Das Gesetz über künstliche Intelligenz (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) innerhalb der EU schafft. Es trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate eingeführt werden. Das Gesetz erfasst die meisten KI-Systeme in einer Vielzahl von Sektoren, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte, sondern auferlegt Pflichten für KI-Anbieter und Organisationen, die KI in einem beruflichen Kontext nutzen.
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen - inakzeptabel, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind verboten, während Hochrisiko-Anwendungen Sicherheits-, Transparenz- und Qualitätspflichten erfüllen und Konformitätsbewertungen durchlaufen müssen. Anwendungen mit begrenztem Risiko unterliegen Transparenzpflichten, und Anwendungen mit minimalem Risiko sind nicht reguliert. Für allgemeine KI werden Transparenzanforderungen auferlegt, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Modelle mit hoher Leistungsfähigkeit.
Entstehungsgeschichte
Die Europäische Kommission schlug das KI-Gesetz am 21. April 2021 vor. Der Entwurf wurde überarbeitet, um dem Aufstieg generativer KI-Systeme Rechnung zu tragen, wie denen von OpenAI und Anthropic, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Das Europäische Parlament verabschiedete das Gesetz am 13. März 2024, und der EU-Rat stimmte ihm am 21. Mai 2024 einstimmig zu. Die Verordnung trat am 1. August 2024 in Kraft.
Das Gesetz schafft außerdem einen Europäischen Ausschuss für Künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Risikokategorien
Das risikobasierte Schema folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten den Anbietern und Betreibern von KI-Systemen zugewiesen werden und mit zunehmender potenzieller Auswirkung auf Gesundheit, Sicherheit oder Grundrechte anspruchsvoller werden. Diese Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während sie bei weniger sensiblen Anwendungen einen leichteren Ansatz ermöglicht.
Anwendungen mit inakzeptablem Risiko sind verboten, mit Ausnahme bestimmter Ausnahmen. Dazu gehören KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum und Social Scoring, das Personen anhand persönlicher Merkmale oder Verhaltensweisen einstuft.
Hochrisiko-Anwendungen sind solche, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen. Dazu gehören KI, die im Gesundheitswesen, im Bildungswesen, bei der Personalbeschaffung, im Management kritischer Infrastruktur, bei der Strafverfolgung oder im Justizwesen eingesetzt wird. Diese Systeme müssen Qualitäts-, Transparenz-, menschliche Aufsichts- und Sicherheitspflichten erfüllen und in einigen Fällen eine Folgenabschätzung für Grundrechte vor dem Einsatz erfordern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Systeme mit begrenztem Risiko unterliegen Transparenzpflichten, um sicherzustellen, dass Nutzer wissen, dass sie mit KI interagieren und fundierte Entscheidungen treffen können. Dazu gehören Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes. Systeme mit minimalem Risiko, einschließlich Videospielen oder Spam-Filtern, sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Harmonisierungsregeln keine zusätzlichen Vorschriften erlassen.
Allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können, wie große Sprachmodelle. Wenn die Gewichte und das Design eines Modells als Open Source verfügbar gemacht werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen. Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Modelle mit hoher Wirkung, die systemische Risiken darstellen und mehr als 10^25 Gleitkommaoperationen zum Training erfordern, müssen zusätzlichen Bewertungen unterzogen werden.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht und Sicherheit, um Anbietern zu helfen, die Einhaltung nachzuweisen. Die Teilnahme am Kodex ist freiwillig. Anbieter allgemeiner KI-Modelle müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechts-Compliance-Richtlinie annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko eingestuft werden, müssen außerdem Modellevaluierungen, adversariale Tests durchführen, Risiken wie Verzerrungen und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und eine angemessene Cybersicherheit gewährleisten.
Ausnahmen und Durchsetzung
Die Artikel 2.3 und 2.6 nehmen KI-Systeme, die für militärische Zwecke oder nationale Sicherheit oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, von der Anwendung des KI-Gesetzes aus. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden oder für Systeme, die ausschließlich aus diesen Gründen entwickelt und in Betrieb genommen werden.
Die extraterritoriale Reichweite des Gesetzes bedeutet, dass Anbieter von außerhalb der EU, einschließlich großer Technologieunternehmen wie Google DeepMind und Amazon Web Services, die Vorschriften einhalten müssen, wenn sie Nutzer innerhalb der EU haben. Der Europäische Ausschuss für Künstliche Intelligenz erleichtert die nationale Zusammenarbeit und gewährleistet eine einheitliche Anwendung in den Mitgliedstaaten. Die Liste der Hochrisiko-Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, sodass sich der Rahmen an neue KI-Fähigkeiten und -Anwendungen anpassen kann.