Das Gesetz über künstliche Intelligenz (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz in der gesamten EU schafft. Es trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise in Kraft traten. Das Gesetz erfasst die meisten KI-Systeme in einer Vielzahl von Sektoren, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, die nationale Sicherheit, Forschungszwecke oder die nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung begründet es keine individuellen Rechte; vielmehr auferlegt es Pflichten für KI-Anbieter und für Organisationen, die KI im beruflichen Kontext einsetzen.
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, einen Schaden zu verursachen, mit vier Stufen - unannehmbar, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit unannehmbarem Risiko sind verboten. Anwendungen mit hohem Risiko müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko haben nur Transparenzpflichten. Anwendungen mit minimalem Risiko sind nicht reguliert. Für allgemeine KI werden Transparenzanforderungen auferlegt, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Modelle mit hoher Leistungsfähigkeit. Das Gesetz schafft außerdem ein Europäisches Gremium für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung der Verordnung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Vorschlag und Gesetzgebungsweg
Die Europäische Kommission schlug das KI-Gesetz am 21. April 2021 vor. Der Entwurf sollte die Regeln für KI-Systeme im Binnenmarkt harmonisieren, einem risikobasierten Ansatz folgend, der der bestehenden Produktsicherheitsgesetzgebung ähnelt. Der ursprüngliche Vorschlag konzentrierte sich auf traditionelle Systeme des maschinellen Lernens und des Deep Learning und kategorisierte sie nach ihrem Potenzial, Schaden zu verursachen.
Während des Gesetzgebungsprozesses führte der Aufstieg generativer KI-Systeme wie ChatGPT zu erheblichen Überarbeitungen. Der ursprüngliche Rahmen berücksichtigte nicht angemessen allgemeine Modelle, die eine breite Palette von Aufgaben in verschiedenen Sektoren ausführen konnten. Im Jahr 2023 wurde der Entwurf überarbeitet, um eine eigene Kategorie für allgemeine KI aufzunehmen, die Fundamentmodelle und große Sprachmodelle abdeckt. Diese Überarbeitung erkannte an, dass Systeme wie ChatGPT und andere große Sprachmodelle eine andere regulatorische Behandlung erforderten als engere Anwendungen.
Parlamentarische Zustimmung und Annahme durch den Rat
Das Europäische Parlament verabschiedete das KI-Gesetz am 13. März 2024, nach umfangreichen Verhandlungen und Änderungen. Die Version des Parlaments stärkte die Bestimmungen zu Grundrechten, fügte Anforderungen für Folgenabschätzungen zu Grundrechten für Systeme mit hohem Risiko hinzu und erweiterte die Transparenzpflichten für generative KI. Der EU-Rat genehmigte den endgültigen Text am 21. Mai 2024 einstimmig und schloss damit das Gesetzgebungsverfahren ab.
Die endgültige Verordnung wurde im Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht, mit Inkrafttreten am 1. August 2024. Der gestaffelte Umsetzungszeitplan bedeutet, dass verschiedene Pflichten zu unterschiedlichen Zeitpunkten gelten, wobei Verbote für Anwendungen mit unannehmbarem Risiko früher in Kraft treten als Anforderungen für Systeme mit hohem Risiko.
Risikokategorien im Detail
Das Gesetz legt vier primäre Risikokategorien plus eine separate Kategorie für allgemeine KI fest. Anwendungen mit unannehmbarem Risiko sind vollständig verboten, mit spezifischen Ausnahmen. Dazu gehört KI, die menschliches Verhalten manipuliert, Echtzeit-Biometrie-Fernidentifizierung im öffentlichen Raum und Social-Scoring-Systeme, die Personen anhand persönlicher Merkmale oder Verhaltensweisen einstufen.
Anwendungen mit hohem Risiko sind solche, von denen erwartet wird, dass sie eine erhebliche Bedrohung für Gesundheit, Sicherheit oder Grundrechte darstellen. Dazu gehören KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung und im Justizwesen eingesetzt werden. Diese Systeme müssen Qualitäts-, Transparenz-, Human- und Sicherheitspflichten erfüllen. Einige erfordern vor der Bereitstellung eine Folgenabschätzung zu Grundrechten, eine Ex-ante-Überprüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte. Systeme mit hohem Risiko müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste der Anwendungen mit hohem Risiko kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von KI mit hohem Risiko zu erhalten, die ihre Rechte betreffen.
Systeme mit begrenztem Risiko haben Transparenzpflichten, um sicherzustellen, dass Nutzer wissen, dass sie mit KI interagieren und fundierte Entscheidungen treffen können. Diese Kategorie umfasst Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes. Systeme mit minimalem Risiko, einschließlich Videospiel-KI und Spam-Filtern, sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Harmonisierungsvorschriften keine zusätzlichen Vorschriften auferlegen.
