Der EU AI Act (Verordnung (EU) 2024/1689) ist ein umfassender Rechtsrahmen für künstliche Intelligenz, der 2024 von der Europäischen Union verabschiedet wurde. Er etabliert ein risikobasiertes Klassifizierungssystem für KI-Systeme und legt unterschiedliche Pflichten fest, abhängig vom Risiko, das sie für Gesundheit, Sicherheit und Grundrechte darstellen. Statt als ein einzelner Block in Kraft zu treten, werden die Bestimmungen des Gesetzes zeitlich gestaffelt angewendet, wobei verschiedene Anforderungen zwischen Februar 2025 und August 2027 zu unterschiedlichen Terminen verbindlich werden. Dieser gestufte Ansatz soll Anbietern, Bereitstellern und nationalen Behörden Zeit geben, sich an die neuen Regeln anzupassen, während die dringlichsten Verbote und Governance-Strukturen priorisiert werden.
Das Gesetz gilt sowohl für Anbieter (diejenigen, die KI-Systeme entwickeln) als auch für Bereitsteller (diejenigen, die sie beruflich nutzen), unabhängig davon, ob sie in der EU ansässig sind, solange das KI-System auf dem EU-Markt platziert wird oder seine Ausgabe innerhalb der EU verwendet wird. Es deckt eine breite Palette von KI-Technologien ab, darunter maschinelles Lernen-Modelle, große Sprachmodelle und generative KI-Systeme, schließt jedoch bestimmte Bereiche wie nationale Sicherheit und militärische Zwecke aus.
Inkrafttreten und erste Bestimmungen
Der AI Act wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat zwanzig Tage später, am 1. August 2024, in Kraft. Die erste Reihe verbindlicher Pflichten begann jedoch erst am 2. Februar 2025. Diese erste Phase konzentrierte sich auf die Bestimmungen, die als am dringendsten angesehen wurden: die Verbote für KI-Praktiken mit inakzeptablem Risiko und die Regeln zur KI-Kompetenz.
Ab dem 2. Februar 2025 wurden die folgenden Bestimmungen anwendbar:
- Verbotene Praktiken gemäß Artikel 5, die KI-Systeme verbieten, die subliminale Techniken einsetzen, um Verhalten zu verzerren, Schwachstellen bestimmter Gruppen (wie Kinder oder Personen mit Behinderungen) ausnutzen, Personen auf der Grundlage ihres Sozialverhaltens bewerten oder klassifizieren (Social Scoring), Echtzeit-Fernbiometrie in öffentlich zugänglichen Räumen für Strafverfolgungszwecke verwenden (mit engen Ausnahmen) und Straftaten oder Verwaltungsdelikte ausschließlich auf der Grundlage von Profiling vorhersagen.
- KI-Kompetenz-Pflichten gemäß Artikel 4, die Anbieter und Bereitsteller verpflichten, sicherzustellen, dass ihre Mitarbeiter und andere Personen, die am Betrieb von KI-Systemen beteiligt sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, unter Berücksichtigung ihres technischen Wissens, ihrer Erfahrung, Bildung und Ausbildung.
- Die Einrichtung des Europäischen KI-Amts innerhalb der Europäischen Kommission, das als zentrale Durchsetzungs- und Koordinierungsstelle dient.
Allgemeine KI-Modelle (August 2025)
Der zweite große Meilenstein war der 2. August 2025, als die Pflichten für Anbieter allgemeiner KI-Modelle (GPAI-Modelle) in Kraft traten. Ein GPAI-Modell ist definiert als ein KI-Modell, einschließlich solcher, die mit groß angelegter Selbstüberwachung trainiert wurden, das in der Lage ist, kompetent eine breite Palette unterschiedlicher Aufgaben auszuführen. Diese Kategorie umfasst die meisten Basismodelle und große Sprachmodelle wie die von OpenAI, Anthropic und Google DeepMind entwickelten.
Nach diesen Regeln müssen Anbieter von GPAI-Modellen:
- Aktuelle technische Dokumentation führen, einschließlich Beschreibungen der Trainingsdaten, Modellarchitektur und Bewertungsergebnisse.
- Informationen und Dokumentation an nachgelagerte Anbieter bereitstellen, die das Modell in ihre eigenen KI-Systeme integrieren.
- Eine Urheberrechtspolitik etablieren, die das EU-Urheberrecht respektiert, insbesondere in Bezug auf Text- und Data Mining.
- Eine ausreichend detaillierte Zusammenfassung des Trainingsinhalts veröffentlichen.
