Der Artificial Intelligence Act (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen regulatorischen und rechtlichen Rahmen für künstliche Intelligenz innerhalb der EU schafft. Er trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate in Kraft traten. Die Verordnung deckt die meisten KI-Systeme in einer breiten Palette von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder für nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft sie keine individuellen Rechte; stattdessen legt sie Pflichten für KI-Anbieter und für Organisationen fest, die KI in einem beruflichen Kontext nutzen.
Die Verordnung klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen - inakzeptabel, hoch, begrenzt und minimal - plus einer zusätzlichen Kategorie für allgemeine KI. Die Kategorie der allgemeinen KI wurde 2023 hinzugefügt, um den Aufstieg generativer KI-Systeme wie ChatGPT zu adressieren, deren breite Fähigkeiten nicht in den Hauptrahmen passten. Vorgeschlagen von der Europäischen Kommission am 21. April 2021, verabschiedete das Europäische Parlament die Verordnung am 13. März 2024, und sie wurde am 21. Mai 2024 einstimmig vom EU-Rat genehmigt.
Risikokategorien
Das risikobasierte Schema der Verordnung folgt einem Produktsicherheitsmodell, in dem regulatorische Pflichten Anbietern und Bereitstellern von KI-Systemen zugewiesen werden, die anspruchsvoller werden, je mehr potenzielle Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte zunehmen. Anwendungen mit inakzeptablen Risiken sind verboten, außer für spezifische Ausnahmen. Dies umfasst KI, die menschliches Verhalten manipuliert, Echtzeit-Fernbiometrie-Identifikation in öffentlichen Räumen und Social Scoring. Hochrisiko-Anwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen einhalten und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko haben nur Transparenzpflichten, während Anwendungen mit minimalem Risiko nicht reguliert sind.
Pflichten für allgemeine KI
Für allgemeine KI-Modelle legt die Verordnung Transparenzanforderungen fest, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Modelle mit hoher Kapazität. Anbieter müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Politik zur Einhaltung des Urheberrechts übernehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Wenn die Gewichte und das Design eines Modells als Open Source veröffentlicht werden, müssen Entwickler eine Trainingsdaten-Zusammenfassung und eine Urheberrechtspolitik veröffentlichen; Closed-Source-Modelle müssen breitere Transparenzanforderungen erfüllen.
Modelle mit systemischem Risiko
Hochwirksame Modelle, die systemische Risiken darstellen - definiert als mehr als 10^25 Gleitkommaoperationen zum Trainieren erforderlich - müssen zusätzliche Bewertungen durchlaufen. Diese Modelle müssen Modellevaluierungen und adversariale Tests durchführen, Risiken wie Verzerrung und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und ein angemessenes Maß an Cybersicherheit gewährleisten. Der Schwellenwert zielt darauf ab, die leistungsfähigsten großen Sprachmodelle und andere Grundlagenmodelle zu erfassen, die weitreichende gesellschaftliche Auswirkungen haben könnten.
Verhaltenskodex
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht und Sicherheit, um Anbietern zu helfen, die Einhaltung des AI Act nachzuweisen. Die Teilnahme am Kodex ist freiwillig. Der Kodex bietet praktische Anleitung für Anbieter, insbesondere kleinere Unternehmen und Open-Source-Entwickler, wie sie ihre Verpflichtungen unter der Verordnung erfüllen können.
Ausnahmen
Die Artikel 2.3 und 2.6 befreien KI-Systeme, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom AI Act. Die Verordnung gilt nicht, wo KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für diese Zwecke entwickelt und in Betrieb genommen werden. Nicht-professionelle Nutzung und Forschungszwecke sind ebenfalls vom Anwendungsbereich ausgeschlossen.
Durchsetzung und Governance
Die Verordnung schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung der Verordnung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann die Verordnung extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben. Dies bedeutet, dass Unternehmen wie OpenAI, Anthropic und Google DeepMind die Anforderungen der Verordnung für Modelle, die EU-Nutzern angeboten werden, einhalten müssen, unabhängig davon, wo der Anbieter ansässig ist.
Umsetzungszeitplan
Die Verordnung trat am 1. August 2024 in Kraft, mit Bestimmungen, die über 6 bis 36 Monate schrittweise eingeführt werden. Die schrittweise Umsetzung gibt Anbietern Zeit, ihre Systeme und Dokumentation anzupassen. Der risikobasierte Ansatz der Verordnung bedeutet, dass die meisten KI-Anwendungen, wie Videospiele oder Spam-Filter, in die Kategorie mit minimalem Risiko fallen und unreguliert bleiben, während Hochrisiko-Anwendungen den strengsten Anforderungen gegenüberstehen.
Verhältnis zum bestehenden Recht
Die Mitgliedstaaten können aufgrund maximaler Harmonisierung keine zusätzlichen Vorschriften für KI-Systeme mit minimalem Risiko auferlegen, und bestehende nationale Gesetze bezüglich des Designs oder der Nutzung solcher Systeme werden überstimmt. Ein freiwilliger Verhaltenskodex wird jedoch für Anwendungen mit minimalem Risiko vorgeschlagen. Die Struktur der Verordnung soll sicherstellen, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während leichtere Ansätze für als weniger sensibel betrachtete Nutzungen ermöglicht werden. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen.
Breiterer Kontext
Der AI Act stellt eine bedeutende regulatorische Entwicklung für das Feld der künstlichen Intelligenz dar, die beeinflusst, wie maschinelle Lernmodelle in der EU entwickelt und bereitgestellt werden. Die Bestimmungen für allgemeine KI zielen speziell auf generative KI-Systeme ab, die auf Transformer-Architekturen basieren, die seit der Einführung von Modellen wie ChatGPT weit verbreitet sind. Die extraterritoriale Reichweite der Verordnung bedeutet, dass ihr Einfluss über die EU-Grenzen hinausgeht und möglicherweise globale Standards für KI-Governance und Modellsicherheitspraktiken prägt.