Der Artificial Intelligence Act (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen regulatorischen und rechtlichen Rahmen für künstliche Intelligenz in der EU schafft. Er trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate anwendbar werden. Der Act deckt die meisten KI-Systeme in allen Sektoren ab und nimmt solche aus, die ausschließlich für militärische, nationale Sicherheits-, Forschungs- oder nicht-professionelle Zwecke genutzt werden. Als Produktregulierung schafft er keine individuellen Rechte, sondern legt Pflichten für KI-Anbieter und professionelle Nutzer fest.
Die Verordnung klassifiziert nicht ausgenommene KI-Anwendungen nach Schadensrisiko in vier Stufen - inakzeptabel, hoch, begrenzt, minimal - plus eine separate Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind verboten; solche mit hohem Risiko müssen Sicherheits-, Transparenz- und Qualitätsauflagen erfüllen und Konformitätsbewertungen durchlaufen; Anwendungen mit begrenztem Risiko unterliegen nur Transparenzpflichten; solche mit minimalem Risiko sind nicht reguliert. Für allgemeine KI gelten Transparenzanforderungen, mit reduzierten Pflichten für Open-Source-Modelle und zusätzlichen Bewertungen für Systeme mit hoher Leistungsfähigkeit. Der Act richtet außerdem ein Europäisches Gremium für künstliche Intelligenz ein, um die nationale Zusammenarbeit und Einhaltung zu fördern. Wie die Datenschutz-Grundverordnung der EU kann er extraterritorial auf Anbieter außerhalb der EU angewendet werden, deren Nutzer innerhalb der EU liegen.
Die Europäische Kommission schlug den Act am 21. April 2021 vor. Er wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig genehmigt. Der Entwurf wurde überarbeitet, um den Aufstieg von generativen KI-Systemen wie ChatGPT zu berücksichtigen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten.
Inkrafttreten und gestaffelte Anwendung
Der AI Act trat am 1. August 2024 in Kraft, zwanzig Tage nach seiner Veröffentlichung im Amtsblatt der EU. Seine Bestimmungen gelten in Stufen, um den Beteiligten Zeit zur Anpassung zu geben. Das erste wichtige Datum war der 2. Februar 2025, als Verbote für KI-Systeme mit inakzeptablem Risiko anwendbar wurden. Dies umfasste Verbote für KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie in öffentlichen Räumen nutzt (mit engen Ausnahmen) oder soziales Scoring ermöglicht.
Bis zum 2. August 2025 traten Verpflichtungen für allgemeine KI-Modelle in Kraft, einschließlich Transparenzanforderungen für Anbieter. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, umreißt Kapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung zu erleichtern; die Teilnahme ist freiwillig. Die meisten übrigen Bestimmungen, einschließlich derer für Hochrisikosysteme, werden am 2. August 2026 anwendbar. Hochrisiko-KI-Systeme, die in regulierte Produkte eingebettet sind, die bereits EU-Sektorvorschriften unterliegen, haben eine verlängerte Frist bis zum 2. August 2027. Diese gestaffelten Daten spiegeln das Ziel des Acts wider, Innovation und Aufsicht auszugleichen, wie in der Folgenabschätzung der Kommission vermerkt.
Risikokategorien und Pflichten
Das risikobasierte Schema des Acts folgt einem Produktsicherheitsmodell und weist Anbietern und Bereitstellern regulatorische Pflichten zu, die mit der potenziellen Auswirkung auf Gesundheit, Sicherheit oder Grundrechte zunehmen. Diese Struktur konzentriert die Aufsicht auf Systeme, die wahrscheinlich erhebliche Risiken erzeugen, während sie für weniger sensible Nutzungen leichtere Ansätze ermöglicht.
Inakzeptables Risiko - Anwendungen in dieser Kategorie sind verboten, außer für spezifische Ausnahmen. Dies umfasst KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie in öffentlichen Räumen und soziales Scoring. Für diese Nutzungen gelten in den meisten Fällen keine Ausnahmen.
Hohes Risiko - KI-Systeme, von denen erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte erwartet werden, fallen hierunter. Beispiele umfassen Systeme, die in Gesundheit, Bildung, Rekrutierung, kritischer Infrastrukturverwaltung, Strafverfolgung oder Justiz eingesetzt werden. Sie müssen Qualitäts-, Transparenz-, menschliche Aufsichts- und Sicherheitspflichten erfüllen. Einige erfordern eine Folgenabschätzung für Grundrechte (FRIA) vor der Bereitstellung - eine Ex-ante-Prüfung zur Identifizierung und Minderung von Auswirkungen auf Grundrechte. FRIA baut auf früheren Arbeiten zur algorithmischen Folgenabschätzung auf, die nahelegten, dass solche Instrumente betroffene Personen und Gemeinschaften identifizieren, mögliche Schäden beschreiben und eine Grundlage für öffentliche Prüfung bieten sollten. Hochrisikosysteme müssen vor dem Inverkehrbringen und während ihres gesamten Lebenszyklus bewertet werden. Die Liste der Hochrisikoanwendungen kann ohne Änderung des Acts selbst erweitert werden. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen.
