Die vollständige Anwendung des Gesetzes über künstliche Intelligenz (AI Act) am 1. August 2026 stellt die letzte Stufe der schrittweisen Umsetzung des umfassenden Regulierungsrahmens der Europäischen Union für künstliche Intelligenz dar. Dieses Datum markiert den Zeitpunkt, an dem die überwiegende Mehrheit der Bestimmungen der Verordnung, insbesondere jene für KI-Systeme mit hohem Risiko, in allen Mitgliedstaaten vollständig durchsetzbar wird. Das KI-Gesetz, das am 1. August 2024 in Kraft trat, wurde entwickelt, um einen gemeinsamen rechtlichen und regulatorischen Rahmen für KI in der EU zu schaffen, der einem risikobasierten Ansatz folgt, der Anbietern und Betreibern je nach potenziellem Schadenspotenzial ihrer Systeme unterschiedliche Pflichten auferlegt.
Die Verordnung deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, die nationale Sicherheit, Forschungszwecke oder die nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft sie keine individuellen Rechte, sondern auferlegt Pflichten für KI-Anbieter und Organisationen, die KI im beruflichen Kontext einsetzen. Das Gesetz kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn diese Nutzer innerhalb des Blocks haben, ähnlich der Datenschutz-Grundverordnung. Das vollständige Anwendungsdatum folgt einer schrittweisen Einführung: Verbote für Anwendungen mit inakzeptablem Risiko traten im Februar 2025 in Kraft, Verpflichtungen für allgemeine KI im August 2025 und Anforderungen für Hochrisikosysteme im August 2026.
Risikobasierter Klassifizierungsrahmen
Das KI-Gesetz klassifiziert nicht ausgenommene KI-Anwendungen in vier Risikostufen - inakzeptabel, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind vollständig verboten, außer für spezifische Ausnahmen. Dazu gehören KI-Systeme, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum verwenden, und Social-Scoring-Systeme, die Personen anhand persönlicher Merkmale, des sozioökonomischen Status oder des Verhaltens einstufen.
Hochrisikoanwendungen, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, müssen Sicherheits-, Transparenz- und Qualitätsanforderungen erfüllen und Konformitätsbewertungen durchlaufen. Dazu gehören KI-Systeme im Gesundheitswesen, im Bildungswesen, bei der Personalbeschaffung, im Management kritischer Infrastrukturen, bei der Strafverfolgung oder im Justizwesen. Anwendungen mit begrenztem Risiko, wie Deepfake-Generatoren, unterliegen nur Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit KI interagieren. Anwendungen mit minimalem Risiko, einschließlich Videospielen und Spam-Filtern, sind nicht reguliert, und Mitgliedstaaten können aufgrund der Regeln der maximalen Harmonisierung keine zusätzlichen Vorschriften erlassen.
Pflichten für Hochrisikosysteme
KI-Systeme mit hohem Risiko müssen strenge Anforderungen erfüllen, die sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus gelten. Anbieter müssen Qualitätsmanagementsysteme implementieren, Datenverwaltung und Qualität der Trainingsdaten sicherstellen, technische Dokumentation pflegen und automatische Protokollierung für die Rückverfolgbarkeit ermöglichen. Sie müssen Systeme auch für die menschliche Aufsicht auslegen und angemessene Niveaus an Genauigkeit, Robustheit und Cybersicherheit erreichen. In einigen Fällen müssen Betreiber vor der Bereitstellung eine Folgenabschätzung für Grundrechte (FRIA) durchführen, eine Ex-ante-Überprüfung, um potenzielle Auswirkungen auf Grundrechte zu identifizieren und zu mindern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen.
Die Liste der Hochrisikoanwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, was es dem Rahmen ermöglicht, sich an neue Technologien und Anwendungsfälle anzupassen. Dieses risikobasierte Schema folgt einem Produktsicherheitsmodell, bei dem die regulatorischen Pflichten mit zunehmender potenzieller Auswirkung auf Gesundheit, Sicherheit oder Grundrechte anspruchsvoller werden. Die Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Verwendungen leichtere Ansätze ermöglicht werden.
Allgemeine KI und Basismodelle
Die 2023 hinzugefügte Kategorie der allgemeinen KI, um dem Aufkommen generativer KI-Systeme wie ChatGPT Rechnung zu tragen, umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können. Diese Modelle, die oft auf Transformer (architecture)-Architekturen basieren und mit Machine learning-Techniken trainiert werden, umfassen Systeme von Anbietern wie OpenAI, Anthropic und Google DeepMind. Die Kategorie wurde eingeführt, weil die allgemeinen Fähigkeiten dieser Modelle nicht in den Hauptrahmen mit Risikostufen passten, der für enger definierte Anwendungen konzipiert war.
Für allgemeine KI-Modelle werden Transparenzanforderungen auferlegt, mit reduzierten Anforderungen für Open-Source-Modelle. Wenn die Gewichte und das Design eines Modells als Open Source verfügbar gemacht werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen, definiert als solche, die mehr als 10^25 Gleitkommaoperationen zum Training benötigen, müssen zusätzlichen Bewertungen unterzogen werden, einschließlich Modellevaluierungen, adversariellem Testen und Risikominderung für Verzerrungen und Sicherheitsfehler. Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung zu erleichtern, obwohl die Teilnahme freiwillig ist.
Governance und Durchsetzung
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung der Verordnung sicherzustellen. Dieser Ausschuss koordiniert mit nationalen Aufsichtsbehörden in jedem Mitgliedstaat, die für die Durchsetzung der Regeln und die Verhängung von Strafen bei Nichteinhaltung verantwortlich sind. Die Governance-Struktur spiegelt den Ansatz wider, der für den Datenschutz unter der Datenschutz-Grundverordnung verwendet wird, mit einer Mischung aus nationaler Aufsicht und Koordinierung auf EU-Ebene.
