Der EU AI Act 2025 markiert den Beginn der operativen Durchsetzung des Gesetzes über künstliche Intelligenz, einer Verordnung der Europäischen Union, die einen gemeinsamen regulatorischen und rechtlichen Rahmen für künstliche Intelligenz schafft. Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise in Kraft traten. Im Jahr 2025 begannen zentrale Verpflichtungen für Anbieter und Betreiber von KI-Systemen innerhalb der EU zu gelten, einschließlich solcher von außerhalb des Blocks, sofern sie Nutzer innerhalb der EU haben, was die extraterritoriale Reichweite der Datenschutz-Grundverordnung widerspiegelt.
Das Gesetz deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder für nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte; stattdessen legt es Pflichten für KI-Anbieter und Organisationen fest, die KI in einem beruflichen Kontext nutzen. Die Verordnung wurde von der Europäischen Kommission am 21. April 2021 vorgeschlagen, vom Europäischen Parlament am 13. März 2024 verabschiedet und vom EU-Rat am 21. Mai 2024 einstimmig genehmigt. Der Entwurf wurde überarbeitet, um dem Aufstieg generativer KI-Systeme wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten.
Risikokategorien
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen – inakzeptabel, hoch, begrenzt, minimal – plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind verboten. Hochrisiko-Anwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko haben nur Transparenzpflichten. Anwendungen mit minimalem Risiko sind nicht reguliert.
Inakzeptables Risiko umfasst KI-Anwendungen, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum verwenden, und solche, die für Social Scoring verwendet werden – die Einstufung von Personen basierend auf ihren persönlichen Merkmalen, ihrem sozioökonomischen Status oder ihrem Verhalten. Verbote gelten, außer für spezifische Ausnahmen.
Hochrisiko-Anwendungen sind solche, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder die Grundrechte von Personen darstellen. Insbesondere KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder Justiz eingesetzt werden, fallen in diese Kategorie. Sie unterliegen Qualitäts-, Transparenz-, menschlicher Aufsichts- und Sicherheitspflichten und erfordern in einigen Fällen eine Folgenabschätzung für Grundrechte (FRIA) vor der Bereitstellung. Eine FRIA ist eine Ex-ante-Überprüfung, um potenzielle Auswirkungen auf Grundrechte zu identifizieren und zu mindern, bevor ein KI-System bereitgestellt wird. Diese Systeme müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste der Hochrisiko-Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Begrenztes Risiko umfasst KI-Anwendungen, die es ermöglichen, Bilder, Töne oder Videos zu erzeugen oder zu manipulieren (wie Deepfakes). Diese Systeme haben Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, informierte Entscheidungen zu treffen.
Minimales Risiko umfasst KI-Systeme, die für Videospiele oder Spam-Filter verwendet werden. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen. Diese Systeme sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Regeln zur maximalen Harmonisierung keine zusätzlichen Vorschriften auferlegen. Bestehende nationale Gesetze zur Gestaltung oder Nutzung solcher Systeme werden außer Kraft gesetzt. Ein freiwilliger Verhaltenskodex wird jedoch empfohlen.
Allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle, die eine Vielzahl von Aufgaben ausführen können, wie solche, die von OpenAI, Anthropic oder Google DeepMind entwickelt wurden. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen – die mehr als 10^25 Gleitkommaoperationen zum Training erfordern – müssen zusätzlichen Bewertungen unterzogen werden.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern zu helfen, die Einhaltung des KI-Gesetzes nachzuweisen. Die Teilnahme am Kodex ist freiwillig. Über grundlegende Transparenzpflichten hinaus legt das Gesetz eine gemeinsame Liste von Verpflichtungen für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko eingestuft werden, müssen außerdem Modellbewertungen und adversariale Tests durchführen, Risiken wie Voreingenommenheit und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und ein angemessenes Maß an Cybersicherheit gewährleisten.
Ausnahmen
Artikel 2.3 und 2.6 nehmen KI-Systeme, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz aus. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für wissenschaftliche Forschung entwickelt und in Betrieb genommen werden. Diese Ausnahme gilt nicht für KI-Systeme, die in zivilen Kontexten verwendet werden, selbst wenn sie von militärischen oder Sicherheitsorganisationen entwickelt wurden.
Governance und Einhaltung
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung der Verordnung sicherzustellen. Dieser Ausschuss koordiniert Aufsichtsbehörden in den Mitgliedstaaten, ähnlich der Struktur, die unter der Datenschutz-Grundverordnung eingerichtet wurde. Der Ausschuss ist für die Herausgabe von Leitlinien, die Förderung einer einheitlichen Anwendung und die Behandlung grenzüberschreitender Fälle mit KI-Systemen verantwortlich.