Bestimmungen zu allgemeiner KI
Die 2023 hinzugefügte Kategorie für allgemeine KI umfasst Fundamentmodelle, die eine breite Palette von Aufgaben ausführen können, einschließlich generativer KI-Systeme. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen. Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen, definiert als solche, die mehr als 1025 Gleitkommaoperationen zum Trainieren erfordern, müssen zusätzlichen Bewertungen unterzogen werden.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung nachzuweisen. Die Teilnahme am Kodex ist freiwillig. Über die grundlegenden Transparenzpflichten hinaus legt das Gesetz eine gemeinsame Liste von Pflichten für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechts-Compliance-Richtlinie annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko eingestuft werden, müssen außerdem Modellbewertungen und Adversarial-Tests durchführen, Risiken wie Verzerrung und Sicherheitsfehler bewerten und mindern, über schwerwiegende Vorfälle berichten und eine angemessene Cybersicherheit gewährleisten.
Ausnahmen und Anwendungsbereich
Die Artikel 2.3 und 2.6 nehmen KI-Systeme, die für militärische Zwecke oder die nationale Sicherheit oder für reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz aus. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für wissenschaftliche Forschung entwickelt und in Betrieb genommen werden. Diese Ausnahme erkennt die Notwendigkeit an, Innovation mit Regulierung in Einklang zu bringen und gleichzeitig die Kontrolle der Mitgliedstaaten über Sicherheitsfragen zu wahren.
Umsetzung und Durchsetzung
Das Gesetz schafft ein Europäisches Gremium für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung sicherzustellen. Das Europäische KI-Gremium koordiniert die Aufsichtsbehörden in den Mitgliedstaaten, ähnlich der Governance-Struktur, die durch die Datenschutz-Grundverordnung geschaffen wurde. Der gestaffelte Umsetzungszeitplan ist im Durchsetzungszeitplan detailliert beschrieben, wobei verschiedene Pflichten 6, 12, 24 und 36 Monate nach Inkrafttreten aktiviert werden.
Der extraterritoriale Geltungsbereich bedeutet, dass Anbieter von außerhalb der EU die Vorschriften einhalten müssen, wenn sie Nutzer innerhalb der EU haben. Dies spiegelt den Ansatz der DSGVO wider und hat erhebliche Auswirkungen auf globale KI-Entwickler, einschließlich derer in den USA, China und anderen großen KI-Märkten. Der risikobasierte Rahmen des Gesetzes folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten Anbietern und Betreibern zugewiesen werden, wobei die Pflichten mit zunehmender potenzieller Auswirkung auf Gesundheit, Sicherheit oder Grundrechte anspruchsvoller werden.
Breiterer Kontext und Auswirkungen
Das KI-Gesetz stellt einen der ersten umfassenden Versuche dar, künstliche Intelligenz auf regionaler Ebene zu regulieren. Seine Entwicklung verlief parallel zu rasanten Fortschritten bei maschinellem Lernen und Deep Learning-Technologien, einschließlich der Transformer-Architektur, die modernen großen Sprachmodellen zugrunde liegt. Der Gesetzgebungszeitplan spiegelt die Herausforderung wider, ein sich schnell bewegendes Feld zu regulieren, wobei die Überarbeitungen von 2023 auf das explosive Wachstum generativer KI-Tools reagierten.
Der Ansatz des Gesetzes hat Diskussionen in anderen Rechtsordnungen beeinflusst, obwohl seine volle Auswirkung noch abzuwarten ist, während die Umsetzung fortschreitet. Der Wissenschaftliche Dienst des Europäischen Parlaments lieferte eine erste Bewertung der Folgenabschätzung der Kommission, die auf Konsultationen von Interessengruppen und bestehender Forschung beim Vergleich politischer Optionen basierte. Rechtswissenschaftler haben festgestellt, dass das Gesetz „vertrauenswürdige KI“ als Systeme definiert, die die Einhaltung von Sicherheits- und Risikoschwellen nachweisen können, und damit einen compliance-orientierten Ansatz für die KI-Governance etabliert.
Der gestaffelte Rollout gibt Organisationen Zeit zur Anpassung, aber die Komplexität der Anforderungen, insbesondere für KI mit hohem Risiko und allgemeine KI, hat erhebliche Compliance-Aktivitäten im Technologiesektor ausgelöst. Zum Zeitpunkt des Inkrafttretens des Gesetzes entfalten sich die vollständigen operativen Konsequenzen für KI-Entwickler, -Betreiber und -Nutzer in der EU und darüber hinaus weiter.