Der Zeitplan für die Durchsetzung des EU-KI-Gesetzes bezieht sich auf die gestaffelten Anwendungsdaten des Gesetzes über künstliche Intelligenz (KI-Gesetz), einer Verordnung der Europäischen Union, die einen gemeinsamen Regulierungsrahmen für künstliche Intelligenz festlegt. Das Gesetz trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate in Betrieb genommen werden. Dieser gestaffelte Ansatz ermöglicht es den Beteiligten, sich an neue Verpflichtungen anzupassen, mit spezifischen Fristen für Verbote, Transparenzregeln und Anforderungen an Hochrisikosysteme.
Das KI-Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach Schadensrisiko: inakzeptabel, hoch, begrenzt und minimal, plus eine separate Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind verboten, Hochrisikoanwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen, Anwendungen mit begrenztem Risiko haben Transparenzpflichten, und Anwendungen mit minimalem Risiko sind nicht reguliert. Der Zeitplan spiegelt diese Stufen wider, mit früheren Daten für Verbote und Transparenz und späteren Daten für die Einhaltung von Hochrisikoanforderungen.
Inkrafttreten und erste Bestimmungen
Das KI-Gesetz wurde von der Europäischen Kommission am 21. April 2021 vorgeschlagen, vom Europäischen Parlament am 13. März 2024 verabschiedet und vom EU-Rat am 21. Mai 2024 einstimmig genehmigt. Es trat am 1. August 2024 in Kraft und markierte den Beginn des Durchsetzungszeitplans. Die ersten 6 Monate (bis zum 1. Februar 2025) waren dafür vorgesehen, dass die Mitgliedstaaten zuständige Behörden benennen und die Europäische Kommission den Europäischen Ausschuss für künstliche Intelligenz einrichtet, der die nationale Zusammenarbeit fördert und die Einhaltung gewährleistet.
Verbote für inakzeptables Risiko (Februar 2025)
Ab dem 2. Februar 2025 traten Verbote für KI-Anwendungen mit inakzeptablem Risiko in Kraft. Dazu gehören KI-Systeme, die menschliches Verhalten manipulieren, um den freien Willen zu umgehen, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) in öffentlich zugänglichen Räumen für Strafverfolgungszwecke verwenden (mit engen Ausnahmen), und Systeme zur sozialen Bewertung, die Personen basierend auf persönlichen Merkmalen oder Verhalten einstufen. Das Verbot gilt für alle Anbieter und Betreiber innerhalb der EU und extraterritorial für diejenigen mit Nutzern in der EU, ähnlich der Datenschutz-Grundverordnung.
Verpflichtungen für allgemeine KI (August 2025)
Am 2. August 2025 wurden Verpflichtungen für allgemeine KI-Modelle anwendbar. Diese Kategorie, die 2023 hinzugefügt wurde, um Systeme wie ChatGPT zu adressieren, umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können. Anbieter müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechtsrichtlinie übernehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Für Open-Source-Modelle sind die Anforderungen reduziert, aber Closed-Source-Modelle müssen umfassendere Transparenzpflichten erfüllen. Hochwirkungsmodelle mit systemischen Risiken (die mehr als 10^25 Gleitkommaoperationen zum Training erfordern) müssen zusätzliche Bewertungen, adversariale Tests und Risikominderung durchlaufen. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert Kapitel zu Transparenz, Urheberrecht und Sicherheit, um die Einhaltung zu demonstrieren, obwohl die Teilnahme freiwillig ist.
Transparenz für begrenztes Risiko (August 2026)
Ab dem 2. August 2026 gelten Transparenzverpflichtungen für KI-Systeme mit begrenztem Risiko. Diese Systeme, wie Deepfake-Generatoren oder KI-Chatbots, müssen Nutzer darüber informieren, dass sie mit KI interagieren oder dass Inhalte KI-generiert oder manipuliert sind. Dies ermöglicht es Nutzern, informierte Entscheidungen zu treffen. Die Verpflichtungen gelten für Systeme, die nach diesem Datum auf den Markt gebracht werden, aber einige Bestimmungen für bestehende Systeme können früher anwendbar sein.
