Der Artificial Intelligence Act der Europäischen Union (EU AI Act) schafft einen risikobasierten Rahmen für die Regulierung von Systemen der künstlichen Intelligenz innerhalb des EU-Marktes. Die 2024 verabschiedete Verordnung klassifiziert KI-Anwendungen in vier Stufen – inakzeptables, hohes, begrenztes und minimales Risiko – mit entsprechenden Pflichten, die mit dem potenziellen Schaden für Gesundheit, Sicherheit und Grundrechte skalieren. Dieser abgestufte Ansatz zielt darauf ab, Innovationen zu fördern und gleichzeitig eine vertrauenswürdige Bereitstellung von Technologien der künstlichen Intelligenz zu gewährleisten.
Die Verordnung gilt für Anbieter, Bereitsteller, Importeure und Händler von KI-Systemen, die in der EU tätig sind, unabhängig davon, wo sie ihren Sitz haben, sofern ihre Ergebnisse innerhalb der Union verwendet werden. Sie umfasst auch allgemeine KI-Modelle, einschließlich großer Sprachmodelle, die Transparenz- und Urheberrechtsanforderungen unterliegen.
Stufe des inakzeptablen Risikos
Die höchste Stufe verbietet KI-Praktiken, die ein inakzeptables Risiko für EU-Werte und Grundrechte darstellen. Dazu gehören Sozialkreditsysteme durch öffentliche Behörden, Echtzeit-Biometrieerkennung aus der Ferne in öffentlich zugänglichen Räumen (mit engen Ausnahmen für Strafverfolgung), manipulative Techniken, die Schwachstellen ausnutzen (z. B. Alter oder Behinderung), sowie Predictive Policing, das ausschließlich auf Profiling basiert. Systeme in dieser Kategorie sind vollständig verboten, mit begrenzten Ausnahmen für nationale Sicherheit und bestimmte Strafverfolgungsszenarien, die einer gerichtlichen Genehmigung bedürfen.
Stufe des hohen Risikos
KI-Systeme mit hohem Risiko unterliegen den umfangreichsten Pflichten. Dazu gehören KI, die in kritischer Infrastruktur (z. B. Verkehr, Energie), Bildung und Berufsausbildung, Beschäftigung und Personalverwaltung, wesentlichen privaten und öffentlichen Diensten (z. B. Kreditwürdigkeitsprüfung, Gesundheitswesen), Strafverfolgung, Migration und Asyl sowie demokratischen Prozessen eingesetzt wird. Anbieter müssen ein Risikomanagementsystem implementieren, hochwertige Trainingsdaten verwenden, technische Dokumentation führen, menschliche Aufsicht ermöglichen und Robustheit sowie Cybersicherheit sicherstellen. Sie müssen sich außerdem in einer EU-Datenbank registrieren und eine Konformitätsbewertung durchführen, die für bestimmte Anwendungen oft eine Bewertung durch Dritte umfasst.
Bereitsteller von Hochrisikosystemen müssen diese gemäß den Anweisungen verwenden, Vorfälle überwachen und Folgenabschätzungen für Grundrechte durchführen, wenn sie im öffentlichen Sektor eingesetzt werden. Hochrisikosysteme müssen außerdem so konzipiert sein, dass sie mit menschlicher Aufsicht funktionieren und es den Bedienern ermöglichen, einzugreifen oder Ergebnisse zu übersteuern.
Stufe des begrenzten Risikos
Begrenztes Risiko gilt für KI-Systeme, die mit Menschen interagieren, wie Chatbots, Deepfakes und Emotionserkennungssysteme. Diese unterliegen Transparenzpflichten: Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren, und Deepfakes müssen als künstlich erzeugt gekennzeichnet werden. Diese Stufe zielt darauf ab, Täuschung zu verhindern und eine informierte Einwilligung sicherzustellen, ohne zusätzliche inhaltliche Anforderungen.
Stufe des minimalen Risikos
Die meisten KI-Anwendungen, wie Spamfilter, KI in Videospielen oder Bestandsverwaltung, fallen in die Stufe des minimalen Risikos. Sie unterliegen keinen spezifischen Pflichten gemäß der Verordnung, obwohl freiwillige Verhaltenskodizes gefördert werden. Diese Stufe spiegelt die Absicht der EU wider, eine Überregulierung von Anwendungen mit geringer Auswirkung zu vermeiden und Innovationen mit minimalem bürokratischem Aufwand zu ermöglichen.
Allgemeine KI-Modelle
Die Verordnung führt ein separates Regime für allgemeine KI-Modelle (GPAI) ein, zu denen Basismodelle wie die von OpenAI, Anthropic und Google DeepMind gehören. Alle GPAI-Modelle müssen technische Dokumentation bereitstellen und Urheberrechtsgesetze einhalten. Modelle mit systemischem Risiko (trainiert mit über 10^25 FLOPs) unterliegen zusätzlichen Pflichten, einschließlich adversarischer Tests, Meldung von Vorfällen und Cybersicherheitsmaßnahmen. Die Europäische Kommission benennt in Absprache mit einem KI-Büro Modelle mit systemischem Risiko.
Governance und Durchsetzung
Die Verordnung richtet einen Europäischen Ausschuss für künstliche Intelligenz ein, der aus nationalen Aufsichtsbehörden besteht, um eine einheitliche Anwendung sicherzustellen. Jeder EU-Mitgliedstaat benennt eine nationale Behörde für Marktüberwachung. Geldbußen bei Nichteinhaltung sind abgestuft: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Millionen Euro oder 3 % für die meisten anderen Verstöße und 7,5 Millionen Euro oder 1,5 % für die Bereitstellung falscher Informationen. Kleine und mittlere Unternehmen erhalten reduzierte Geldbußen und vereinfachte Dokumentation.
Zeitplan und Umsetzung
Die Verordnung trat am 1. August 2024 in Kraft, mit einer schrittweisen Einführung. Verbote für inakzeptables Risiko gelten ab dem 2. Februar 2025. GPAI-Pflichten treten ab dem 2. August 2025 in Kraft. Anforderungen für Hochrisikosysteme, die bereits unter EU-Produktsicherheitsgesetze fallen, gelten ab dem 2. August 2026, und für andere Hochrisikosysteme ab dem 2. August 2027. Die Mitgliedstaaten müssen bis zum 2. August 2025 nationale Behörden einrichten.
Auswirkungen und Kritik
Der EU AI Act ist die weltweit erste umfassende KI-Regulierung und beeinflusst globale Standards. Befürworter argumentieren, dass er Bürger schützt und Vertrauen aufbaut, während Kritiker anführen, dass die Pflichten für hohes Risiko Innovationen behindern könnten, insbesondere für Start-ups und Open-Source-Entwickler. Die extraterritoriale Reichweite der Verordnung bedeutet, dass Nicht-EU-Unternehmen, einschließlich großer Technologiekonzerne wie Google Cloud und Amazon Web Services, konform sein müssen, wenn sie EU-Kunden bedienen. Ab 2025 wird der Umsetzungsleitfaden noch entwickelt, und die praktischen Auswirkungen auf aufkommende Technologien wie generative KI bleiben abzuwarten.