Das Gesetz über künstliche Intelligenz (KI-Gesetz) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) innerhalb der EU schafft. Es trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise in Kraft traten. Als Produktregulierung schafft es keine individuellen Rechte, sondern auferlegt KI-Anbietern und professionellen Nutzern Pflichten.
Das Gesetz deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für militärische, nationale Sicherheits-, Forschungs- und nicht-professionelle Zwecke. Es klassifiziert nicht ausgenommene Anwendungen nach dem Schadensrisiko in vier Stufen - inakzeptabel, hoch, begrenzt, minimal - plus eine separate Kategorie für allgemeine KI. Der Rahmen folgt einem Produktsicherheitsmodell und weist Anbietern und Betreibern regulatorische Pflichten zu, die mit den potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte zunehmen.
Ursprünge und Gesetzgebungsgeschichte
Die Europäische Kommission schlug das KI-Gesetz am 21. April 2021 vor. Der Entwurf wurde überarbeitet, um dem rasanten Aufstieg von generativen KI-Systemen wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den ursprünglichen risikobasierten Rahmen passten. Das Europäische Parlament verabschiedete das Gesetz am 13. März 2024, und der EU-Rat stimmte ihm am 21. Mai 2024 einstimmig zu. Die Verordnung trat am 1. August 2024 in Kraft.
Während des Gesetzgebungsprozesses konsultierten die politischen Entscheidungsträger Interessengruppen und stützten sich auf bestehende Forschung, wie in einer Bewertung des Europäischen Parlamentarischen Forschungsdienstes vermerkt. Die Einführung einer eigenen Kategorie für allgemeine KI im Jahr 2023 spiegelte den wachsenden Einfluss von großen Sprachmodellen und ihre weit verbreitete Bereitstellung wider.
Risikokategorien
Das Gesetz definiert vier primäre Risikokategorien plus eine eigene Kategorie für allgemeine KI:
Inakzeptables Risiko - Anwendungen in dieser Kategorie sind verboten, mit spezifischen Ausnahmen. Die Verbote umfassen KI, die menschliches Verhalten manipuliert, Echtzeit-Biometrie-Fernidentifizierung (wie Gesichtserkennung) im öffentlichen Raum und Social Scoring, das Personen anhand persönlicher Merkmale, des sozioökonomischen Status oder des Verhaltens einstuft.
Hohes Risiko - Anwendungen, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, einschließlich KI im Gesundheitswesen, Bildungswesen, bei der Personalbeschaffung, in kritischer Infrastruktur, Strafverfolgung oder Justiz. Diese Systeme müssen Qualitäts-, Transparenz-, menschliche Aufsichts- und Sicherheitspflichten erfüllen. Einige erfordern vor der Bereitstellung eine Folgenabschätzung für Grundrechte. Hochrisikosysteme durchlaufen Konformitätsbewertungen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus. Die Liste der Hochrisikoanwendungen kann ohne Änderung des Gesetzes selbst erweitert werden. Die Bürger haben das Recht, Beschwerden einzureichen und Erklärungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Begrenztes Risiko - Systeme mit ausschließlich Transparenzpflichten, die sicherstellen, dass die Nutzer wissen, dass sie mit KI interagieren. Dies umfasst Werkzeuge, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes.
Minimales Risiko - Systeme wie Videospiele oder Spamfilter. Diese sind nicht reguliert, und die Mitgliedstaaten können aufgrund der Regeln zur maximalen Harmonisierung keine zusätzlichen Anforderungen auferlegen. Ein freiwilliger Verhaltenskodex wird empfohlen.
Pflichten für allgemeine KI
Die Kategorie der allgemeinen KI, die 2023 hinzugefügt wurde, umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen. Entwickler von Open-Source-Modellen müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle unterliegen umfassenderen Transparenzanforderungen. Hochwirkungsvolle Modelle, die mehr als 10^25 Gleitkommaoperationen zum Training benötigen, müssen zusätzliche Bewertungen und adversariale Tests durchlaufen, Risiken wie Verzerrung und Sicherheitsfehler bewerten, schwerwiegende Vorfälle melden und Cybersicherheit gewährleisten.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht und Sicherheit. Die Teilnahme ist freiwillig. Alle Anbieter von allgemeinen KI-Modellen müssen Zusammenfassungen der Trainingsdaten veröffentlichen, Richtlinien zur Urheberrechtskonformität annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen.
Ausnahmen und Extraterritorialität
Die Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie reine wissenschaftliche Forschung und Entwicklung. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Durchsetzung und Governance
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung zu gewährleisten. Die Mitgliedstaaten benennen Aufsichtsbehörden zur Überwachung der Umsetzung. Der risikobasierte Ansatz stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Anwendungen leichtere Ansätze ermöglicht werden.
Breiterer Kontext
Rechtswissenschaftler argumentieren, dass das Gesetz "vertrauenswürdige KI" als Systeme definiert, die die Einhaltung von Sicherheits- und Risikoschwellen nachweisen. Die extraterritoriale Reichweite und die umfassenden Risikokategorien machen es zu einem Maßstab für die KI-Regulierung weltweit und beeinflussen Debatten in anderen Rechtsordnungen über das Gleichgewicht zwischen Innovation und dem Schutz der Grundrechte.