Einhaltung für Hochrisikosysteme (August 2026 und 2027)
Der umfangreichste Zeitplan gilt für Hochrisiko-KI-Systeme. Ab dem 2. August 2026 müssen Hochrisikosysteme, die in Anhang I des Gesetzes aufgeführt sind (z. B. solche, die in Sicherheitskomponenten von Produkten wie Maschinen, Spielzeug oder medizinischen Geräten verwendet werden), die Anforderungen erfüllen. Ab dem 2. August 2027 müssen Hochrisikosysteme, die in Anhang III aufgeführt sind (z. B. solche, die in Bildung, Beschäftigung, kritischer Infrastruktur, Strafverfolgung und Migration verwendet werden), die Anforderungen erfüllen. Diese Verpflichtungen umfassen Qualitätsmanagementsysteme, technische Dokumentation, Risikomanagement, menschliche Aufsicht und in einigen Fällen eine Folgenabschätzung für Grundrechte vor der Bereitstellung. Konformitätsbewertungen müssen durchgeführt werden, und Systeme müssen während ihres gesamten Lebenszyklus bewertet werden.
Extraterritoriale Anwendung und Durchsetzung
Wie die Datenschutz-Grundverordnung der EU kann das KI-Gesetz auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben. Dies bedeutet, dass Unternehmen wie OpenAI, Anthropic oder Google DeepMind den Zeitplan einhalten müssen, wenn sie KI-Dienste für EU-Bewohner anbieten. Die Durchsetzung erfolgt durch nationale Aufsichtsbehörden, koordiniert vom Europäischen Ausschuss für künstliche Intelligenz. Bei Nichteinhaltung können Geldstrafen verhängt werden, aber das Gesetz schafft keine individuellen Rechte; stattdessen legt es Pflichten für Anbieter und professionelle Nutzer fest.
Ausnahmen und Sonderfälle
Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie solche für reine wissenschaftliche Forschung und Entwicklung. Nicht-professionelle Nutzung (z. B. persönliche KI-Assistenten) ist ebenfalls ausgenommen. Diese Ausnahmen sind eng gefasst und gelten nicht für Systeme, die in zivilen Kontexten verwendet werden. Der Zeitplan für diese ausgenommenen Systeme ist nicht anwendbar, aber Anbieter müssen sicherstellen, dass sie die Ausnahmekriterien erfüllen.
Auswirkungen und zukünftige Anpassungen
Der gestaffelte Zeitplan ermöglicht eine schrittweise Anpassung, stellt aber auch Herausforderungen für Unternehmen und Regulierungsbehörden dar. Die Liste der Hochrisikoanwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, was bedeutet, dass neue Kategorien mit eigenen Fristen hinzugefügt werden können. Die Europäische Kommission wird voraussichtlich Leitlinien und Durchführungsakte herausgeben, um Verpflichtungen zu klären. Ab 2025 ist der Zeitplan festgelegt, aber Anpassungen können durch delegierte Rechtsakte oder Änderungen erfolgen, insbesondere für aufkommende Technologien wie Generative AI und Large language model-Systeme.
Fazit
Der Zeitplan für die Durchsetzung des EU-KI-Gesetzes stellt einen Meilenstein in der KI-Regulierung dar, mit Daten von 2024 bis 2027, die prägen, wie KI in der EU entwickelt und eingesetzt wird. Durch die schrittweise Einführung von Verpflichtungen zielt das Gesetz darauf ab, Innovation mit dem Schutz der Grundrechte in Einklang zu bringen. Beteiligte müssen diese Daten überwachen, um die Einhaltung sicherzustellen, und der Zeitplan kann sich weiterentwickeln, während sich die Regulierungslandschaft reift.