intelligence Act) ist ein Gesetz der Europäischen Union zur Regulierung von künstlicher Intelligenz. Es ist weltweit eine der ersten umfassenden Regulierungen von künstlicher Intelligenz (KI).
- Was ist das Ziel des AI-Acts?
- Wann ist der AI-Act in Kraft getreten?
- Wer ist vom AI-Act betroffen?
- Wie wird KI im Rahmen des AI-Act definiert?
- Ist meine KI vom AI-Act betroffen?
- Welche Risikoklassen gibt es?
- Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
- Wie hoch fallen Sanktionen für Verstöße aus?
- Wer ist für die Durchsetzung des AI-Acts zuständig?
- Welche Unterstützung gibt es für KMU und Start-ups?
- Unsere Weiterbildungsangebote zum Thema Künstliche Intelligenz
Was ist das Ziel des AI-Acts?
KI hat das Potenzial vielfältige Vorteile für Wirtschaft und Gesellschaft hervorzubringen. Als Beispiele können die Verbesserung von Prognosen, die Optimierung der Ressourcennutzung und die Personalisierung von Dienstleistungen genannt werden. Dieselben KI-Faktoren, die einen sozioökonomischen Nutzen erbringen, bergen aber auch neue Gefahren und Nachteile für unsere Gesellschaft. Beispielsweise neigen KI-Systeme, die auf unzureichenden Trainingsdaten basieren, Vorurteile zu übernehmen und dadurch diskriminierende Entscheidungen zu treffen. Die EU möchte deshalb sicherzustellen, dass KI immer im Einklang mit den Werten, Grundrechten und Prinzipien der EU entwickelt wird.
Erklärte Position zum AI-Act des EU-Parlaments:
„Die Vorschriften sollen die Entwicklung, den Einsatz und die Nutzung von menschenzentrierten, vertrauenswürdigen KI-Systemen in der EU regeln und Gesundheit, Umwelt, Sicherheit, Grundrechte und Demokratie vor schädlichen Folgen schützen.“
Wann ist der AI-Act in Kraft getreten?
Die Verordnung ist am 12. Juli 2024 im EU-Amtsblatt veröffentlicht worden, am 1. August 2024 in Kraft getreten und seit 2. August 2026 anzuwenden. Durch den KI-Omnibus (Verordnung (EU) 2026/1744) sind insbesondere die Fristen verlängert worden. Für den Geltungsbeginn der Vorschriften der unterschiedlichen KI-Formen und -Anwendungen gilt folgender gestufter Zeitplan:
- seit 2. Februar 2025: KI mit inakzeptablem Risiko ist verboten
- seit 2. August 2025: Regeln zu Governance und General Purpose AI (GPAI) für Hochrisiko-KI
- seit 2. August 2026: Allgemeiner Anwendungsbeginn großer Teile des AI Act, insbesondere Transparenzpflichten nach Art. 50
- 2. Dezember 2026: Ende der Übergangsfrist für bestimmte Kennzeichnungspflichten (Watermarking) von vor dem 02. August 2026 in Verkehr gebrachten generativen KI-Systemen
- ab 2. Dezember 2027: Anforderungen an Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 i. V. m. Anhang III (z. B. Personalarbeit, Bildung, Kreditwürdigkeit, Strafverfolgung)
- ab 2. August 2028: Anforderungen an Hochrisiko-KI-Systeme in regulierten Produkten nach Art. 6 Abs. 1 i. V. m. Anhang I (z. B. Medizinprodukte, Maschinen, Luftfahrt)
Wer ist vom AI-Act betroffen?
Diese Akteure sind vom AI-Act betroffen:
- Anbieter (auch aus Drittländern), die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen
- Gewerbliche Nutzer von KI-Systemen, die sich innerhalb der EU befinden
- Anbieter und gewerbliche Nutzer von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
Ausnahmen, die nicht vom AI-Act betroffen sind:
- KI-Systeme für ausschließlich militärische Zwecke
- Internationale Organisationen die KI-Systeme im Bereich der Strafverfolgung in Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat nutzen
- Forschungs- und Entwicklungsaktivitäten zu KI-Systemen
- Open-Source-Software unterliegt im Allgemeinen nicht der Regulierung, es sei denn, sie wird aufgrund ihrer Anwendung als verbotenes oder hochriskantes KI-System eingestuft
Wie wird KI im Rahmen des AI-Act definiert?
