KI-Regulierung in der EU: Der AI Act im Überblick

Mit dem AI Act hat die Europaeische Union einen historischen Meilenstein gesetzt: das erste umfassende Gesetz zur Regulierung künstlicher Intelligenz weltweit. Nach Jahren der Verhandlungen ist die Verordnung seit August 2024 in Kraft und entfaltet schrittweise ihre Wirkung. Für Unternehmen bedeutet dies konkrete Handlungspflichten.

Was ist der EU AI Act?

Der AI Act (Artificial Intelligence Act) ist eine EU-Verordnung, die einheitliche Regeln für die Entwicklung, den Vertrieb und die Nutzung von KI-Systemen in Europa schafft. Anders als Richtlinien gilt die Verordnung unmittelbar in allen EU-Mitgliedstaaten ohne nationale Umsetzung.

Ziele der Regulierung

Die EU verfolgt mit dem AI Act mehrere Ziele: Schutz der Grundrechte, Foerderung von Innovation, Schaffung von Rechtssicherheit und Stärkung des Vertrauens in KI. Der risikobasierte Ansatz soll dabei sicherstellen, dass die Regulierung proportional zum tatsaechlichen Risiko ist.

Die vier Risikoklassen

Kernkonzept des AI Act ist die Einteilung von KI-Systemen in Risikoklassen. Je höher das Risiko, desto strenger die Anforderungen.

Verbotene KI-Praktiken (Unacceptable Risk)

Bestimmte KI-Anwendungen sind in der EU gaenzlich verboten:

• Social Scoring - Bewertung von Personen durch Behoerden auf Basis ihres sozialen Verhaltens
• Emotionserkennung am Arbeitsplatz - Analyse von Emotionen in Unternehmen und Bildungseinrichtungen
• Biometrische Kategorisierung - Klassifizierung nach sensiblen Merkmalen wie Rasse oder politischer Einstellung
• Echtzeit-Gesichtserkennung im oeffentlichen Raum - Ausnahmen nur für schwere Straftaten
• Unterschwellige Manipulation - KI zur gezielten Verhaltensmanipulation

Hochrisiko-KI-Systeme (High Risk)

Für bestimmte KI-Anwendungen gelten strenge Anforderungen:

• Kritische Infrastruktur - KI in Energie-, Wasser- oder Verkehrssystemen
• Bildung - Systeme zur Bewertung oder Zulassung von Schuelern/Studenten
• Beschaeftigung - KI für Recruiting, Leistungsbewertung, Kuendigungen
• Finanzdienstleistungen - Kreditwuerdigkeitsprüfung, Versicherungsbewertung
• Strafverfolgung - Risikobewertung, Beweismittelanalyse
• Migration - Asylverfahren, Grenzkontrolle

Systeme mit Transparenzpflichten (Limited Risk)

Generative KI wie ChatGPT, Chatbots und Deepfake-Generatoren müssen gekennzeichnet werden. Nutzer müssen wissen, dass sie mit einer KI interagieren oder KI-generierte Inhalte sehen.

Minimales oder kein Risiko

Die meisten KI-Anwendungen fallen in diese Kategorie: Spam-Filter, KI-gestützte Videospiele, Empfehlungssysteme. Hier gelten keine besonderen Anforderungen.

Regeln für General Purpose AI (GPAI)

Besondere Regelungen gelten für sogenannte General Purpose AI - also Systeme wie GPT-4, Claude oder Llama, die für vielfaeltige Zwecke eingesetzt werden können.

Basisanforderungen für alle GPAI

• Technische Dokumentation - Beschreibung von Training, Tests und Capabilities
• Urheberrechts-Compliance - Dokumentation der Trainingsdaten, Respektierung von Opt-outs
• Zusammenfassung der Trainingsdaten - Oeffentliche Bereitstellung einer Inhaltsangabe

Zusaetzliche Pflichten bei systemischem Risiko

GPAI-Modelle mit hoher Rechenleistung (über 10^25 FLOPS) gelten als systemisch riskant. Anbieter wie OpenAI oder Anthropic müssen zusaetzlich:

• Model Evaluation - Standardisierte Evaluierung nach vorgegebenen Protokollen
• Adversarial Testing - Prüfung auf Missbrauchspotenziale
• Incident Reporting - Meldung schwerwiegender Vorfaelle
• Cybersecurity - Angemessene Schutzmassnahmen

Zeitplan und Fristen

Der AI Act tritt schrittweise in Kraft. Hier die wichtigsten Daten:

1. Februar 2025 - Verbote treten in Kraft (bereits aktiv)
2. August 2025 - GPAI-Regeln gelten, Governance-Strukturen stehen
3. August 2026 - Hochrisiko-Anforderungen (Anhang III) greifen vollständig
4. August 2027 - Alle verbleibenden Bestimmungen gelten

Pflichten für Unternehmen

Je nach Rolle im KI-Ökosystem gelten unterschiedliche Pflichten.

Als KI-Anbieter (Provider)

Wenn Sie KI-Systeme entwickeln oder auf den Markt bringen:

• Risikomanagementsystem - Etablierung eines kontinuierlichen Risikomanagements
• Datenqualität - Sicherstellung hochwertiger Trainings- und Testdaten
• Dokumentation - Technische Dokumentation und Gebrauchsanweisungen
• Transparenz - Kennzeichnung und Informationspflichten
• Menschliche Aufsicht - Design für menschliche Kontrolle
• Genauigkeit und Robustheit - Angemessene Leistungsniveaus

Als KI-Nutzer (Deployer)

Wenn Sie KI-Systeme einsetzen:

• Bestimmungsgemaesser Einsatz - Nutzung nur im vorgesehenen Rahmen
• Menschliche Aufsicht - Sicherstellung kompetenter menschlicher Kontrolle
• Input-Daten - Relevanz der Eingabedaten für Zweck
• Monitoring - Überwachung des Systems, Meldung von Vorfaellen
• Information - Betroffene über KI-Nutzung informieren

Sanktionen bei Verstoessen

Der AI Act sieht erhebliche Strafen vor:

• Verbotene Praktiken: Bis zu 35 Mio. Euro oder 7% des Jahresumsatzes
• Andere Verstoesse: Bis zu 15 Mio. Euro oder 3% des Jahresumsatzes
• Falsche Angaben: Bis zu 7,5 Mio. Euro oder 1% des Jahresumsatzes

Für KMU und Startups gelten niedrigere Maximalstrafen. Die Durchsetzung erfolgt durch nationale Behoerden, in Deutschland voraussichtlich durch die Bundesnetzagentur.

Praktische Umsetzung

So bereiten Sie Ihr Unternehmen auf den AI Act vor:

1. KI-Inventar erstellen - Welche KI-Systeme nutzen Sie? Welche entwickeln Sie?
2. Risikoklassifizierung - In welche Kategorie fallen Ihre Systeme?
3. Gap-Analyse - Welche Anforderungen erfuellen Sie bereits?
4. Maßnahmenplan - Was muss bis wann umgesetzt werden?
5. Governance aufbauen - Verantwortlichkeiten festlegen
6. Schulungen - Mitarbeiter für Compliance sensibilisieren

Fazit: Chance statt Buerokratie

Der EU AI Act mag auf den ersten Blick nach Buerokratie aussehen. Doch für verantwortungsvoll handelnde Unternehmen bietet er Chancen: Rechtssicherheit, Wettbewerbsvorteile durch Vertrauen und einen klaren Rahmen für Innovation.