Das EU-KI-Gesetz 2028 bezieht sich auf das Meilensteinjahr, in dem das Gesetz über künstliche Intelligenz der Europäischen Union (KI-Gesetz) seine vollständige operative Durchsetzung erreicht und damit die schrittweise Umsetzung abschließt, die nach dem Inkrafttreten der Verordnung am 1. August 2024 begann. Das KI-Gesetz ist eine umfassende Verordnung, die einen gemeinsamen regulatorischen und rechtlichen Rahmen für künstliche Intelligenz in der EU etabliert und die meisten KI-Systeme in einer Vielzahl von Sektoren abdeckt. Es klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, in vier Stufen - inakzeptabel, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Als eine Form der Produktregulierung schafft es keine individuellen Rechte, sondern legt Pflichten für KI-Anbieter und Organisationen fest, die KI in einem beruflichen Kontext nutzen.
Das Gesetz wurde am 21. April 2021 von der Europäischen Kommission vorgeschlagen, am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig genehmigt. Der Entwurf wurde überarbeitet, um den Aufstieg von generativen KI-Systemen wie ChatGPT zu berücksichtigen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Bis 2028 sollen alle Bestimmungen, einschließlich derer für Hochrisiko-Anwendungen und allgemeine KI-Modelle, vollständig anwendbar sein, wobei das Europäische Gremium für künstliche Intelligenz die nationale Zusammenarbeit und Einhaltung überwacht.
Risikokategorien und Pflichten
Das risikobasierte Schema des KI-Gesetzes folgt einem Produktsicherheitsmodell. Anwendungen mit inakzeptablen Risiken sind verboten, außer bei spezifischen Ausnahmen, einschließlich KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie im öffentlichen Raum und Social Scoring. Hochrisiko-Anwendungen - solche, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, wie im Gesundheitswesen, Bildungswesen, bei der Rekrutierung, kritischer Infrastruktur, Strafverfolgung oder Justiz - müssen Sicherheits-, Transparenz- und Qualitätspflichten erfüllen und Konformitätsbewertungen durchlaufen. Einige erfordern eine Folgenabschätzung für Grundrechte vor der Bereitstellung, eine Ex-ante-Überprüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte. Diese Systeme müssen vor dem Inverkehrbringen und während ihres gesamten Lebenszyklus bewertet werden, und Bürger haben das Recht, Beschwerden einzureichen und Erläuterungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Systeme mit begrenztem Risiko, wie Deepfake-Generatoren, haben Transparenzpflichten, die sicherstellen, dass Nutzer wissen, dass sie mit KI interagieren. Anwendungen mit minimalem Risiko, wie Videospiele oder Spamfilter, sind nicht reguliert, und Mitgliedstaaten können aufgrund von Maximalharmonisierungsregeln keine zusätzlichen Vorschriften auferlegen. Die Liste der Hochrisiko-Anwendungen kann im Laufe der Zeit erweitert werden, ohne das Gesetz selbst zu ändern.
Allgemeine KI und Basismodelle
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle wie große Sprachmodelle, die eine Vielzahl von Aufgaben ausführen. Wenn die Gewichte und das Design eines Modells Open Source sind, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle unterliegen umfassenderen Transparenzanforderungen. Modelle mit hoher Auswirkung, die systemische Risiken darstellen - die mehr als 10^25 Gleitkommaoperationen zum Training erfordern - müssen zusätzlichen Bewertungen unterzogen werden. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert Kapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern zu helfen, die Einhaltung nachzuweisen, mit freiwilliger Teilnahme. Anbieter allgemeiner KI-Modelle müssen Zusammenfassungen der Trainingsdaten veröffentlichen, Urheberrechtsrichtlinien übernehmen und technische Dokumentation für nachgelagerte Anbieter und Behörden bereitstellen. Modelle, die als systemisches Risiko eingestuft werden, müssen Modellevaluierungen, adversariale Tests durchführen, Risiken wie Verzerrung und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und angemessene Cybersicherheit gewährleisten.
Ausnahmen und Extraterritorialität
Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke sowie reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz aus. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben. Dies bedeutet, dass Unternehmen mit Sitz in den Vereinigten Staaten, Asien oder anderswo die Anforderungen erfüllen müssen, wenn sie KI-Dienste für EU-Bewohner anbieten, unabhängig davon, wo die Systeme entwickelt werden.
Durchsetzungszeitplan und Meilensteine 2028
Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über 6 bis 36 Monate in Betrieb gingen. Bis 2028 wird die letzte Tranche der Pflichten wirksam, insbesondere für Hochrisiko-KI-Systeme in Sektoren wie Gesundheitswesen, Bildung und Strafverfolgung. Das durch das Gesetz geschaffene Europäische Gremium für künstliche Intelligenz spielt eine zentrale Rolle bei der Förderung der nationalen Zusammenarbeit und der Gewährleistung einer einheitlichen Einhaltung in den Mitgliedstaaten. Es wird erwartet, dass nationale Aufsichtsbehörden Konformitätsbewertungsverfahren eingerichtet haben und Anbieter Zertifizierungen für ihre Hochrisiko-Systeme abgeschlossen haben. Der Meilenstein 2028 markiert auch den Punkt, an dem die vollständige Durchsetzungsmaschinerie des Gesetzes, einschließlich Sanktionen bei Nichteinhaltung, in allen Kategorien betriebsbereit ist.