KI-Systeme müssen laut AI-Act mit einer der gängigen KI-Techniken entwickelt worden sein und
„[…] im Hinblick auf eine Reihe von Zielen, die vom Menschen festgelegt werden, Ergebnisse wie Inhalte, Vorhersagen, Empfehlungen oder Entscheidungen hervorbringen [können], die das Umfeld beeinflussen, mit dem sie interagieren.“
Ist meine KI vom AI-Act betroffen?
Das Gesetz ist darauf ausgelegt, nur KI-Systeme mit hohem Risiko für die Allgemeinheit strengen Vorschriften zu unterlegen oder zu verbieten. Die meisten KI-Systeme fallen jedoch nicht unter diese Kategorie. Für sie gibt es keine Vorschriften oder nur Transparenzpflichten. Um zu bestimmen, welche Vorschriften für welche KI-Systeme gelten, wurden vier Risikoklassen gebildet.
Welche Risikoklassen gibt es?
Der AI-Act kategorisiert KI-Systeme in vier verschiedene Risikoklassen, die jeweils mit unterschiedlichen rechtlichen Vorgaben verknüpft sind:
| Risikoklasse | Kurzbeschreibung | Regulierung |
|---|---|---|
| Inakzeptables Risiko | Verletzung fundamentaler Rechte (z. B. Social Scoring Systeme | Verboten |
| Hohes Risiko | Potenziell hohes Schadensrisiko (z. B. Kreditwürdig- keitsprüfung) |
Weitreichende Anforderungen |
| Begrenztes Risiko | Interaktion mit Personen (z. B. Chatbots) | Transparenzpflichten |
| Niedriges Risiko | Alle anderen Systeme (z. B. Vorausschauende Wartung) |
Keine Anforderungen |
Je größer das potenzielle Risiko bei der Verwendung eines KI-Systems ist, desto umfangreicher sind die damit verbundenen rechtlichen Anforderungen. Dazu gehören Risikobewertungen, Dokumentationspflichten, EU-Konformitätserklärungen und Überwachung durch den Betreiber.
Inakzeptables Risiko – Verbotene Praktiken
Die folgenden KI-Systeme stellen laut AI-Act ein unannehmbares Risiko dar und werden deshalb bereits sechs Monate nach Inkrafttreten der Verordnung EU-weit verboten:
- Die unterschwellige Beeinflussung von Menschen, die diesen körperlichen oder psychischen Schaden zufügen könnten.
- Ausnutzung der Schwäche oder Schutzbedürftigkeit einer Personengruppe aufgrund von Alter oder körperlicher- oder geistiger Behinderung.
- Die Bewertung oder Klassifizierung der Vertrauenswürdigkeit natürlicher Personen über einen bestimmten Zeitraum auf Grundlage des sozialen Verhaltens, persönlicher Eigenschaften oder Persönlichkeitsmerkmalen.
- Identifizierung von Personen in Echtzeit mithilfe biometrischer Daten in öffentlichen Bereichen für Zwecke der Strafverfolgung (Es gelten Ausnahmen).
Hohes Risiko
Stellt ein KI-System ein potenziell hohes Risiko für die Sicherheit, Gesundheit oder Grundrechte von Menschen dar, gilt es als Hochrisiko-KI-System. Anbieter solcher Systeme müssen eine Konformitätsbewertung durchführen und eine Konformitätserklärung ausstellen. Darunter fallen diese Anwendungen:
- Biometrische Identifizierung und Kategorisierung von natürlichen Personen
- Verwaltung und Betrieb kritischer Infrastrukturen
- Entscheidungen über den Zugang zu Bildungseinrichtungen als auch für die Bewertung von Schülern
- Auswahl von Bewerbern als auch für Entscheidungen über Beförderungen, Kündigungen, Aufgabenzuweisungen und die Leistungsüberwachung in Arbeitsverhältnissen
- Beurteilungen des Anspruchs auf öffentliche Unterstützungsleistungen oder die Kreditwürdigkeit natürlicher Personen
- Priorisierung des Einsatzes von Not- und Rettungsdiensten, einschließlich Feuerwehr und medizinischer Nothilfe
- Verschiedene Anwendungen im Bereich der Strafverfolgung, des Asylrechts und der Justiz
Begrenztes Risiko
Unter die Kategorie „Begrenztes Risiko“ fallen alle KI-Systeme, die mit Menschen interagieren. Beispiele dafür sind Chatbots oder Anwendungen zur Emotionserkennung. Für Anbieter solcher KI gilt eine Transparenzpflicht. Das bedeutet, dass eine natürliche Person darüber informiert werden muss, dass sie mit einem KI-System interagiert.