Im Jahr 2025 begannen die Durchsetzungsaktivitäten in vollem Umfang. Nationale Aufsichtsbehörden begannen mit Konformitätsbewertungen für Hochrisiko-KI-Systeme, die auf den Markt gebracht wurden. Anbieter allgemeiner KI-Modelle waren verpflichtet, ihre Modelle zu registrieren und Dokumentation einzureichen. Die Europäische Kommission begann auch mit der Entwicklung von Durchführungsrechtsakten und Leitlinien, um spezifische Bestimmungen zu klären, einschließlich technischer Standards für Konformitätsbewertungen und Verfahren für den Europäischen Ausschuss für künstliche Intelligenz.
Auswirkungen auf die Industrie
Die extraterritoriale Reichweite des KI-Gesetzes bedeutet, dass große Technologieunternehmen außerhalb der EU, einschließlich solcher in den USA und Asien, konform sein müssen, wenn sie KI-Dienste für EU-Nutzer anbieten. Dies umfasst Anbieter von Cloud-Computing-Diensten wie Amazon Web Services, Microsoft Azure und Google Cloud sowie KI-Chip-Hersteller wie NVIDIA (obwohl nicht aufgeführt, ist es ein wichtiger Akteur) und AMD. Die Verordnung hat viele Unternehmen dazu veranlasst, Compliance-Teams einzurichten, interne Audits durchzuführen und Risikomanagementrahmen für ihre KI-Produkte zu entwickeln.
Für Anbieter allgemeiner KI hat die Verpflichtung, Zusammenfassungen der Trainingsdaten und Urheberrechtsrichtlinien zu veröffentlichen, erhebliche Auswirkungen. Unternehmen, die maschinelles Lernen Modelle entwickeln, müssen nun ihre Datenquellen dokumentieren und die Einhaltung des EU-Urheberrechts sicherstellen. Dies hat zu einer verstärkten Prüfung der Praktiken zur Beschaffung von Trainingsdaten geführt, insbesondere für generative KI Systeme, die auf riesigen Datensätzen basieren, die aus dem Internet gesammelt wurden.
Zeitplan und Übergang
Die Bestimmungen des KI-Gesetzes werden über 6 bis 36 Monate ab seinem Inkrafttreten am 1. August 2024 schrittweise eingeführt. Im Jahr 2025 traten die ersten großen Fristen in Kraft. Bis zum 2. Februar 2025 wurden Verbote für KI-Anwendungen mit inakzeptablem Risiko anwendbar. Bis zum 2. August 2025 wurden Verpflichtungen für allgemeine KI-Modelle anwendbar. Anforderungen für Hochrisiko-KI-Systeme sind in Stufen geplant, wobei die erste Reihe von Verpflichtungen im August 2026 und der Rest im August 2027 anwendbar wird.
Während dieser Übergangsphase hat die Europäische Kommission mit Mitgliedstaaten und Industrievertretern zusammengearbeitet, um Durchführungsleitlinien und harmonisierte Standards zu entwickeln. Der Europäische Ausschuss für künstliche Intelligenz wurde eingerichtet und hielt seine ersten Sitzungen im Jahr 2025 ab. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, dient als praktisches Werkzeug für Anbieter, um die Einhaltung nachzuweisen, obwohl die Teilnahme freiwillig bleibt.
Breiterer Kontext
Das KI-Gesetz ist Teil eines breiteren globalen Trends zur KI-Regulierung. Es folgt der Datenschutz-Grundverordnung der EU bei der Etablierung eines umfassenden regulatorischen Rahmens für digitale Technologien. Der risikobasierte Ansatz des Gesetzes war in anderen Rechtsordnungen einflussreich, obwohl die EU die erste große Volkswirtschaft bleibt, die verbindliche horizontale KI-Gesetzgebung erlässt. Die Betonung von Grundrechten und Sicherheit in der Verordnung spiegelt laufende Debatten über die gesellschaftlichen Auswirkungen von KI wider, einschließlich Bedenken hinsichtlich Voreingenommenheit, Diskriminierung und Rechenschaftspflicht bei automatisierten Entscheidungen.
Die Bestimmungen des Gesetzes zur Transparenz für KI-Systeme mit begrenztem Risiko, wie Deepfakes, adressieren wachsende Bedenken hinsichtlich Desinformation und Manipulation. Die Anforderung, dass Hochrisiko-KI-Systeme Konformitätsbewertungen und Folgenabschätzungen für Grundrechte durchlaufen, zielt darauf ab, sicherzustellen, dass die KI-Bereitstellung EU-Werte und rechtliche Grundsätze respektiert. Ab 2025 bleibt die volle Auswirkung der Verordnung auf Innovation und Wettbewerbsfähigkeit abzusehen, mit laufenden Diskussionen über das Gleichgewicht zwischen Regulierung und Förderung der KI-Entwicklung in Europa.