Der Artificial Intelligence Act (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) in der gesamten EU schafft. Sie trat am 1. August 2024 in Kraft, wobei die meisten Bestimmungen schrittweise über die folgenden 6 bis 36 Monate Anwendung finden. Die Verordnung führt eine risikobasierte Klassifizierung ein und auferlegt strengere Pflichten für KI-Systeme, die ein größeres Potenzial für Schäden an Gesundheit, Sicherheit oder Grundrechten darstellen. Sie reguliert in erster Linie Anbieter und Betreiber von KI-Systemen in beruflichen Kontexten und schafft keine individuellen Rechte.
Vorgeschlagen von der Europäischen Kommission am 21. April 2021, verabschiedete das Europäische Parlament die Verordnung am 13. März 2024, und sie wurde am 21. Mai 2024 einstimmig vom EU-Rat gebilligt. Der endgültige Text wurde überarbeitet, um den rasanten Aufstieg generativer KI-Systeme wie ChatGPT zu berücksichtigen, die allgemeine Fähigkeiten einführten, die im ursprünglichen Rahmen nicht vorgesehen waren.
Risikokategorien
Die Verordnung unterteilt nicht ausgenommene KI-Anwendungen in vier Risikostufen sowie eine separate Kategorie für allgemeine KI.
Unannehmbares Risiko: Diese KI-Anwendungen sind verboten, außer für spezifische Ausnahmen. Die Verbote umfassen Systeme, die menschliches Verhalten manipulieren, solche, die für Social Scoring verwendet werden (Einstufung von Personen basierend auf persönlichen Merkmalen, sozioökonomischem Status oder Verhalten), sowie Echtzeit-Fernbiometrie (wie Gesichtserkennung) in öffentlichen Räumen.
Hohes Risiko: KI-Systeme, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, wenn sie in kritischen Sektoren wie Gesundheit, Bildung, Personalbeschaffung, Verwaltung kritischer Infrastruktur, Strafverfolgung oder Justiz eingesetzt werden. Diese Systeme müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und vor dem Inverkehrbringen sowie während ihres gesamten Lebenszyklus Konformitätsbewertungen durchlaufen. Einige Hochrisiko-Anwendungen erfordern vor dem Einsatz eine Folgenabschätzung für Grundrechte (FRIA) - eine Ex-ante-Prüfung zur Identifizierung und Minderung von Auswirkungen auf Grundrechte. Bürger können Beschwerden über Hochrisiko-KI-Systeme einreichen und Erklärungen für Entscheidungen erhalten, die ihre Rechte betreffen.
Begrenztes Risiko: KI-Systeme in dieser Kategorie unterliegen Transparenzpflichten, die verlangen, dass Nutzer informiert werden, wenn sie mit KI interagieren. Dies gilt für Systeme, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie etwa Deepfakes.
Minimales Risiko: Die meisten KI-Anwendungen, einschließlich Videospielen und Spam-Filtern, fallen hierunter. Sie sind nicht reguliert, und die Mitgliedstaaten können aufgrund der maximalen Harmonisierung keine zusätzlichen Regeln auferlegen. Ein freiwilliger Verhaltenskodex wird empfohlen.
Der risikobasierte Ansatz folgt einem Produktsicherheitsmodell, bei dem die Pflichten mit dem potenziellen Einfluss zunehmen. Rechtswissenschaftler stellen fest, dass die Verordnung "vertrauenswürdige KI" als Systeme definiert, die die Einhaltung dieser Sicherheitsschwellen nachweisen.
Allgemeine KI
Diese Kategorie wurde 2023 hinzugefügt und umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können. Open-Source-Modelle mit öffentlich zugänglichen Gewichten müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen. Closed-Source-Modelle unterliegen umfassenderen Transparenzanforderungen. Modelle mit hoher Wirkung, die systemische Risiken darstellen - die mehr als 10^25 Gleitkommaoperationen zum Training erfordern - müssen zusätzliche Bewertungen durchlaufen, einschließlich Modelltests und adversarischer Tests. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, bietet freiwillige Leitlinien zu Transparenz, Urheberrecht und Sicherheit.
Ausnahmen
Die Artikel 2.3 und 2.6 nehmen KI für militärische, nationale Sicherheits- oder reine wissenschaftliche Forschungszwecke aus. Die Verordnung gilt nicht für Systeme, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden oder die ausschließlich für Forschung und Entwicklung entwickelt wurden.
