Der EU AI Act 2031 bezeichnet die geplante Überprüfung und mögliche Überarbeitung des Gesetzes über künstliche Intelligenz, einer Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz schafft. Das ursprüngliche Gesetz trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate in Betrieb genommen wurden. Die nach 2030 geplante Überprüfung, die in den eigenen Bestimmungen des Gesetzes vorgesehen ist, zielt darauf ab, die Wirksamkeit der Verordnung zu bewerten, sich an technologische Entwicklungen anzupassen und neu auftretende Herausforderungen in der KI-Landschaft anzugehen.
Es wird erwartet, dass der Überprüfungsprozess untersucht, wie das risikobasierte Klassifizierungssystem in der Praxis funktioniert hat, insbesondere für Hochrisikoanwendungen und allgemeine KI-Modelle. Es wird auch prüfen, ob die extraterritoriale Anwendung des Gesetzes, die Anbieter von außerhalb der EU betrifft, wenn sie Nutzer innerhalb der EU haben, die beabsichtigten Harmonisierungseffekte erzielt hat.
Hintergrund und Gesetzgebungsgeschichte
Die Europäische Kommission schlug das KI-Gesetz am 21. April 2021 vor. Das Europäische Parlament verabschiedete es am 13. März 2024, und der EU-Rat genehmigte es am 21. Mai 2024 einstimmig. Der Gesetzesentwurf wurde während der Verhandlungen überarbeitet, um den Anstieg der Beliebtheit generativer KI-Systeme wie ChatGPT zu adressieren, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Diese Überarbeitung fügte eine eigene Kategorie für allgemeine KI hinzu, einschließlich Basismodellen, die eine breite Palette von Aufgaben ausführen können.
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben. Die Verordnung deckt die meisten KI-Systeme in einer breiten Palette von Sektoren ab, mit Ausnahmen für KI, die nur für militärische, nationale Sicherheits-, Forschungszwecke oder für nicht-professionelle Nutzung verwendet wird.
Risikoklassifizierungsrahmen
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen - inakzeptabel, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit inakzeptablen Risiken sind verboten, außer für spezifische Ausnahmen. Dies umfasst KI-Anwendungen, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie-Identifikation in öffentlichen Räumen verwenden, und solche, die für Social Scoring verwendet werden.
Hochrisikoanwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen einhalten und Konformitätsbewertungen durchlaufen. Dazu gehören KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden. Sie müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Begrenzt riskante Anwendungen haben nur Transparenzverpflichtungen, um sicherzustellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Kategorie umfasst KI-Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes. Minimal riskante Anwendungen, wie KI-Systeme für Videospiele oder Spamfilter, sind nicht reguliert, und Mitgliedstaaten können aufgrund maximaler Harmonisierung keine zusätzlichen Vorschriften auferlegen.
Bestimmungen für allgemeine KI
Die 2023 hinzugefügte Kategorie für allgemeine KI umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen. Geschlossene Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirkungsvolle Modelle, die systemische Risiken darstellen und mehr als 10^25 Gleitkommaoperationen zum Training erfordern, müssen zusätzlichen Bewertungen unterzogen werden.
Das Gesetz legt eine gemeinsame Liste von Verpflichtungen für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko darstellend eingestuft werden, müssen auch Modellevaluierungen und adversariale Tests durchführen, Risiken wie Voreingenommenheit und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und ein angemessenes Maß an Cybersicherheit gewährleisten.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht und Sicherheit, um Anbietern zu helfen, die Einhaltung des KI-Gesetzes nachzuweisen. Die Teilnahme am Kodex ist freiwillig. Es wird erwartet, dass der Kodex ein wichtiger Bezugspunkt während der Überprüfung nach 2030 sein wird, da er praktische Leitlinien für die Umsetzung der Verpflichtungen für allgemeine KI bietet.
Ausnahmen und Geltungsbereich
Die Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz aus. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für Forschungszwecke entwickelt und in Betrieb genommen werden. Nicht-professionelle Nutzung ist ebenfalls ausgenommen.
Als eine Form der Produktregulierung schafft das Gesetz keine individuellen Rechte. Stattdessen legt es Pflichten auf KI-Anbieter und Organisationen, die KI in einem professionellen Kontext verwenden. Dieses Produktsicherheitsmodell weist regulatorische Pflichten Anbietern und Bereitstellern zu, wobei die Pflichten anspruchsvoller werden, je größer die potenzielle Auswirkung auf Gesundheit, Sicherheit oder Grundrechte ist.