Für GPAI-Modelle, die ein systemisches Risiko darstellen - definiert als Modelle, die mit einer kumulativen Rechenleistung von mehr als 10^25 Gleitkommaoperationen (FLOPs) trainiert wurden - gelten zusätzliche Pflichten. Dazu gehören die Durchführung von Modellbewertungen, adversarische Tests und die Meldung schwerwiegender Vorfälle an das Europäische KI-Amt. Die Kommission kann ein Modell auch dann als systemisches Risiko einstufen, wenn es unter der Rechenschwelle liegt, basierend auf seinen Fähigkeiten oder seiner Auswirkung.
Hochrisikosysteme und Governance (August 2026)
Die umfangreichste Reihe von Pflichten wurde am 2. August 2026 anwendbar. Dieses Datum umfasst die Anforderungen für Hochrisiko-KI-Systeme gemäß Artikel 6 und den Anhängen I und III des Gesetzes. Hochrisikosysteme umfassen KI, die in kritischer Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalverwaltung, wesentlichen privaten und öffentlichen Diensten, Strafverfolgung, Migrations- und Asylverwaltung sowie Justizverwaltung eingesetzt wird.
Ab diesem Datum müssen Anbieter von Hochrisiko-KI-Systemen eine umfassende Reihe von Anforderungen erfüllen:
- Ein Risikomanagementsystem einrichten, das während des gesamten Lebenszyklus des Systems läuft.
- Trainings-, Validierungs- und Testdaten verwenden, die relevant, repräsentativ und frei von Fehlern und Verzerrungen sind.
- Technische Dokumentation erstellen, die die Konformität nachweist.
- Automatische Protokollierung von Ereignissen ermöglichen, um die Rückverfolgbarkeit zu gewährleisten.
- Transparenz für Bereitsteller bieten, einschließlich Gebrauchsanweisungen.
- Menschliche Aufsicht-Maßnahmen implementieren.
- Robustheit, Genauigkeit und Cybersicherheit sicherstellen.
Darüber hinaus wird ab dem 2. August 2026 der Governance-Rahmen vollständig operativ. Dies umfasst die Anforderung, dass die Mitgliedstaaten nationale zuständige Behörden benennen und benannte Stellen einrichten, die für Konformitätsbewertungen verantwortlich sind. Das Europäische Gremium für künstliche Intelligenz, das aus Vertretern der Mitgliedstaaten besteht, wird ebenfalls vollständig aktiv.
Transparenzpflichten für Systeme mit begrenztem Risiko (August 2026)
Ebenfalls am 2. August 2026 treten Transparenzpflichten für KI-Systeme mit begrenztem Risiko in Kraft. Diese gelten für KI-Systeme, die mit Menschen interagieren, wie Chatbots, und für Systeme, die Inhalte generieren oder manipulieren (Deepfakes). Anbieter müssen sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus den Umständen offensichtlich. Von KI generierte oder manipulierte Inhalte müssen in einem maschinenlesbaren Format gekennzeichnet werden, um ihren künstlichen Ursprung anzuzeigen. Dies umfasst Deepfakes und KI-generierten Text, Audio oder Video.
Hochrisikosysteme in Anhang I (August 2027)
Das letzte große Anwendungsdatum ist der 2. August 2027. Dies betrifft Hochrisiko-KI-Systeme, die Sicherheitskomponenten von Produkten oder Systemen sind, die bereits bestehenden EU-Produktsicherheitsvorschriften unterliegen, wie Maschinen, Spielzeug, Medizinprodukte und Fahrzeuge. Diese Systeme müssen dieselben Hochrisiko-Anforderungen wie die in Anhang III erfüllen, aber die Anwendung wurde verzögert, um Herstellern die Möglichkeit zu geben, sich an die relevante sektorale Gesetzgebung anzupassen. Das Gesetz verlangt auch, dass die Kommission die technische Dokumentation und die Konformitätsbewertungsverfahren für diese Produkte aktualisiert.
Überwachung nach dem Inverkehrbringen und Durchsetzung
Ab dem 2. August 2026 müssen Anbieter von Hochrisiko-KI-Systemen auch ein System zur Überwachung nach dem Inverkehrbringen einrichten, um aktiv Daten über die Leistung ihrer Systeme während ihrer gesamten Lebensdauer zu sammeln und zu analysieren. Dieses System muss dokumentiert und den zuständigen Behörden gemeldet werden. Das Gesetz führt auch ein Verfahren für den Umgang mit schwerwiegenden Vorfällen und Fehlfunktionen ein, die zu Risiken für Gesundheit, Sicherheit oder Grundrechte führen können.
