Die EU-KI-Verordnung-Änderungen bezeichnen die Reihe von Änderungen, die am vorgeschlagenen Gesetz über künstliche Intelligenz (KI-Verordnung) der Europäischen Union zwischen seinem ursprünglichen Vorschlag und seiner endgültigen Annahme vorgenommen wurden. Der von der Europäischen Kommission am 21. April 2021 vorgeschlagene Verordnungsentwurf zielte darauf ab, einen gemeinsamen Regulierungs- und Rechtsrahmen für KI in der gesamten EU zu schaffen. Der rasche Aufstieg von generativen KI-Systemen wie ChatGPT, deren Allzweckfähigkeiten nicht in den ursprünglichen risikobasierten Rahmen passten, führte jedoch während des Gesetzgebungsverfahrens zu erheblichen Überarbeitungen. Diese 2023 hinzugefügten Änderungen führten eine eigene Kategorie für allgemeine KI ein und passten die Transparenz- und Bewertungspflichten entsprechend an. Der endgültige Text wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig gebilligt; er trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise in Kraft traten.
Die Änderungen spiegelten eine breitere Verschiebung in der Regulierungsdebatte wider, da die Gesetzgeber erkannten, dass traditionelle Produktsicherheitsmodelle für KI-Systeme, die für unzählige Zwecke angepasst werden können, unzureichend waren. Der ursprüngliche, 2021 ausgearbeitete Vorschlag hatte sich auf feste Risikokategorien für bestimmte Anwendungen konzentriert, aber das Aufkommen von Foundation-Modellen und großen Sprachmodellen wie denen von OpenAI und Anthropic erforderte einen flexibleren Ansatz. Die überarbeitete Verordnung führte eine horizontale Ebene von Pflichten für allgemeine KI-Modelle ein, die die vertikalen risikobasierten Pflichten für bestimmte Anwendungen ergänzte. Diese duale Struktur sollte sowohl die potenziellen Schäden einzelner KI-Nutzungen als auch die systemischen Risiken hochleistungsfähiger, multifunktionaler Modelle adressieren.
Risikokategorien
Die KI-Verordnung klassifiziert nicht ausgenommene KI-Anwendungen in vier Risikostufen - inakzeptabel, hoch, begrenzt und minimal - mit einer zusätzlichen Kategorie für allgemeine KI. Dieses risikobasierte Schema folgt einem Produktsicherheitsmodell, bei dem die regulatorischen Pflichten für Anbieter und Betreiber mit den potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte zunehmen.
Inakzeptables Risiko: Anwendungen in dieser Kategorie sind verboten, mit Ausnahme bestimmter Ausnahmen. Dazu gehören KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum und Social-Scoring-Systeme, die Personen anhand persönlicher Merkmale oder Verhaltensweisen einstufen. Diese Verbote spiegeln Bedenken hinsichtlich Grundrechten und demokratischer Werte wider.
Hohes Risiko: KI-Systeme, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, fallen hierunter, einschließlich solcher, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, in kritischer Infrastruktur, bei der Strafverfolgung oder in der Justiz eingesetzt werden. Sie müssen Sicherheits-, Transparenz- und Qualitätsanforderungen erfüllen, Konformitätsbewertungen durchlaufen und in einigen Fällen eine Folgenabschätzung für Grundrechte (FRIA) vor der Bereitstellung durchführen. Die Liste der Hochrisikoanwendungen kann im Laufe der Zeit erweitert werden, ohne das Gesetz selbst zu ändern, was Anpassungsfähigkeit ermöglicht.
Begrenztes Risiko: Diese Systeme unterliegen Transparenzpflichten, um sicherzustellen, dass die Nutzer wissen, dass sie mit KI interagieren. Diese Kategorie umfasst Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie z. B. Deepfakes. Die Nutzer müssen informiert werden, um bewusste Entscheidungen treffen zu können.
Minimales Risiko: Die meisten KI-Anwendungen, wie Videospiele oder Spamfilter, fallen in diese Kategorie. Sie sind nicht reguliert, und die Mitgliedstaaten können aufgrund der Maximalharmonisierung keine zusätzlichen Vorschriften erlassen. Für diese Systeme wird ein freiwilliger Verhaltenskodex empfohlen.
Kategorie für allgemeine KI
Die bedeutendste Änderung am ursprünglichen Vorschlag war die Hinzufügung einer eigenen Kategorie für allgemeine KI im Jahr 2023. Diese Kategorie umfasst Foundation-Modelle wie ChatGPT, die eine breite Palette von Aufgaben ausführen können. Die Änderungen führten Transparenzanforderungen für alle Anbieter allgemeiner KI ein, mit reduzierten Pflichten für Open-Source-Modelle. Für Closed-Source-Modelle gelten umfassendere Transparenzregeln, einschließlich der Veröffentlichung einer Zusammenfassung der Trainingsdaten und einer Urheberrechtsrichtlinie. Hochwirksame Modelle, die systemische Risiken darstellen - definiert als solche, die mehr als 10^25 Gleitkommaoperationen zum Trainieren erfordern - müssen zusätzlichen Bewertungen unterzogen werden. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung der Vorschriften zu erleichtern, wobei die Teilnahme freiwillig ist.