Umsetzungszeitplan
Die Bestimmungen des Gesetzes werden schrittweise über 6 bis 36 Monate ab seinem Inkrafttreten am 1. August 2024 in Betrieb genommen. Die ersten Verbote für Anwendungen mit inakzeptablem Risiko traten früher in Kraft, während Hochrisikoverpflichtungen über einen längeren Zeitraum eingeführt werden. Die Überprüfung nach 2030 ist geplant, um die vollständige Umsetzung zu bewerten und Anpassungen basierend auf praktischen Erfahrungen zu erwägen.
Der Wissenschaftliche Dienst des Europäischen Parlaments lieferte eine erste Bewertung der Folgenabschätzung der Kommission und stellte fest, dass diese auf Konsultationen von Interessengruppen und einer breiten Palette bestehender Forschung zurückgriff, wenn politische Optionen für den risikobasierten Rahmen verglichen wurden. Diese Bewertung wird wahrscheinlich den Überprüfungsprozess nach 2030 informieren.
Voraussichtliche Überprüfungsbereiche
Es wird erwartet, dass die Überprüfung nach 2030 mehrere Schlüsselbereiche anspricht. Dazu gehören die Wirksamkeit des Risikoklassifizierungssystems, die Funktionsweise des Europäischen Ausschusses für künstliche Intelligenz und die Auswirkungen der extraterritorialen Anwendung auf globale KI-Anbieter. Die Überprüfung könnte auch erwägen, ob die Liste der Hochrisikoanwendungen erweitert werden sollte, da das Gesetz dies ohne Änderung des Gesetzes selbst ermöglicht.
Technologische Entwicklungen in Bereichen wie maschinellem Lernen, tiefem Lernen und großen Sprachmodellen werden wahrscheinlich zentral für die Überprüfung sein. Der Aufstieg von generativen KI-Systemen, einschließlich derer von OpenAI, Anthropic und Google DeepMind, hat bereits die Entwicklung des Gesetzes geprägt. Die Überprüfung wird bewerten, ob die Kategorie für allgemeine KI neue Fähigkeiten und Risiken angemessen adressiert.
Die Überprüfung könnte auch die Beziehung zwischen dem KI-Gesetz und anderen EU-Verordnungen untersuchen, einschließlich Datenschutz- und Digitaldienste-Gesetzgebung. Es wird prüfen, ob das Produktsicherheitsmodell des Gesetzes für KI-Systeme geeignet bleibt, die sich nach der Bereitstellung kontinuierlich weiterentwickeln, insbesondere solche, die neuronale Netzwerk-Architekturen und Transformer-Modelle verwenden.
Globaler Kontext
Das KI-Gesetz ist Teil einer breiteren globalen Anstrengung zur Regulierung von KI. Die Überprüfung nach 2030 wird prüfen, wie der EU-Rahmen mit regulatorischen Ansätzen in anderen Rechtsordnungen verglichen wird, einschließlich der Vereinigten Staaten, China und anderen großen Volkswirtschaften. Die extraterritoriale Reichweite des Gesetzes bedeutet, dass Anbieter von außerhalb der EU, einschließlich derer, die Amazon Web Services, Azure oder Google Cloud-Infrastruktur verwenden, seine Anforderungen einhalten müssen.
Die Überprüfung wird auch die Auswirkungen des Gesetzes auf Innovation und Wettbewerbsfähigkeit bewerten. Einige Interessengruppen haben Bedenken geäußert, dass Compliance-Belastungen europäische KI-Entwickler im Vergleich zu denen in Regionen mit leichterer Regulierung benachteiligen könnten. Andere argumentieren, dass der klare Rahmen des Gesetzes Sicherheit bietet, die Investitionen in vertrauenswürdige KI-Systeme fördert.
Fazit
Der EU AI Act 2031 stellt einen kritischen Wendepunkt in der Regulierung künstlicher Intelligenz dar. Der Überprüfungsprozess wird bestimmen, ob der risikobasierte Ansatz des Gesetzes seine Ziele erreicht hat, Gesundheit, Sicherheit und Grundrechte zu schützen und gleichzeitig Innovation zu fördern. Das Ergebnis wird die regulatorische Umgebung für KI in Europa prägen und globale Standards für Jahre beeinflussen.