KI-Regulierung in der EU: Der AI Act im Ueberblick

Mit dem AI Act hat die Europaeische Union einen historischen Meilenstein gesetzt: das erste umfassende Gesetz zur Regulierung kuenstlicher Intelligenz weltweit. Nach Jahren der Verhandlungen ist die Verordnung seit August 2024 in Kraft und entfaltet schrittweise ihre Wirkung. Fuer Unternehmen bedeutet dies konkrete Handlungspflichten.

Was ist der EU AI Act?

Der AI Act (Artificial Intelligence Act) ist eine EU-Verordnung, die einheitliche Regeln fuer die Entwicklung, den Vertrieb und die Nutzung von KI-Systemen in Europa schafft. Anders als Richtlinien gilt die Verordnung unmittelbar in allen EU-Mitgliedstaaten ohne nationale Umsetzung.

Ziele der Regulierung

Die EU verfolgt mit dem AI Act mehrere Ziele: Schutz der Grundrechte, Foerderung von Innovation, Schaffung von Rechtssicherheit und Staerkung des Vertrauens in KI. Der risikobasierte Ansatz soll dabei sicherstellen, dass die Regulierung proportional zum tatsaechlichen Risiko ist.

Die vier Risikoklassen

Kernkonzept des AI Act ist die Einteilung von KI-Systemen in Risikoklassen. Je hoeher das Risiko, desto strenger die Anforderungen.

Verbotene KI-Praktiken (Unacceptable Risk)

Bestimmte KI-Anwendungen sind in der EU gaenzlich verboten:

• Social Scoring - Bewertung von Personen durch Behoerden auf Basis ihres sozialen Verhaltens
• Emotionserkennung am Arbeitsplatz - Analyse von Emotionen in Unternehmen und Bildungseinrichtungen
• Biometrische Kategorisierung - Klassifizierung nach sensiblen Merkmalen wie Rasse oder politischer Einstellung
• Echtzeit-Gesichtserkennung im oeffentlichen Raum - Ausnahmen nur fuer schwere Straftaten
• Unterschwellige Manipulation - KI zur gezielten Verhaltensmanipulation

Hochrisiko-KI-Systeme (High Risk)

Fuer bestimmte KI-Anwendungen gelten strenge Anforderungen:

• Kritische Infrastruktur - KI in Energie-, Wasser- oder Verkehrssystemen
• Bildung - Systeme zur Bewertung oder Zulassung von Schuelern/Studenten
• Beschaeftigung - KI fuer Recruiting, Leistungsbewertung, Kuendigungen
• Finanzdienstleistungen - Kreditwuerdigkeitspruefung, Versicherungsbewertung
• Strafverfolgung - Risikobewertung, Beweismittelanalyse
• Migration - Asylverfahren, Grenzkontrolle

Systeme mit Transparenzpflichten (Limited Risk)

Generative KI wie ChatGPT, Chatbots und Deepfake-Generatoren muessen gekennzeichnet werden. Nutzer muessen wissen, dass sie mit einer KI interagieren oder KI-generierte Inhalte sehen.

Minimales oder kein Risiko

Die meisten KI-Anwendungen fallen in diese Kategorie: Spam-Filter, KI-gestuetzte Videospiele, Empfehlungssysteme. Hier gelten keine besonderen Anforderungen.

Regeln fuer General Purpose AI (GPAI)

Besondere Regelungen gelten fuer sogenannte General Purpose AI - also Systeme wie GPT-4, Claude oder Llama, die fuer vielfaeltige Zwecke eingesetzt werden koennen.

Basisanforderungen fuer alle GPAI

• Technische Dokumentation - Beschreibung von Training, Tests und Capabilities
• Urheberrechts-Compliance - Dokumentation der Trainingsdaten, Respektierung von Opt-outs
• Zusammenfassung der Trainingsdaten - Oeffentliche Bereitstellung einer Inhaltsangabe

Zusaetzliche Pflichten bei systemischem Risiko

GPAI-Modelle mit hoher Rechenleistung (ueber 10^25 FLOPS) gelten als systemisch riskant. Anbieter wie OpenAI oder Anthropic muessen zusaetzlich:

• Model Evaluation - Standardisierte Evaluierung nach vorgegebenen Protokollen
• Adversarial Testing - Pruefung auf Missbrauchspotenziale
• Incident Reporting - Meldung schwerwiegender Vorfaelle
• Cybersecurity - Angemessene Schutzmassnahmen

Zeitplan und Fristen

Der AI Act tritt schrittweise in Kraft. Hier die wichtigsten Daten:

1. Februar 2025 - Verbote treten in Kraft (bereits aktiv)
2. August 2025 - GPAI-Regeln gelten, Governance-Strukturen stehen
3. August 2026 - Hochrisiko-Anforderungen (Anhang III) greifen vollstaendig
4. August 2027 - Alle verbleibenden Bestimmungen gelten

Pflichten fuer Unternehmen

Je nach Rolle im KI-Oekosystem gelten unterschiedliche Pflichten.

Als KI-Anbieter (Provider)

Wenn Sie KI-Systeme entwickeln oder auf den Markt bringen:

• Risikomanagementsystem - Etablierung eines kontinuierlichen Risikomanagements
• Datenqualitaet - Sicherstellung hochwertiger Trainings- und Testdaten
• Dokumentation - Technische Dokumentation und Gebrauchsanweisungen
• Transparenz - Kennzeichnung und Informationspflichten
• Menschliche Aufsicht - Design fuer menschliche Kontrolle
• Genauigkeit und Robustheit - Angemessene Leistungsniveaus

Als KI-Nutzer (Deployer)

Wenn Sie KI-Systeme einsetzen:

• Bestimmungsgemaesser Einsatz - Nutzung nur im vorgesehenen Rahmen
• Menschliche Aufsicht - Sicherstellung kompetenter menschlicher Kontrolle
• Input-Daten - Relevanz der Eingabedaten fuer Zweck
• Monitoring - Ueberwachung des Systems, Meldung von Vorfaellen
• Information - Betroffene ueber KI-Nutzung informieren

Sanktionen bei Verstoessen

Der AI Act sieht erhebliche Strafen vor:

• Verbotene Praktiken: Bis zu 35 Mio. Euro oder 7% des Jahresumsatzes
• Andere Verstoesse: Bis zu 15 Mio. Euro oder 3% des Jahresumsatzes
• Falsche Angaben: Bis zu 7,5 Mio. Euro oder 1% des Jahresumsatzes

Fuer KMU und Startups gelten niedrigere Maximalstrafen. Die Durchsetzung erfolgt durch nationale Behoerden, in Deutschland voraussichtlich durch die Bundesnetzagentur.

Praktische Umsetzung

So bereiten Sie Ihr Unternehmen auf den AI Act vor:

1. KI-Inventar erstellen - Welche KI-Systeme nutzen Sie? Welche entwickeln Sie?
2. Risikoklassifizierung - In welche Kategorie fallen Ihre Systeme?
3. Gap-Analyse - Welche Anforderungen erfuellen Sie bereits?
4. Massnahmenplan - Was muss bis wann umgesetzt werden?
5. Governance aufbauen - Verantwortlichkeiten festlegen
6. Schulungen - Mitarbeiter fuer Compliance sensibilisieren

Fazit: Chance statt Buerokratie

Der EU AI Act mag auf den ersten Blick nach Buerokratie aussehen. Doch fuer verantwortungsvoll handelnde Unternehmen bietet er Chancen: Rechtssicherheit, Wettbewerbsvorteile durch Vertrauen und einen klaren Rahmen fuer Innovation.