Die Änderungen legten auch eine gemeinsame Liste von Pflichten für Anbieter allgemeiner KI fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts verabschieden und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Für Modelle, die als systemisches Risiko eingestuft werden, kommen zusätzliche Pflichten hinzu, darunter Modellevaluierungen, adversarische Tests, Risikobewertung und -minderung (wie Voreingenommenheit und Sicherheitsfehler), die Meldung schwerwiegender Vorfälle und die Gewährleistung angemessener Cybersicherheit. Diese Bestimmungen wurden durch die wachsenden Fähigkeiten von Modellen beeinflusst, die von Unternehmen wie Google DeepMind und der Forschung aus der Xerox-PARC-Ära entwickelt wurden, obwohl sich das Gesetz selbst auf die Bereitstellung und nicht auf die Forschung konzentriert.
Ausnahmen
Die Artikel 2.3 und 2.6 nehmen KI-Systeme, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie reine wissenschaftliche Forschung und Entwicklung von der KI-Verordnung aus. Auch die nichtberufliche Nutzung ist ausgenommen. Dies bedeutet, dass forschungsorientierte KI-Systeme, wie sie in akademischen Labors wie MIT CSAIL oder Berkeley AI Research entwickelt werden, unter dem Gesetz nicht reguliert sind, wenn sie ausschließlich für Forschungszwecke verwendet werden. Wenn solche Systeme jedoch später kommerziell eingesetzt werden, fallen sie in den Anwendungsbereich. Die Ausnahme für militärische Anwendungen spiegelt nationale Sicherheitsvorrechte wider, obwohl der Einsatz von KI in der zivilen Strafverfolgung weiterhin Hochrisikopflichten unterliegt.
Das Gesetz erlaubt auch eine extraterritoriale Anwendung, ähnlich der Datenschutz-Grundverordnung der EU. Anbieter von außerhalb der EU unterliegen der Verordnung, wenn sie Nutzer innerhalb der EU haben, was ein level playing field gewährleistet und EU-Bürger schützt.
Institutioneller Rahmen
Die Änderungen führten die EU-KI-Behörde ein, ein Europäisches Gremium für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und eine einheitliche Einhaltung der Vorschriften in den Mitgliedstaaten sicherzustellen. Das Gremium erleichtert die Koordinierung zwischen nationalen Aufsichtsbehörden und bietet Leitlinien zur Anwendung des Gesetzes. Dieser institutionelle Mechanismus wurde während des Gesetzgebungsverfahrens hinzugefügt, um den Bedarf an harmonisierter Durchsetzung in einem digitalen Binnenmarkt zu decken.
Gesetzgebungsverfahren
Das Änderungsverfahren war iterativ. Nach dem Vorschlag der Kommission von 2021 verhandelten das Europäische Parlament und der Rat über Änderungen. Der Aufstieg generativer KI, insbesondere die Einführung von ChatGPT Ende 2022, beschleunigte die Notwendigkeit einer Überarbeitung. Die Verhandlungen gipfelten Ende 2023 in einer politischen Einigung, wobei das Parlament den endgültigen Text am 13. März 2024 und der Rat am 21. Mai 2024 annahm. Die Änderungen waren entscheidend, um das Gesetz zukunftssicher zu machen, da sie die Einstufung allgemeiner Modelle ermöglichen, ohne die primäre Gesetzgebung neu zu öffnen.
Umsetzungszeitplan
Das Gesetz trat am 1. August 2024 in Kraft, wobei die Bestimmungen über 6 bis 36 Monate schrittweise eingeführt werden. Diese schrittweise Umsetzung gibt Anbietern und Behörden Zeit, sich anzupassen. Die risikobasierten Pflichten gelten zu unterschiedlichen Zeitpunkten, wobei Verbote für inakzeptable Risiken zuerst in Kraft treten, gefolgt von Hochrisikopflichten und Anforderungen für allgemeine KI. Dieser Zeitplan war eine wichtige Änderung, um Innovation und Schutz in Einklang zu bringen.
Auswirkungen
Die EU-KI-Verordnung-Änderungen stellen einen Meilenstein in der KI-Regulierung dar. Durch die Integration generativer KI setzt das Gesetz einen Präzedenzfall für andere Rechtsordnungen. Sein risikobasierter Ansatz, kombiniert mit der Aufsicht über allgemeine KI, zielt darauf ab, Vertrauen zu fördern und gleichzeitig Innovation zu ermöglichen. Ab 2025 wird das Gesetz in der gesamten EU umgesetzt, wobei die EU-KI-Behörde die Bemühungen koordiniert. Die Änderungen spiegeln ein dynamisches Regulierungsumfeld wider, das versucht, mit den rasanten technologischen Fortschritten bei Deep Learning, Large Language Models und Transformer-Architekturen Schritt zu halten.