Die Leitlinien zum EU-KI-Gesetz sind offizielle Orientierungsdokumente, die von der Europäischen Kommission veröffentlicht wurden, um Anbietern, Betreibern und nationalen Behörden die Anwendung des Gesetzes über künstliche Intelligenz (KI-Gesetz), der umfassenden Regulierung der Europäischen Union für künstliche Intelligenz, zu erleichtern. Das KI-Gesetz selbst trat am 1. August 2024 in Kraft, wobei die Verpflichtungen über einen Zeitraum von 6 bis 36 Monaten schrittweise eingeführt werden. Die Leitlinien sind nicht rechtlich bindend, interpretieren jedoch die Bestimmungen der Verordnung, klären Risikoklassifizierungen und veranschaulichen Compliance-Wege für Unternehmen und öffentliche Einrichtungen, die innerhalb der EU tätig sind oder EU-Nutzer bedienen.
Das KI-Gesetz schafft einen gemeinsamen Regulierungsrahmen für KI in allen EU-Mitgliedstaaten und folgt einem Produktsicherheitsmodell, das Pflichten für KI-Anbieter und professionelle Nutzer festlegt. Es deckt die meisten KI-Systeme in Bereichen wie Gesundheit, Bildung, Beschäftigung und Strafverfolgung ab, während Systeme, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschung oder nicht-professionelle Zwecke verwendet werden, ausgenommen sind. Als Form der Produktregulierung schafft es keine individuellen Rechte, sondern auferlegt Organisationen Verpflichtungen. Die Verordnung kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben, was der Reichweite der Datenschutz-Grundverordnung entspricht.
Hintergrund und Gesetzgebungsgeschichte
Die Europäische Kommission schlug das KI-Gesetz erstmals am 21. April 2021 vor. Der Entwurf wurde nach dem rasanten Aufstieg von generativen KI-Systemen wie ChatGPT, deren allgemeine Fähigkeiten nicht in den ursprünglichen Risikorahmen passten, erheblich überarbeitet. Das Europäische Parlament verabschiedete den überarbeiteten Text am 13. März 2024, und der EU-Rat genehmigte ihn am 21. Mai 2024 einstimmig. Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise anwendbar wurden. Die Leitlinien wurden ab 2025 in Etappen veröffentlicht, beginnend mit praktischen Erläuterungen der Risikokategorien und Pflichten für Hochrisikosysteme.
Die Orientierungshilfe der Kommission stützt sich auf eine Folgenabschätzung, die auf Konsultationen mit Interessenträgern und bestehender Forschung beruhte. Der Wissenschaftliche Dienst des Europäischen Parlaments lieferte eine erste Bewertung der politischen Optionen und wies auf die Herausforderung hin, Innovation mit dem Schutz der Grundrechte in Einklang zu bringen. Die Leitlinien zielen darauf ab, Unsicherheiten für Unternehmen, insbesondere kleine und mittlere Unternehmen, zu verringern, indem sie konkrete Beispiele und Schritt-für-Schritt-Anleitungen für Konformitätsbewertungen bieten.
Rahmenwerk zur Risikoklassifizierung
Die Leitlinien erläutern die vier Risikostufen, die das Gesetz festlegt, sowie eine separate Kategorie für allgemeine KI. Anwendungen mit inakzeptablem Risiko sind vollständig verboten, mit engen Ausnahmen. Dazu gehören KI-Systeme, die menschliches Verhalten manipulieren, Echtzeit-Fernbiometrie im öffentlichen Raum verwenden oder Social Scoring auf der Grundlage persönlicher Merkmale oder des sozioökonomischen Status ermöglichen.
Hochrisikoanwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und vor dem Inverkehrbringen Konformitätsbewertungen durchlaufen. Die Leitlinien legen fest, dass Hochrisikokategorien KI umfassen, die in Gesundheit, Bildung, Personalbeschaffung, Verwaltung kritischer Infrastruktur, Strafverfolgung und Justiz eingesetzt wird. Anbieter müssen menschliche Aufsicht implementieren, technische Dokumentation führen und in einigen Fällen vor der Bereitstellung eine Folgenabschätzung für Grundrechte (FRIA) durchführen. Eine FRIA ist eine Ex-ante-Prüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte, die auf früheren Arbeiten zur algorithmischen Folgenabschätzung aufbaut, die vorschlugen, betroffene Gemeinschaften zu identifizieren, mögliche Schäden zu beschreiben und öffentliche Prüfung zu ermöglichen. Die Liste der Hochrisikoanwendungen kann im Laufe der Zeit erweitert werden, ohne das Gesetz selbst zu ändern.
Systeme mit begrenztem Risiko unterliegen nur Transparenzpflichten. Nutzer müssen informiert werden, wenn sie mit einem KI-System interagieren, insbesondere bei Anwendungen, die Bilder, Ton oder Video erzeugen oder manipulieren, wie Deepfakes. Systeme mit minimalem Risiko, einschließlich Videospielen und Spam-Filtern, sind nicht reguliert, und Mitgliedstaaten können aufgrund von Harmonisierungsvorschriften zur maximalen Angleichung keine zusätzlichen Anforderungen auferlegen. Die Leitlinien stellen fest, dass die meisten KI-Anwendungen voraussichtlich in diese Kategorie fallen, wobei ein freiwilliger Verhaltenskodex gefördert wird.
Pflichten für allgemeine KI
Die Leitlinien widmen der allgemeinen KI erhebliche Aufmerksamkeit, einer Kategorie, die 2023 hinzugefügt wurde, um Basismodelle wie große Sprachmodelle abzudecken, die eine breite Palette von Aufgaben ausführen können. Anbieter solcher Modelle müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechtsrichtlinie annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Open-Source-Modelle unterliegen reduzierten Anforderungen, während Closed-Source-Modelle umfassendere Transparenzstandards erfüllen müssen.
Hochwirksame Modelle mit systemischen Risiken, definiert als solche, die mehr als 1025 Gleitkommaoperationen zum Training erfordern, müssen zusätzliche Bewertungen durchlaufen. Dazu gehören Modellevaluierungen, adversariale Tests, Risikobewertungen für Verzerrungen und Sicherheitsfehler, Meldung schwerwiegender Vorfälle und angemessene Cybersicherheitsmaßnahmen. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, umreißt drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz. Die Teilnahme am Kodex ist freiwillig, aber die Leitlinien stellen klar, dass die Befolgung des Kodex zur Demonstration der Konformität beitragen kann.
Konformitätsbewertungen und Durchsetzung
Die Leitlinien erläutern die Verfahren zur Konformitätsbewertung, die Anbieter von Hochrisiko-KI befolgen müssen. Diese Bewertungen verifizieren, dass Systeme die Anforderungen des Gesetzes an Datengovernance, technische Dokumentation, Rückverfolgbarkeit, menschliche Aufsicht, Genauigkeit und Robustheit erfüllen. Anbieter müssen Systeme sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewerten, wobei Aktualisierungen bei Bedarf eine Neubewertung auslösen.
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und eine einheitliche Durchsetzung in allen Mitgliedstaaten sicherzustellen. Nationale Aufsichtsbehörden sind für Marktüberwachung, die Bearbeitung von Beschwerden und die Verhängung von Sanktionen bei Nichteinhaltung verantwortlich. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erläuterungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen. Die Leitlinien empfehlen, dass Behörden über den Ausschuss koordinieren, um Fragmentierung zu vermeiden und eine einheitliche Anwendung sicherzustellen.
Praktische Umsetzungshinweise
Für Organisationen, die KI einsetzen, bieten die Leitlinien praktische Schritte, um zu bestimmen, ob ihre Systeme in den Anwendungsbereich des Gesetzes fallen und welche Risikokategorie gilt. Sie empfehlen, ein vorläufiges Screening durchzuführen, um Ausnahmen zu prüfen, und dann die Systemfunktionen gegen die Risikokriterien abzubilden. Für Hochrisikosysteme müssen Anbieter ein Qualitätsmanagementsystem einrichten, Protokolle führen und Mechanismen zur menschlichen Aufsicht sicherstellen.
