Das Gesetz über künstliche Intelligenz (KI-Verordnung) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) innerhalb der EU schafft. Sie trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate anwendbar werden. Die Verordnung erfasst die meisten KI-Systeme in einer Vielzahl von Sektoren, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft sie keine individuellen Rechte; stattdessen legt sie Pflichten für KI-Anbieter und Organisationen fest, die KI in einem beruflichen Kontext nutzen.
Die Verordnung klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen – inakzeptabel, hoch, begrenzt und minimal – sowie einer zusätzlichen Kategorie für allgemeine KI. Für allgemeine KI werden Transparenzanforderungen auferlegt, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Modelle mit hoher Leistungsfähigkeit. Die Verordnung schafft außerdem einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann die Verordnung extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Gesetzgebungsgeschichte
Die Europäische Kommission schlug die KI-Verordnung am 21. April 2021 vor. Der Entwurf wurde überarbeitet, um dem Aufstieg generativer KI-Systeme wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Das Europäische Parlament verabschiedete die Verordnung am 13. März 2024, und der EU-Rat genehmigte sie am 21. Mai 2024 einstimmig. Die Verordnung trat am 1. August 2024 in Kraft, mit einer schrittweisen Umsetzung: Verbote für Systeme mit inakzeptablem Risiko galten ab Februar 2025, Pflichten für allgemeine KI ab August 2025 und die meisten Bestimmungen für hohes Risiko ab August 2026.
Risikokategorien
Das risikobasierte Schema der Verordnung folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten Anbietern und Betreibern von KI-Systemen zugewiesen werden und umso anspruchsvoller werden, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind. Diese Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Anwendungen ein leichterer Ansatz ermöglicht wird.
Inakzeptables Risiko
KI-Anwendungen in dieser Kategorie sind verboten, außer für spezifische Ausnahmen. Wenn keine Ausnahme gilt, umfasst dies KI-Anwendungen, die menschliches Verhalten manipulieren, solche, die biometrische Fernidentifizierung in Echtzeit (wie Gesichtserkennung) in öffentlichen Räumen verwenden, und solche, die für Social Scoring verwendet werden (Bewertung von Personen anhand persönlicher Merkmale, sozioökonomischem Status oder Verhalten).
Hohes Risiko
KI-Anwendungen mit hohem Risiko sind solche, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen. Insbesondere KI-Systeme, die im Gesundheitswesen, im Bildungswesen, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden, fallen in diese Kategorie. Sie unterliegen Qualitäts-, Transparenz-, menschlichen Aufsichts- und Sicherheitspflichten und erfordern in einigen Fällen eine Folgenabschätzung für Grundrechte (FRIA) vor dem Einsatz. Eine FRIA ist eine Ex-ante-Prüfung, um potenzielle Auswirkungen auf Grundrechte zu identifizieren und zu mindern. Frühere Arbeiten zu algorithmischen Folgenabschätzungen legten nahe, dass solche Instrumente betroffene Personen und Gemeinschaften identifizieren, mögliche Schäden beschreiben und eine Grundlage für öffentliche und institutionelle Prüfung bieten sollten. Systeme mit hohem Risiko müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste der Anwendungen mit hohem Risiko kann im Laufe der Zeit erweitert werden, ohne die KI-Verordnung selbst zu ändern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erläuterungen zu Entscheidungen von KI mit hohem Risiko zu erhalten, die ihre Rechte betreffen.
Begrenztes Risiko
KI-Systeme in dieser Kategorie unterliegen Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, informierte Entscheidungen zu treffen. Dies umfasst KI-Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren, wie Deepfakes.
Minimales Risiko
Diese Kategorie umfasst KI-Systeme, die für Videospiele oder Spamfilter verwendet werden. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen. Diese Systeme sind nicht reguliert, und die Mitgliedstaaten können aufgrund der Regeln der maximalen Harmonisierung keine zusätzlichen Vorschriften auferlegen. Bestehende nationale Gesetze zur Gestaltung oder Nutzung solcher Systeme werden außer Kraft gesetzt. Es wird jedoch ein freiwilliger Verhaltenskodex empfohlen.
Bestimmungen für allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können, wie große Sprachmodelle wie ChatGPT. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Modelle mit hoher Wirkung, die systemische Risiken darstellen (die mehr als 10^25 Gleitkommaoperationen zum Training erfordern), müssen zusätzlichen Bewertungen unterzogen werden.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, umreißt drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern zu helfen, die Einhaltung der KI-Verordnung nachzuweisen. Die Teilnahme an dem Kodex ist freiwillig.
Über die grundlegenden Transparenzpflichten hinaus legt die Verordnung eine gemeinsame Liste von Pflichten für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation für nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko darstellend eingestuft werden, müssen außerdem Modellbewertungen und adversariale Tests durchführen, Risiken wie Verzerrungen und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und ein angemessenes Maß an Cybersicherheit gewährleisten.
Ausnahmen
Die Artikel 2.3 und 2.6 nehmen KI-Systeme, die für militärische Zwecke oder die nationale Sicherheit oder für reine wissenschaftliche Forschung und Entwicklung verwendet werden, von der KI-Verordnung aus. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für wissenschaftliche Forschung entwickelt und in Betrieb genommen werden. Auch die nicht-professionelle Nutzung ist ausgenommen, sodass persönliche KI-Anwendungen nicht abgedeckt sind.
Durchsetzung und Extraterritorialität
Die Verordnung schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die DSGVO kann die Verordnung extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben. Dies bedeutet, dass Unternehmen mit Sitz in den Vereinigten Staaten, Asien oder anderswo die Vorschriften einhalten müssen, wenn sie KI-Dienste für EU-Bürger anbieten. Nationale Aufsichtsbehörden in jedem Mitgliedstaat sind für die Durchsetzung verantwortlich, wobei die Strafen bei Nichteinhaltung bis zu 7 % des weltweiten Jahresumsatzes für verbotene Praktiken betragen können, obwohl in der Quelle keine spezifischen Zahlen genannt werden.
Auswirkungen auf die KI-Entwicklung
Die Regeln der KI-Verordnung für allgemeine KI haben erhebliche Auswirkungen auf Entwickler von generativen KI-Systemen. Beispielsweise müssen OpenAI, Anthropic und Google DeepMind sicherstellen, dass ihre Modelle die Transparenz- und Dokumentationsanforderungen erfüllen, wenn sie in der EU eingesetzt werden. Open-Source-Modelle, wie die von Meta (nicht in der bereitgestellten Liste, aber impliziert), profitieren von reduzierten Pflichten, was Transparenz in der Modellentwicklung fördert. Die Verordnung beeinflusst auch globale Standards, da andere Rechtsordnungen ähnliche risikobasierte Ansätze übernehmen könnten. Die schrittweise Umsetzung gibt Anbietern Zeit, sich anzupassen, aber die Bewertungen systemischer Risiken für Modelle mit hoher Leistungsfähigkeit könnten das Tempo der KI-Forschung und -Entwicklung beeinflussen.