Künstliche Intelligenz: EU-Regulierung tritt stufenweise in Kraft

Nicht jede KI wird reguliert

Der AI Act verfolgt einen risikobasierten Ansatz. Er teilt KI-Systeme in Risiko-Kategorien ein:

Inakzeptables Risiko

Diese Kategorie bezeichnet der AI Act als „verbotene Praktiken“ (Art. 5). Hier liegt der Fokus auf dem Einsatz der KI, aber auch das Inverkehrbringen und die Inbetriebnahme solcher Systeme sind in der EU verboten. Dies betrifft zum Beispiel sogenannte Social Scoring Systeme, die das Verhalten von Bürger:innen aufzeichnen, bewerten und klassifizieren. Auch andere Arten der Beeinflussung und Manipulation des Verhaltens einer Person oder Personengruppe sind verboten, wenn sie geeignet sind, diesen Personen oder Gruppen Schaden zuzufügen.

Hochrisiko KI-Systeme (Art. 6 ff.)

Diese Systeme sind in Anhang III der Verordnung aufgezählt. Sie fallen allerdings nur dann in diese Kategorie, wenn sie ein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen bergen. Der AI Omnibus fasst den Hochrisiko-Begriff enger als bisher - etliche zuvor erfasste Systeme gelten nun grundsätzlich nicht mehr als hochriskant.

Hochrisiko KI wird sehr streng reguliert: So muss ein Risikomanagementsystem eingerichtet, angewandt, dokumentiert und aufrechterhalten werden. Das System muss registriert werden, es muss eine technische Dokumentation erstellt werden, seine Aktionen müssen aufgezeichnet werden und es muss einer menschlichen Steuerung zugänglich sein. Hochrisiko KI-Systeme müssen zudem eine Konformitätsbewertung durchlaufen und mit einer CE-Kennzeichnung versehen werden.

Begrenztes Risiko (Art. 50 ff.) 

Hier stehen die Transparenzpflichten im Vordergrund (siehe insbesondere Art. 50). So müssen Chatbots als solche erkennbar sein, entsprechendes gilt für KI-generierte Audio-, Bild-, Video- oder Textinhalte. Für die technische, maschinenlesbare Kennzeichnung solcher Inhalte gilt eine Übergangsfrist bis zum 2. Dezember 2026. Weitere Pflichten betreffen insbesondere die Anbieter von KI (Art. 53 ff.): technische Dokumentation, eine Strategie zur Einhaltung von Urheberrechten und eine Dokumentation der für das Training der KI-Modelle verwandten Daten sind obligatorisch.

Alle anderen KI-Systeme sind – abgesehen von den Transparenzpflichten – nicht spezifisch reguliert.

Neue Pflichten – nicht nur für OpenAI & Co

Hochrisiko-KI-Systeme schaffen nicht nur Pflichten für Anbieter, sondern auch für Bevollmächtigte der Anbieter (Art. 22), Einführer (Art. 23), Händler (Art. 24) und Betreiber (Art. 26). Bei Einfuhr und Inverkehrbringen muss insbesondere darauf geachtet werden, dass für die Systeme CE-Kennzeichnung und Konformitätsbewertung vorliegen; Betreiber müssen geeignete technische und organisatorische Maßnahmen treffen, um sicherzustellen, dass sie solche Systeme entsprechend der den Systemen beigefügten Betriebsanleitungen verwenden. Außerdem übertragen sie die Aufsicht über die Systeme ausschließlich natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen.

Gemäß Artikel 25 treffen Händler, Einführer, Betreiber oder sonstige Dritte als Anbieter eines Hochrisiko-KI-Systems sogar die kompletten Anbieterpflichten aus Artikel 16 der Verordnung, nämlich dann, wenn sie ein System mit ihrem Namen oder ihrer Handelsmarke versehen oder eine wesentliche Veränderung vornehmen, insbesondere, wenn diese Veränderung dazu führt, dass das System als Hochrisiko-System einzustufen ist.

Innovationen sollen gefördert werden

Künstliche Intelligenz soll nicht nur reguliert, sondern auch gefördert werden. Dazu werden die Mitgliedstaaten verpflichtet, Reallabore einzurichten, die spätestens bis 2. August 2026 betriebsbereit sein mussten (Art. 57). So können in einer kontrollierten Umgebung Tests und Entwicklungen unter Realbedingungen durchgeführt werden. Die zuständigen Behörden unterstützen die Nutzenden umfassend, insbesondere im Hinblick auf Grundrechte, Gesundheit und Sicherheit, Tests und Risikominderungsmaßnahmen sowie deren Wirksamkeit. Die Mitgliedstaaten gewähren KMU und Start-ups, die ihren Sitz oder eine Zweigniederlassung in der EU haben, vorrangigen Zugang zu den Reallaboren. Der AI Omnibus erweitert den Kreis der Begünstigten um die neue Kategorie "Small Mid Caps" (unter 750 Beschäftigte, maximal 150 Millionen Euro Umsatz) - sie erhalten KMU-ähnliche Erleichterungen bei Dokumentation und Qualitätsmanagement. Unterstützt werden die Mitgliedstaaten hierbei – wie auch bei anderen Aufgaben – durch das ebenfalls durch den AI Act eingeführte Büro für Künstliche Intelligenz der EU (Art. 64).

Zeitlich abgestuftes Inkrafttreten

Der AI Act trat 20 Tage nach seiner Veröffentlichung im Amtsblatt der EU in Kraft, also am 2. August 2024. Die vollständige Anwendbarkeit der Verordnung erfolgt jedoch gestaffelt (Art. 113):

• 2. Februar 2025: Verbot von KI-Systemen mit inakzeptablem Risiko (Art. 1 bis 5);
• 2. August 2025: insbesondere Sanktionen (Art. 99 ff.) und Verhaltenskodizes und Regeln für KI mit allgemeinem Verwendungszweck (Art. 51 ff); 
• 2. August 2026: Allgemeine Anwendbarkeit der meisten Vorschriften bis auf Art. 6 Abs. 1 und die entsprechenden Pflichten - die Pflichten für Hochrisiko-KI nach Art. 6 Abs. 2 / Anhang III, ursprünglich ab diesem Datum anwendbar, wurden durch den AI Omnibus auf den 2. Dezember 2027 verschoben;
• 2. August 2028: Verpflichtungen für Hochrisiko-KI-Systeme (Art. 6 Abs. 1).

Sanktionen bei Nichteinhaltung

Unternehmen, die gegen die Vorschriften des AI Act verstoßen, müssen mit erheblichen Sanktionen rechnen. Auch hier gibt es Abstufungen: Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, werden fällig, wenn verbotene KI (Art. 5) eingesetzt wird. Verstöße gegen die meisten anderen Vorschriften werden mit bis zu 15 Millionen Euro oder von bis zu 3 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, geahndet. Achtung: hierunter fallen nicht nur die Pflichten der Anbieter, sondern auch diejenigen der Bevollmächtigten, Händler, Einführer und Betreiber. Verstöße gegen Transparenzanforderungen können immer noch mit Geldstrafen von bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes geahndet werden.

Zum Thema:

• Verordnung (EU) 2024/1689 vom 12. Juli 2024
• Verordnung (EU) 2026/1744 vom 8. Juli 2026 (AI Omnibus)
• GTAI-Rechtsbericht KI-Compliance in Europa

Dieser Inhalt gehört zu