Die Durchsetzung erfolgt durch nationale Marktüberwachungsbehörden, die vom Europäischen KI-Amt koordiniert werden. Die Strafen bei Nichteinhaltung sind erheblich: bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes eines Unternehmens für Verstöße gegen verbotene Praktiken, bis zu 15 Millionen Euro oder 3 % des Umsatzes für Verstöße gegen die meisten anderen Pflichten und bis zu 7,5 Millionen Euro oder 1,5 % des Umsatzes für die Übermittlung falscher Informationen an Behörden. Für kleine und mittlere Unternehmen (KMU) und Start-ups sind diese Geldbußen auf den niedrigeren der beiden Beträge begrenzt.
Verhaltenskodizes und Normen
Zur Unterstützung der Umsetzung hat das Europäische KI-Amt die Entwicklung eines Verhaltenskodex für Anbieter allgemeiner KI erleichtert, der 2025 finalisiert wurde. Dieser Kodex übersetzt die rechtlichen Pflichten in praktische Verpflichtungen und deckt Bereiche wie Transparenz, Urheberrecht und Management systemischer Risiken ab. Anbieter, die den Kodex einhalten, gelten als konform mit den Anforderungen des Gesetzes.
Das Gesetz stützt sich auch stark auf harmonisierte technische Normen, die von europäischen Normungsorganisationen (CEN, CENELEC und ETSI) entwickelt werden. Diese Normen, die bis 2025 und 2026 ausgearbeitet werden, werden technische Spezifikationen für Konformitätsbewertung, Risikomanagement und Datenqualität bereitstellen. Bis zur Veröffentlichung dieser Normen dürfen Anbieter alternative Methoden verwenden, müssen jedoch die Konformität auf andere Weise nachweisen.
Auswirkungen auf die KI-Branche
Die gestaffelten Anwendungsdaten haben erhebliche Auswirkungen auf Unternehmen, die KI-Systeme entwickeln und einsetzen. Anbieter von GPAI-Modellen, einschließlich großer Labore wie OpenAI, Anthropic und Google DeepMind, mussten sich auf die August-2025-Frist vorbereiten, die erhebliche Dokumentations- und Transparenzbemühungen erforderte. Viele Unternehmen haben interne Compliance-Teams eingerichtet und Werkzeuge entwickelt, um Trainingsdaten und Modellverhalten zu verfolgen.
Für Hochrisiko-KI-Anwendungen geben die Fristen von August 2026 und August 2027 Entwicklern mehr Zeit, erfordern aber auch frühzeitige Planung. Unternehmen in Sektoren wie Gesundheitswesen (z. B. Intuitive Surgical), autonomes Fahren (z. B. Waymo, Tesla) und Finanzdienstleistungen müssen Konformitätsbewertungen durchführen, die oft Dritte benannte Stellen einbeziehen. Das Gesetz betrifft auch Cloud-Dienstanbieter wie Amazon Web Services, Microsoft Azure und Google Cloud, die KI-Plattformen anbieten und je nach Rolle als Bereitsteller oder Anbieter betrachtet werden können.
Das Gesetz hat auch die globale KI-Governance beeinflusst, da andere Rechtsordnungen die EU als Regulierungsmodell betrachten. Die Komplexität des gestaffelten Zeitplans wurde jedoch kritisiert, wobei einige Branchengruppen argumentieren, dass der gestufte Ansatz Unsicherheit und Compliance-Belastungen schafft. Die Europäische Kommission hat darauf reagiert, indem sie Leitfäden veröffentlicht und einen Konsultationsprozess mit Interessengruppen eingerichtet hat, um mehrdeutige Bestimmungen zu klären.
Zukünftige Entwicklungen
Stand 2025 arbeitet die Europäische Kommission an zusätzlichen Durchführungsrechtsakten und Leitlinien, insbesondere zur Definition systemischer Risiken, zur Interaktion mit bestehender sektoraler Gesetzgebung und zur praktischen Anwendung von Transparenzanforderungen. Die Kommission plant außerdem, die Liste der verbotenen Praktiken und Hochrisikobereiche des Gesetzes bis 2027 zu überprüfen, mit der Möglichkeit, den Anwendungsbereich auf neue KI-Anwendungen auszudehnen. Die vollständigen Auswirkungen des AI Act werden erst deutlich, wenn die verschiedenen Anwendungsdaten verstrichen sind und Durchsetzungsmaßnahmen beginnen.