Auswirkungen auf KI-Entwicklung und -Bereitstellung
Die vollständige Durchsetzung im Jahr 2028 betrifft ein breites Ökosystem von KI-Entwicklern und -Bereitstellern. Unternehmen wie OpenAI, Anthropic und Google DeepMind, die allgemeine Modelle produzieren, müssen Transparenz- und Bewertungsanforderungen erfüllen, wenn ihre Modelle in der EU verwendet werden. Hardware-Anbieter wie NVIDIA (obwohl nicht aufgeführt, impliziert durch das Ökosystem) und AMD könnten indirekte Auswirkungen sehen, da ihre Chips Modelle antreiben, die systemischen Risikobewertungen unterliegen. Cloud-Dienstanbieter wie Amazon Web Services, Microsoft Azure und Google Cloud müssen sicherstellen, dass ihre KI-Angebote den Standards des Gesetzes entsprechen. Forschungseinrichtungen, einschließlich MIT CSAIL, Stanford AI Lab und BAIR (Berkeley AI Research), sind betroffen, wenn ihre Modelle kommerziell in der EU eingesetzt werden, obwohl reine Forschung ausgenommen ist. Der Schwerpunkt des Gesetzes auf Transparenz und Risikominderung steht im Einklang mit technischen Praktiken wie Modellbereinigung, Datenerweiterung und Verstärkungslernen aus KI-Feedback, die zur Demonstration der Einhaltung beitragen können.
Compliance-Herausforderungen und Branchenreaktion
Ab 2028 stehen viele Organisationen vor erheblichen Compliance-Herausforderungen. Hochrisiko-KI-Systeme erfordern strenge Dokumentation, menschliche Aufsichtsmechanismen und kontinuierliche Überwachung. Der Prozess der Folgenabschätzung für Grundrechte, der durch frühere Arbeiten zu algorithmischen Folgenabschätzungen informiert ist, erfordert die Identifizierung betroffener Gemeinschaften, die Beschreibung möglicher Schäden und die Bereitstellung einer Grundlage für öffentliche Prüfung. Für allgemeine Modelle erfasst die Schwelle von 10^25 Gleitkommaoperationen für die Einstufung als systemisches Risiko die größten Modelle, wie die von großen Labors trainierten. Der freiwillige Verhaltenskodex, obwohl nicht verpflichtend, bietet einen strukturierten Ansatz für Anbieter, um die Einhaltung nachzuweisen, und deckt Transparenz, Urheberrecht und Sicherheit ab. Branchenreaktionen umfassen die Entwicklung interner Governance-Rahmenwerke, Investitionen in Bewertungstools und die Zusammenarbeit mit dem Europäischen Gremium für künstliche Intelligenz. Einige kleinere Anbieter, insbesondere solche, die Open-Source-Modelle anbieten, profitieren von reduzierten Anforderungen, müssen aber dennoch Zusammenfassungen der Trainingsdaten und Urheberrechtsrichtlinien veröffentlichen.
Breitere Auswirkungen auf die globale KI-Governance
Das EU-KI-Gesetz 2028 dient als Maßstab für KI-Regulierung weltweit. Sein risikobasierter Ansatz und seine extraterritoriale Anwendung beeinflussen politische Diskussionen in anderen Rechtsräumen, einschließlich der Vereinigten Staaten und Asien. Die Unterscheidung des Gesetzes zwischen Open-Source- und Closed-Source-Modellen hat Debatten über Innovation versus Sicherheit ausgelöst, wobei einige argumentieren, dass Open-Source-Transparenzanforderungen unzureichend sind, während andere sie als ausgewogenen Ansatz sehen. Die Durchsetzung 2028 fällt auch mit Fortschritten in maschinellem Lernen und tiefem Lernen zusammen, einschließlich Entwicklungen in Transformer-Architekturen und Multi-Head-Attention-Mechanismen, die neue Fähigkeiten einführen könnten, die vom regulatorischen Rahmen nicht vollständig vorhergesehen wurden. Die Bestimmungen des Gesetzes zur Aktualisierung der Hochrisiko-Liste und zur Anpassung an technologischen Wandel sind darauf ausgelegt, solche Entwicklungen zu adressieren, aber ihre Wirksamkeit wird von der Reaktionsfähigkeit des Europäischen Gremiums für künstliche Intelligenz abhängen. Ab 2028 bleibt die vollständige Auswirkung des Gesetzes auf KI-Innovation, Marktwettbewerb und Grundrechtsschutz ein fortlaufendes Thema der Analyse unter Rechtswissenschaftlern, Technologen und politischen Entscheidungsträgern.
Zukunftsausblick
Über 2028 hinaus wird erwartet, dass sich das KI-Gesetz weiterentwickelt, während KI-Technologien fortschreiten. Die Europäische Kommission könnte Änderungen vorschlagen, um aufkommende Bereiche wie neuronale Netzwerk-Interpretierbarkeit, große Sprachmodell-Ausrichtung oder KI in autonomen Systemen wie autonomen Fahrzeugen zu adressieren. Die Maximalharmonisierungsbestimmungen des Gesetzes verhindern, dass Mitgliedstaaten zusätzliche Vorschriften für Systeme mit minimalem Risiko auferlegen, erlauben aber die Erweiterung der Hochrisiko-Liste. Der Verhaltenskodex für allgemeine KI könnte aktualisiert werden, um neue technische Standards und bewährte Praktiken widerzuspiegeln. Der Meilenstein 2028 stellt somit keinen Endpunkt dar, sondern eine Grundlage für fortlaufende regulatorische Anpassung, wobei sich die EU als globaler Führer in der KI-Governance positioniert. Das Zusammenspiel zwischen dem Gesetz und anderen EU-Verordnungen, wie Datenschutz und digitalen Diensten, wird weiterhin die Compliance-Landschaft für KI-Anbieter und -Bereitsteller innerhalb und außerhalb der EU prägen.