Die Leitlinien behandeln auch das Zusammenspiel zwischen dem KI-Gesetz und anderen EU-Rechtsvorschriften, insbesondere der Datenschutz-Grundverordnung. Sie stellen klar, dass das KI-Gesetz Datenschutzbestimmungen nicht außer Kraft setzt, sondern ergänzt, mit überlappenden Pflichten für Systeme, die personenbezogene Daten verarbeiten. Betreiber müssen sicherstellen, dass ihre KI-Nutzung beiden Rahmenwerken entspricht, und die Leitlinien bieten Beispiele, wie Anforderungen in der Praxis in Einklang gebracht werden können.
Branchenspezifische Überlegungen
Die Leitlinien enthalten Anhänge mit branchenspezifischen Beispielen, die Bereiche wie Gesundheitswesen, Bildung, Personalbeschaffung und Strafverfolgung abdecken. Im Gesundheitswesen sind KI-Systeme, die für Diagnose oder Behandlungsempfehlungen verwendet werden, in der Regel Hochrisikosysteme, die strenge Tests und klinische Validierung erfordern. In der Bildung fallen Systeme, die die Leistung von Schülern bewerten oder den Zugang zu Bildungsmöglichkeiten bestimmen, unter Hochrisikopflichten. Rekrutierungstools, die Kandidaten screenen oder einstufen, sind ebenfalls Hochrisikosysteme, mit Anforderungen an Transparenz und Nichtdiskriminierung.
Strafverfolgungsanwendungen erhalten besondere Aufmerksamkeit, angesichts der sensiblen Natur ihrer Nutzung. Die Leitlinien bekräftigen das Verbot der Echtzeit-Fernbiometrie im öffentlichen Raum, mit begrenzten Ausnahmen für bestimmte schwere Straftaten und mit vorheriger richterlicher Genehmigung. Sie stellen auch klar, dass KI-Systeme, die für Kriminalitätsvorhersage oder Risikobewertung verwendet werden, Hochrisikopflichten erfüllen müssen, einschließlich menschlicher Aufsicht und Folgenabschätzungen für Grundrechte.
Zukünftige Entwicklungen und Überarbeitungen
Die Leitlinien sollen sich zusammen mit der Technologie und der schrittweisen Umsetzung des Gesetzes weiterentwickeln. Die Kommission hat angekündigt, dass sie zusätzliche Orientierungshilfen veröffentlichen wird, sobald neue Bestimmungen anwendbar werden, insbesondere für allgemeine KI und Hochrisikosysteme. Der freiwillige Verhaltenskodex für Systeme mit minimalem Risiko kann auf der Grundlage von Rückmeldungen der Interessenträger aktualisiert werden. Die Leitlinien stellen auch fest, dass die Liste der Hochrisikoanwendungen durch delegierte Rechtsakte erweitert werden kann, und die Kommission wird technologische Entwicklungen wie Fortschritte im maschinellen Lernen und Deep Learning überwachen, um zu bestimmen, ob regulatorische Anpassungen erforderlich sind.
Stand 2025 bleiben die Leitlinien ein lebendes Dokument, wobei die Kommission Rückmeldungen von Industrie, Zivilgesellschaft und nationalen Behörden fördert. Das Ziel ist es, Innovation zu unterstützen und gleichzeitig sicherzustellen, dass in der EU eingesetzte KI-Systeme Grundrechte und Sicherheitsstandards respektieren. Anbieter von außerhalb der EU, einschließlich großer Technologieunternehmen, müssen sich mit diesen Leitlinien vertraut machen, wenn sie Dienste für EU-Nutzer anbieten, da die extraterritoriale Reichweite des Gesetzes auf sie zutrifft.