Der EU AI Act 2030 stellt den Höhepunkt der schrittweisen Umsetzung des Gesetzes über künstliche Intelligenz durch die Europäische Union dar, einer wegweisenden Verordnung, die einen gemeinsamen Rechtsrahmen für KI in den Mitgliedstaaten schafft. Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen über einen Zeitraum von 6 bis 36 Monaten schrittweise wirksam werden sollten und bis 2030 vollständige Anwendung finden. Diese letzte Phase schließt den Übergang von der Annahme des Gesetzes zur umfassenden Durchsetzung ab und betrifft KI-Anbieter und -Bereitsteller in allen Risikokategorien.
Das Gesetz, das von der Europäischen Kommission am 21. April 2021 vorgeschlagen wurde, wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig genehmigt. Es wurde während der Ausarbeitung überarbeitet, um dem raschen Aufstieg von generativen KI-Systemen wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den ursprünglichen risikobasierten Rahmen passten. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn diese Nutzer innerhalb der EU haben.
Risikokategorien
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen in vier Risikostufen plus eine separate Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind vollständig verboten, einschließlich solcher, die menschliches Verhalten manipulieren, Echtzeit-Fernbiometrie im öffentlichen Raum verwenden oder Sozialbewertungen einsetzen. Anwendungen mit hohem Risiko müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko unterliegen nur Transparenzpflichten, während Anwendungen mit minimalem Risiko unreguliert bleiben.
KI-Systeme mit hohem Risiko umfassen solche, die im Gesundheitswesen, im Bildungswesen, bei der Personalbeschaffung, im Management kritischer Infrastrukturen, in der Strafverfolgung oder im Justizwesen eingesetzt werden. Diese Systeme erfordern vor der Bereitstellung eine Folgenabschätzung für Grundrechte, eine Ex-ante-Prüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte. Sie müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erläuterungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Verpflichtungen für allgemeine KI
Die Kategorie der allgemeinen KI, die 2023 hinzugefügt wurde, umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können. Open-Source-Modelle müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen, während Closed-Source-Modelle umfassenderen Transparenzanforderungen unterliegen. Modelle mit hoher Wirkung, die systemische Risiken darstellen und als solche definiert sind, die mehr als 10^25 Gleitkommaoperationen zum Training erfordern, müssen zusätzlichen Bewertungen unterzogen werden.
Ein Verhaltenskodex für allgemeine KI, der am 10. Juli 2025 veröffentlicht wurde, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz. Die Teilnahme ist freiwillig. Anbieter allgemeiner KI-Modelle müssen Zusammenfassungen der Trainingsdaten veröffentlichen, Richtlinien zur Urheberrechtskonformität übernehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle mit systemischem Risiko müssen außerdem Modellevaluierungen, adversariale Tests, Risikominderung für Verzerrungen und Sicherheitsfehler, Meldung schwerwiegender Vorfälle sowie angemessene Cybersicherheit gewährleisten.
Ausnahmen und Anwendungsbereich
Die Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie reine wissenschaftliche Forschung und Entwicklung. Das Gesetz schließt auch KI aus, die für nichtberufliche Zwecke genutzt wird. Als Form der Produktregulierung schafft es keine individuellen Rechte, sondern legt Pflichten für KI-Anbieter und Organisationen fest, die KI beruflich nutzen.
Das Gesetz deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit diesen begrenzten Ausnahmen. Dieses Produktsicherheitsmodell weist Regulierungspflichten Anbietern und Bereitstellern zu, wobei die Pflichten anspruchsvoller werden, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind. Diese Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Anwendungen leichtere Ansätze ermöglicht werden.
Governance und Durchsetzung
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung zu gewährleisten. Dieser Ausschuss koordiniert Aufsichtsbehörden in den Mitgliedstaaten, ähnlich der Governance-Struktur, die unter der Datenschutz-Grundverordnung eingerichtet wurde. Die Liste der Hochrisikoanwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, was eine Anpassung an neu auftretende Risiken ermöglicht.
