Der Rat der Europäischen Union hat am 21. Mai 2024 seine endgültige Zustimmung zum Gesetz über künstliche Intelligenz (AI Act) erteilt und damit ein Gesetzgebungsverfahren abgeschlossen, das mit dem Vorschlag der Europäischen Kommission am 21. April 2021 begann. Die einstimmige Abstimmung der Minister der Mitgliedstaaten stellte die letzte große Hürde vor dem Inkrafttreten der Verordnung dar und bereitete den Weg für den weltweit ersten umfassenden Rechtsrahmen für künstliche Intelligenz. Das Gesetz hatte zuvor am 13. März 2024 das Europäische Parlament passiert, und sein endgültiger Text enthielt erhebliche Überarbeitungen als Reaktion auf den rasanten Aufstieg von generativen KI-Systemen wie OpenAIs ChatGPT, deren allgemeine Fähigkeiten nicht in den ursprünglichen risikobasierten Rahmen passten.
Die Verordnung trat formell am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate anwendbar werden sollten. Diese gestaffelte Umsetzung sollte Unternehmen, nationalen Behörden und Anbietern von KI-Systemen ausreichend Zeit geben, sich an die neuen Verpflichtungen anzupassen. Das KI-Gesetz schafft einen gemeinsamen Regulierungs- und Rechtsrahmen für KI in allen EU-Mitgliedstaaten, der die meisten KI-Systeme in einer Vielzahl von Sektoren abdeckt, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte, sondern auferlegt Pflichten für KI-Anbieter und Organisationen, die KI in einem beruflichen Kontext einsetzen.
Risikobasierte Einstufung
Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen in vier Risikostufen - inakzeptabel, hoch, begrenzt und minimal - plus eine zusätzliche Kategorie für allgemeine KI. Dieses risikobasierte Schema folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten Anbietern und Betreibern zugewiesen werden und mit zunehmender potenzieller Auswirkung auf Gesundheit, Sicherheit oder Grundrechte anspruchsvoller werden. Die Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Nutzungen leichtere Ansätze ermöglicht werden.
Anwendungen mit inakzeptablen Risiken sind vollständig verboten, außer für spezifische Ausnahmen. Dazu gehören KI-Systeme, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum verwenden, und Social-Scoring-Systeme, die Personen anhand persönlicher Merkmale, sozioökonomischem Status oder Verhalten einstufen. Hochriskante Anwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und vor der Bereitstellung Konformitätsbewertungen durchlaufen. Dazu gehören KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden, die in einigen Fällen auch eine Folgenabschätzung für Grundrechte (FRIA) durchlaufen müssen - eine Ex-ante-Prüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte.
Anwendungen mit begrenztem Risiko haben nur Transparenzverpflichtungen, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, informierte Entscheidungen zu treffen. Diese Kategorie umfasst Werkzeuge zur Erzeugung von Deepfakes und andere Systeme, die Bilder, Ton oder Video manipulieren. Anwendungen mit minimalem Risiko, wie KI in Videospielen oder Spam-Filtern, sind nicht reguliert, und Mitgliedstaaten können aufgrund von Maximalharmonisierungsregeln keine zusätzlichen Vorschriften auferlegen. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen, wobei ein freiwilliger Verhaltenskodex für bewährte Praktiken vorgeschlagen wird.
Bestimmungen für allgemeine KI
Die 2023 hinzugefügte Kategorie für allgemeine KI befasst sich mit Basismodellen, die eine breite Palette von Aufgaben ausführen können, einschließlich großer Sprachmodelle und anderer maschineller Lernsysteme. Wenn die Gewichte und das Design eines Modells als Open Source veröffentlicht werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Modelle mit hoher Auswirkung, die systemische Risiken darstellen - definiert als Modelle, die mehr als 10^25 Gleitkommaoperationen zum Training erfordern - müssen zusätzliche Bewertungen durchlaufen, einschließlich Modellevaluierungen, adversariale Tests, Risikobewertung für Verzerrungen und Sicherheitsfehler, Meldung schwerwiegender Vorfälle und angemessene Cybersicherheitsmaßnahmen.
Über grundlegende Transparenzpflichten hinaus müssen Anbieter allgemeiner KI-Modelle eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung nachzuweisen. Die Teilnahme an dem Kodex ist freiwillig.
Ausnahmen und extraterritoriale Reichweite
Die Artikel 2.3 und 2.6 des Gesetzes nehmen KI-Systeme aus, die ausschließlich für militärische Zwecke, Verteidigung oder nationale Sicherheit verwendet werden, sowie reine wissenschaftliche Forschung und Entwicklung. Die Verordnung gilt auch nicht für Systeme, die ausschließlich für diese Zwecke entwickelt und in Betrieb genommen werden. Wie die Datenschutz-Grundverordnung der EU kann das KI-Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben, was bedeutet, dass Unternehmen wie Google DeepMind, Anthropic oder Amazon Web Services, die KI-Dienste für EU-Kunden anbieten, unabhängig vom Standort ihres Hauptsitzes konform sein müssen.