Durchsetzung und Governance
Die Verordnung schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit zwischen nationalen Behörden zu fördern und eine einheitliche Einhaltung sicherzustellen. Wie die DSGVO kann die Verordnung extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Umsetzungszeitplan
Die Verordnung trat am 1. August 2024 in Kraft, aber die Bestimmungen werden über 6 bis 36 Monate schrittweise eingeführt. Frühe Fristen umfassen Verbote für Anwendungen mit unannehmbarem Risiko bis Februar 2025, Pflichten für allgemeine KI bis August 2025 und Anforderungen für Hochrisikosysteme bis August 2026, mit weiteren Pflichten für bestimmte Hochrisiko-Anwendungen bis 2027. Ab Ende 2025 hat die Europäische Kommission Leitlinien herausgegeben und Konsultationsprozesse eröffnet, um die Umsetzung zu unterstützen.
Auswirkungen auf das KI-Ökosystem
Der extraterritoriale Geltungsbereich der Verordnung bedeutet, dass Unternehmen wie OpenAI, Anthropic, Google DeepMind und andere, die KI-Dienste für EU-Nutzer anbieten, unabhängig von ihrem Hauptsitz einhalten müssen. Die Klassifizierung von Systemen basierend auf Risiko hat Entwickler dazu veranlasst, in Dokumentation, Modellbewertungen und Transparenzmaßnahmen zu investieren. Zum Beispiel veröffentlichen Anbieter von großen Sprachmodellen wie ChatGPT jetzt Zusammenfassungen der Trainingsdaten und halten Urheberrechtsrichtlinien ein. Der freiwillige Verhaltenskodex für allgemeine KI, veröffentlicht im Juli 2025, wurde von mehreren großen Anbietern unterstützt, was einen Wandel hin zur Selbstregulierung innerhalb eines rechtlichen Rahmens signalisiert.
Die Bestimmungen der Verordnung betreffen auch Machine learning, Deep learning und Neural network-Anwendungen in verschiedenen Sektoren. Hochrisiko-Anwendungen im Gesundheitswesen und in der Personalbeschaffung müssen Konformitätsbewertungen durchlaufen, was die Bereitstellung möglicherweise verlangsamt, aber darauf abzielt, öffentliches Vertrauen aufzubauen. Die Interaktion mit Forschung und Entwicklung wurde debattiert, da die Ausnahme für wissenschaftliche Forschung nicht-kommerzielle Arbeit abdeckt, aber eingesetzte Systeme weiterhin einhalten müssen. Das Design der Verordnung als Produktregulierung bedeutet, dass sie bestehende sektorale Gesetze wie Datenschutzbestimmungen ergänzt, ohne direkte individuelle Rechte zu schaffen.
Kritik und Herausforderungen
Industriegruppen haben Bedenken geäußert, dass die Komplexität der Risikoklassifizierung und Compliance-Belastungen die Innovation verlangsamen könnten, insbesondere für kleine und mittlere Unternehmen. Einige Akademiker argumentieren, dass die FRIA-Anforderung klare Standards vermissen lässt, was zu inkonsistenter Umsetzung führen könnte. Die Durchsetzung bleibt eine Herausforderung aufgrund der Notwendigkeit koordinierter Maßnahmen über nationale Behörden hinweg in praktischer Hinsicht. Die Verordnung sieht sich auch rechtlichen Herausforderungen von Einrichtungen gegenüber, die behaupten, dass bestimmte Bestimmungen Grundrechte verletzen, aber bis Mitte 2025 wurden keine größeren Urteile gefällt.
Trotz dieser Herausforderungen setzt der AI Act einen globalen Präzedenzfall, beeinflusst ähnliche Gesetzgebungsbemühungen in anderen Jurisdiktionen wie den Vereinigten Staaten und Japan und prägt internationale Debatten über AI safety. Sein schrittweiser Ansatz gibt den Beteiligten Zeit zur Anpassung, aber die volle Auswirkung wird erst bekannt sein, wenn einzelne Bestimmungen in den kommenden Jahren anwendbar werden.
Fazit
Der EU AI Act stellt einen wegweisenden Versuch dar, KI umfassend und risikobasiert zu regulieren. Durch die Festlegung klarer Kategorien und Pflichten zielt er darauf ab, Innovation mit dem Schutz von Gesundheit, Sicherheit und Grundrechten in Einklang zu bringen. Sein Inkrafttreten markiert den Beginn einer Übergangsphase, in der sowohl Anbieter als auch Betreiber Compliance-Maßnahmen umsetzen müssen. Der Erfolg der Verordnung wird von effektiver Governance, internationaler Zusammenarbeit und der Fähigkeit abhängen, sich an schnelle technologische Veränderungen anzupassen. Während sich der Rahmen entfaltet, wird er wahrscheinlich die KI-Regulierung weltweit beeinflussen und einen Maßstab für vertrauenswürdige KI-Entwicklung setzen.