Durchsetzungsmechanismen umfassen Geldstrafen für Verstöße, die für schwerwiegende Verstöße erhebliche Prozentsätze des weltweiten Umsatzes eines Unternehmens erreichen können. Das vollständige Anwendungsdatum des 1. August 2026 aktiviert die vollständige Durchsetzungsmaschinerie für Hochrisikosysteme, was bedeutet, dass Anbieter und Betreiber ihre Compliance-Programme bis zu diesem Datum vollständig implementiert haben müssen. Unternehmen, die in der EU tätig sind, einschließlich großer Technologiefirmen wie Apple, Samsung Electronics und Intel, haben sich auf diese Frist vorbereitet, indem sie KI-Governance-Rahmenwerke eingerichtet und Konformitätsbewertungen durchgeführt haben.
Gesetzgebungsgeschichte und Entwicklung
Das KI-Gesetz wurde am 21. April 2021 von der Europäischen Kommission nach umfangreichen Konsultationen mit Interessenvertretern und Forschern vorgeschlagen. Es passierte das Europäische Parlament am 13. März 2024 und wurde vom EU-Rat am 21. Mai 2024 einstimmig genehmigt. Der Gesetzesentwurf wurde während des Gesetzgebungsprozesses überarbeitet, um dem raschen Aufstieg der Beliebtheit generativer KI-Systeme Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den ursprünglichen Rahmen passten. Diese Überarbeitung fügte die Kategorie der allgemeinen KI hinzu und passte die Transparenzanforderungen an, um Open-Source-Modelle zu berücksichtigen.
Der Gesetzgebungsweg beinhaltete bedeutende Debatten über das Gleichgewicht zwischen Innovation und Regulierung. Der Wissenschaftliche Dienst des Europäischen Parlaments führte eine erste Bewertung der Folgenabschätzung der Kommission durch, die auf Konsultationen mit Interessenvertretern und vorhandener Forschung beim Vergleich von Politikoptionen basierte. Der endgültige Text spiegelt Kompromisse zwischen denen wider, die eine strenge Regulierung leistungsstarker KI-Systeme befürworten, und denen, die besorgt über die Beeinträchtigung der europäischen Wettbewerbsfähigkeit bei der KI-Entwicklung sind.
Auswirkungen auf die Industrie und globale Standards
Die vollständige Anwendung des KI-Gesetzes hat erhebliche Auswirkungen auf die globale KI-Industrie. Da das Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet wird, wenn sie EU-Nutzer bedienen, müssen Unternehmen weltweit seine Anforderungen erfüllen. Dies umfasst große KI-Entwickler wie OpenAI, Anthropic und Google DeepMind sowie Cloud-Infrastrukturanbieter wie Amazon Web Services, Microsoft Azure und Google Cloud, die KI-Dienste in der EU anbieten.
Der risikobasierte Ansatz des Gesetzes hat Diskussionen über KI-Regulierung in anderen Rechtsräumen beeinflusst, einschließlich der Vereinigten Staaten, Japans und Kanadas, obwohl keiner identische Rahmenwerke übernommen hat. Der EU-Ansatz zur Regulierung allgemeiner KI mit seiner Unterscheidung zwischen Open-Source- und Closed-Source-Modellen war besonders einflussreich in Debatten darüber, wie Basismodelle reguliert werden sollten. Die Anforderung von Zusammenfassungen der Trainingsdaten und Urheberrechtsrichtlinien hat auch Diskussionen über Transparenz in der KI-Entwicklung angeregt, insbesondere für Large language model-Systeme, die mit riesigen Mengen an Internetdaten trainiert werden.
Compliance-Herausforderungen und Reaktion der Industrie
Mit dem Näherrücken des vollständigen Anwendungsdatums stehen viele Organisationen vor erheblichen Compliance-Herausforderungen. KI-Systeme mit hohem Risiko in Sektoren wie Gesundheitswesen, Bildung, Personalbeschaffung und Strafverfolgung erfordern umfassende Dokumentation und Konformitätsbewertungen. Kleinere Unternehmen und Start-ups könnten mit der regulatorischen Belastung zu kämpfen haben, während größere Firmen dedizierte Compliance-Teams eingerichtet haben. Die Regeln der maximalen Harmonisierung des Gesetzes verhindern, dass Mitgliedstaaten zusätzliche Vorschriften für Systeme mit minimalem Risiko erlassen, bedeuten aber auch, dass Unternehmen die höchsten Standards auf allen EU-Märkten erfüllen müssen.
Die Reaktionen der Industrie waren unterschiedlich, wobei einige Unternehmen die regulatorische Klarheit begrüßen, während andere Bedenken über Compliance-Kosten äußern. Der freiwillige Verhaltenskodex für Systeme mit minimalem Risiko und der Verhaltenskodex für allgemeine KI bieten Leitlinien für die freiwillige Einhaltung. Der Europäische Ausschuss für künstliche Intelligenz entwickelt weiterhin Umsetzungsleitlinien und beantwortet Fragen von Interessenvertretern zu spezifischen Bestimmungen. Zum Zeitpunkt des vollständigen Anwendungsdatums bleiben die praktischen Auswirkungen der Verordnung auf KI-Innovation und -Bereitstellung in Europa abzuwarten, wobei Regulierungsbehörden und Forscher die Entwicklungen weiterhin beobachten.