Governance und Durchsetzung
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung der Verordnung sicherzustellen. Dieser Ausschuss koordiniert Aufsichtsbehörden in den Mitgliedstaaten und erleichtert eine konsistente Anwendung der Regeln. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erläuterungen zu Entscheidungen zu erhalten, die von hochriskanten KI-Systemen getroffen werden und ihre Rechte betreffen. Die Liste hochriskanter Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, was es dem Rahmen ermöglicht, sich an neu auftretende Risiken anzupassen.
Gesetzgebungsweg und Überarbeitungen
Der ursprüngliche Vorschlag der Europäischen Kommission vom 21. April 2021 stützte sich auf Konsultationen von Interessengruppen und eine breite Palette bestehender Forschung, so eine erste Bewertung des Wissenschaftlichen Dienstes des Europäischen Parlaments. Der Gesetzesentwurf wurde während der Verhandlungen überarbeitet, um den Anstieg der Beliebtheit generativer KI-Systeme zu adressieren, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Der endgültige Text balancierte Innovationsbedenken mit dem Schutz der Grundrechte aus und integrierte Beiträge verschiedener Interessengruppen, einschließlich Technologieunternehmen, Organisationen der Zivilgesellschaft und akademischer Institutionen.
Die einstimmige Zustimmung des EU-Rates am 21. Mai 2024 stellte eine bedeutende politische Leistung dar und zeigte einen Konsens über Parteigrenzen und Nationen hinweg zur KI-Regulierung. Der gestaffelte Umsetzungszeitplan bedeutet, dass verschiedene Bestimmungen zu unterschiedlichen Zeiten anwendbar werden, wobei die dringendsten Verbote und Transparenzanforderungen zuerst in Kraft treten, gefolgt von Verpflichtungen für hochriskante Systeme und allgemeine KI-Modelle in den folgenden Monaten.
Auswirkungen auf die Industrie
Die extraterritoriale Reichweite und die umfassende Abdeckung des KI-Gesetzes bedeuten, dass große Technologieunternehmen weltweit ihre Entwicklungs- und Bereitstellungspraktiken anpassen müssen. Anbieter von großen Sprachmodellen, neuronalen Netzwerk-basierten Anwendungen und anderen KI-Werkzeugen müssen ihre Trainingsdaten dokumentieren, Urheberrechtsrichtlinien implementieren und Risikobewertungen durchführen. Die Unterscheidung zwischen Open-Source- und Closed-Source-Modellen schafft unterschiedliche Compliance-Lasten und könnte beeinflussen, wie Unternehmen ihre KI-Systeme veröffentlichen. Der risikobasierte Ansatz des Gesetzes betrifft auch Sektoren wie Gesundheitswesen, Bildung und Strafverfolgung, in denen hochriskante KI-Anwendungen den strengsten Anforderungen unterliegen.
Breiterer Kontext
Das KI-Gesetz stellt einen Meilenstein in der Technologieregulierung dar und folgt dem Muster der EU, globale Standards durch umfassende Gesetzgebung zu etablieren. Sein risikobasierter Rahmen wurde von Regulierungsbehörden in anderen Rechtsordnungen untersucht, die ähnliche Ansätze in Betracht ziehen. Der Schwerpunkt des Gesetzes auf Transparenz, menschlicher Aufsicht und Schutz der Grundrechte spiegelt breitere gesellschaftliche Bedenken hinsichtlich der Auswirkungen von KI auf Demokratie, Privatsphäre und individuelle Autonomie wider. Da die Bestimmungen schrittweise in Kraft treten, wird die praktische Umsetzung von Industrie, Zivilgesellschaft und politischen Entscheidungsträgern weltweit genau beobachtet.
Der Erfolg der Verordnung wird von der effektiven Durchsetzung durch nationale Behörden und den Europäischen Ausschuss für künstliche Intelligenz sowie von der Zusammenarbeit der KI-Anbieter abhängen. Der freiwillige Verhaltenskodex für Anwendungen mit minimalem Risiko und der Verhaltenskodex für allgemeine KI bieten Leitlinien für die Einhaltung, während die Flexibilität des Gesetzes zukünftige Aktualisierungen ermöglicht, während sich die KI-Technologie weiterentwickelt. Die Zustimmung des Rates am 21. Mai 2024 markierte daher kein Ende, sondern einen Anfang - den Beginn einer neuen Ära, in der KI-Systeme, die in der EU betrieben werden, die Einhaltung klarer, durchsetzbarer Regeln nachweisen müssen, die zum Schutz von Gesundheit, Sicherheit und Grundrechten entwickelt wurden.