Die Mitgliedstaaten können aufgrund von Maximalharmonisierungsregeln, die bestehende nationale Gesetze zu solchen Systemen überlagern, keine zusätzlichen Vorschriften für Systeme mit minimalem Risiko erlassen. Für Anwendungen mit minimalem Risiko wird ein freiwilliger Verhaltenskodex empfohlen. Die extraterritoriale Reichweite des Gesetzes bedeutet, dass Anbieter von außerhalb der EU, einschließlich solcher aus den Vereinigten Staaten und Asien, konform sein müssen, wenn sie EU-Nutzer bedienen.
Umsetzungszeitplan
Die schrittweise Umsetzung begann mit Bestimmungen, die am 1. August 2024 in Kraft traten. Verbote für Anwendungen mit inakzeptablem Risiko traten früher in Kraft, während Verpflichtungen für Hochrisikosysteme über 24 bis 36 Monate eingeführt wurden. Bis 2030 sind alle Bestimmungen vollständig anwendbar, einschließlich der strengsten Anforderungen für Hochrisiko- und allgemeine KI-Systeme. Dieser Zeitplan gab Anbietern und Bereitstellern Zeit, Konformitätsmechanismen zu entwickeln, Konformitätsbewertungen durchzuführen und notwendige technische und organisatorische Maßnahmen umzusetzen.
Der Meilenstein 2030 markiert auch den Punkt, an dem die Aufsicht des Europäischen Ausschusses für künstliche Intelligenz vollständig operativ wird, wobei die Mitgliedstaaten ihre Aufsichtsbehörden und Durchsetzungsverfahren eingerichtet haben. Unternehmen, die dem Gesetz unterliegen, müssen fortlaufende Konformität durch Dokumentation, Tests und Meldeverfahren für Vorfälle nachweisen.
Auswirkungen auf die KI-Entwicklung
Die vollständige Anwendung des KI-Gesetzes im Jahr 2030 betrifft das gesamte KI-Ökosystem, von der Forschung zu künstlicher Intelligenz bis zur kommerziellen Bereitstellung. Entwickler von maschinellen Lern- und Deep-Learning-Systemen müssen Konformitätsüberlegungen in ihre Designprozesse integrieren. Die Transparenzanforderungen des Gesetzes für Anbieter von großen Sprachmodellen haben beeinflusst, wie Modelle dokumentiert und bewertet werden.
Der Regulierungsrahmen hat Organisationen dazu veranlasst, interne Governance-Strukturen für die KI-Aufsicht zu entwickeln, einschließlich Risikobewertungsverfahren und Mechanismen menschlicher Aufsicht. Die Betonung der Grundrechte im Gesetz hat zu erhöhter Aufmerksamkeit für Bias-Minderung und Fairness in KI-Systemen geführt. Der freiwillige Verhaltenskodex für allgemeine KI bietet praktische Leitlinien für die Konformität, während er Flexibilität bei der Umsetzung ermöglicht.
Internationaler Einfluss
Das EU-KI-Gesetz ist zu einem Referenzpunkt für KI-Regulierung weltweit geworden, wobei mehrere Rechtsordnungen seinen risikobasierten Ansatz untersuchen. Seine extraterritorialen Bestimmungen bedeuten, dass große KI-Entwickler in den Vereinigten Staaten, einschließlich Unternehmen wie Anthropic und Google DeepMind, konform sein müssen, wenn sie Dienste für EU-Nutzer anbieten. Dies hat dazu geführt, dass globale Unternehmen EU-Standards als Basispraktiken übernehmen.
Der Ansatz des Gesetzes für allgemeine KI, der als Reaktion auf generative KI-Systeme entwickelt wurde, hat Diskussionen über die Regulierung von Basismodellen in anderen Regionen beeinflusst. Die vollständige Anwendungsphase 2030 demonstriert das Engagement der EU für eine umfassende KI-Governance, die Innovation mit dem Schutz von Grundrechten und Sicherheit in Einklang bringt.