Niedriges Risiko
Mit niedrigem Risiko werden KI-Systeme bewertet, die unter keine andere Risiko-Kategorie fallen. Dazu zählen interne Anwendungen wie Spam-Filter oder Systeme für die vorausschauende Wartung von Maschinen. Sie müssen keine rechtlichen Anforderungen erfüllen. Dennoch besteht für Unternehmen die Möglichkeit, freiwillig Verhaltenskodizes für diese KI-Systeme anzuwenden.
Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
Unter KI-Modellen mit allgemeinem Verwendungszweck (General Purpose Artifical Intelligence, GPAI) versteht man KI-Systeme, die eine Vielzahl von Funktionen ausführen und sich an verschiedene Aufgaben anpassen können. Ein populäres Beispiel hierfür ist ChatGPT von Open AI. Das KI-Modell kann Audio- und Textdaten verarbeiten, Texte und Bilder generieren und viele weitere Aufgaben bewältigen. Da GPAI stark an wirtschaftlicher und gesellschaftlicher Relevanz gewinnen, gelten für sie gesonderte Risikokategorien. Diese richten sich nicht der jeweiligen Anwendungen, sondern der Funktion des zugrunde liegenden Basismodells.
Für normale GPAI gilt:
- Zusätzliche technische Dokumentation
- Detaillierte Aufstellung über die Verwendung urheberrechtlich geschützter Trainingsdaten
- Anforderungen zur Kennzeichnung generierter Inhalte
Für GPAI mit erheblichen Auswirkungen, worunter man „sehr leistungsstarke“ Basismodelle, die systemische Risiken bergen können, versteht, gilt zusätzlich:
- Pflichten in Bezug auf die Überwachung schwerwiegender Vorfälle
- Modellbewertung
- Angriffstests
Wie hoch fallen Sanktionen für Verstöße aus?
Die Strafen für Verstöße gegen die Vorschriften werden entsprechend der Größe und dem Geschäftszweck des Unternehmens festgelegt.
- Anwendung verbotener KI-Systeme: Bis 35 Mio. EUR oder 7% des Umsatzes.
- Verstöße gegen Verpflichtungen des AI-Acts: Bis 15 Mio. EUR oder 3% des Umsatzes.
- Angabe falscher Informationen: Bis 7,5 Mio. EUR oder 1,5% des Umsatzes.
Wer ist für die Durchsetzung des AI-Acts zuständig?
Die Bundesnetzagentur (BNetzA) übernimmt die Marktüberwachung. Hierzu gehören konkret die Aufsicht über verbotene Praktiken, hochriskante KI-Systeme und Transparenzpflichten. Dies betrifft KI in den Bereichen Biometrie, kritische Infrastruktur, KI am Arbeitsplatz und in Bildungseinrichtungen, Gewährung grundlegender öffentlicher Leistungen, Strafverfolgung, Migration, Asyl, Grenzkontrolle und Justiz. Für bestimmte Hochrisiko-Anwendungen wird bei der BNetzA eine neue KI-Marktüberwachungskammer eingerichtet. Die Bundesnetzagentur (BNetzA) wird auch als Marktüberwachungs- und Beschwerdestelle für Gewerbetreibende nach §§ 34d, f, h, i und k GewO fungieren.
Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-Marktüberwachungs-und Innovationsförderungs-Gesetz – KI-MIG) ist am 28. Juli 2026 im Bundesgesetzblatt veröffentlich worden und gilt ab 29. Juli 2026. Das Gesetz dient der Umsetzung der Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung).
Welche Unterstützung gibt es für KMU und Start-ups?
Um europäische Start-ups und KMU bei der Entwicklung von AI-Act konformen KI-System zu unterstützen, sollen sog. KI-Reallabore entstehen. Sie sollen eine Möglichkeit bieten, KI-Systeme unabhängig und unter Regulierungsaufsicht zu entwickeln und zu testen, bevor sie auf den Markt kommen. Die KI-Reallabore sollen alle relevanten Akteure – öffentliche und private, einschließlich notifizierter Stellen, Normungsorganisationen und Forschungseinrichtungen – einbeziehen und für KMU und Startups grundsätzlich kostenfrei sein.