Begrenztes Risiko - Diese Systeme haben Transparenzpflichten, um sicherzustellen, dass Nutzer wissen, dass sie mit KI interagieren, und fundierte Entscheidungen treffen können. Diese Kategorie umfasst KI, die Bilder, Töne oder Videos erzeugt oder manipuliert, wie Deepfakes.
Minimales Risiko - Beispiele umfassen KI in Videospielen oder Spam-Filtern. Die meisten KI-Anwendungen werden voraussichtlich hierher fallen. Diese Systeme sind nicht reguliert, und Mitgliedstaaten können aufgrund von Maximalharmonisierungsregeln keine zusätzlichen Vorschriften auferlegen. Bestehende nationale Gesetze zu solchen Systemen werden überstimmt, obwohl ein freiwilliger Verhaltenskodex vorgeschlagen wird.
Kategorie für allgemeine KI
Die 2023 hinzugefügte Kategorie für allgemeine KI umfasst Basismodelle wie große Sprachmodelle, die eine breite Palette von Aufgaben ausführen können. Wenn die Gewichte und das Design eines Modells Open Source sind, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen. Geschlossene Modelle müssen umfassendere Transparenzanforderungen erfüllen. Modelle mit hoher Auswirkung, die systemische Risiken darstellen - definiert als mehr als 10^25 Gleitkommaoperationen für das Training - müssen zusätzliche Bewertungen durchlaufen.
Anbieter allgemeiner KI-Modelle müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechts-Compliance-Richtlinie übernehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko darstellend eingestuft sind, müssen außerdem Modellbewertungen und adversariale Tests durchführen, Risiken wie Voreingenommenheit und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und angemessene Cybersicherheit gewährleisten.
Ausnahmen
Die Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung genutzt werden. Die Verordnung gilt nicht, wo KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für diese Zwecke entwickelt und in Betrieb genommen werden. Forschungs- und Entwicklungsaktivitäten fallen ebenfalls nicht in den Anwendungsbereich, ebenso wie nicht-professionelle Nutzungen. Diese Ausnahmen sind eng; kommerzielle Bereitstellungen von KI in zivilen Kontexten bleiben abgedeckt, selbst wenn sie mit militärischem oder Forschungsursprung entwickelt wurden.
Durchsetzung und Governance
Der Act schafft ein Europäisches Gremium für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung sicherzustellen. Jeder Mitgliedstaat benennt eine nationale Aufsichtsbehörde zur Überwachung der Umsetzung. Das Gremium koordiniert diese Behörden und berät die Kommission in technischen und regulatorischen Angelegenheiten. Durchsetzungsmechanismen umfassen Geldstrafen bei Nichteinhaltung, abgestuft nach Schwere des Verstoßes und Größe des Unternehmens. Die extraterritoriale Reichweite des Acts bedeutet, dass Anbieter außerhalb der EU einhalten müssen, wenn ihre KI-Systeme von Personen innerhalb der EU genutzt werden, was den Ansatz der DSGVO widerspiegelt.
Gesetzgebungsgeschichte und Kontext
Die Europäische Kommission schlug den AI Act am 21. April 2021 vor, nach umfangreichen Konsultationen mit Interessengruppen und Forschungsvergleichen, die in einer Folgenabschätzung dokumentiert wurden. Das Europäische Parlament verabschiedete ihn am 13. März 2024, und der EU-Rat genehmigte ihn am 21. Mai 2024 einstimmig. Der endgültige Text integrierte Überarbeitungen von 2023, um generative KI-Systeme wie ChatGPT zu berücksichtigen, deren allgemeine Fähigkeiten nicht in den ursprünglichen Risikorahmen passten. Dies führte zur eigenen Kategorie für allgemeine KI. Die gestaffelte Anwendung des Acts gibt Anbietern und Bereitstellern Zeit, Compliance-Maßnahmen umzusetzen, mit den ersten Verboten ab Februar 2025 und vollständiger Anwendung für die meisten Hochrisikosysteme bis August 2026.
Auswirkungen und Interpretation
Rechtswissenschaftler haben festgestellt, dass der Act "vertrauenswürdige KI" als Systeme definiert, die die Einhaltung von Sicherheits- und Risikoschwellen demonstrieren. Der risikobasierte Ansatz stützt sich auf Produktsicherheitsregulierung und weist Pflichten denen zu, die KI auf den Markt bringen, und denen, die sie professionell nutzen. Die erste Bewertung des Wissenschaftlichen Dienstes des Europäischen Parlaments lobte die Folgenabschätzung der Kommission für ihr Engagement der Interessengruppen und ihre vergleichende Politikanalyse. Mit dem Verstreichen der Anwendungsdaten werden die praktischen Auswirkungen des Acts davon abhängen, wie nationale Behörden und das Gremium seine Bestimmungen interpretieren, insbesondere für Hochrisiko- und allgemeine KI. Der freiwillige Verhaltenskodex für Systeme mit minimalem Risiko und die verbindlichen Pflichten für höhere Risikokategorien zielen darauf ab, einen harmonisierten EU-Markt für KI zu schaffen, während Grundrechte geschützt werden.