Das Datum des Hochrisiko-Systems des EU-KI-Gesetzes markiert den Tag, ab dem die umfangreichsten Compliance-Pflichten des Gesetzes über künstliche Intelligenz der Europäischen Union (KI-Gesetz) durchsetzbar werden. Es fällt auf den 2. August 2026, genau 24 Monate nach Inkrafttreten der Verordnung, und löst Verpflichtungen für Anbieter und Bereitsteller von KI-Systemen aus, die im risikobasierten Rahmen des Gesetzes als Hochrisiko eingestuft werden. Das KI-Gesetz, das von der Europäischen Kommission am 21. April 2021 vorgeschlagen und vom Europäischen Parlament am 13. März 2024 sowie vom EU-Rat am 21. Mai 2024 genehmigt wurde, etabliert einen gemeinsamen Regulierungsrahmen für künstliche Intelligenz in der gesamten EU und gilt extraterritorial für Anbieter außerhalb des Blocks, sofern sie Nutzer innerhalb der EU haben.
Die Hochrisiko-Kategorie umfasst KI-Systeme, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen, einschließlich solcher, die im Gesundheitswesen, in der Bildung, bei der Personalrekrutierung, im Management kritischer Infrastrukturen, in der Strafverfolgung und im Justizwesen eingesetzt werden. Ab dem Hochrisiko-Datum müssen diese Systeme Sicherheits-, Transparenz- und Qualitätsanforderungen erfüllen, Konformitätsbewertungen durchlaufen und in einigen Fällen eine Folgenabschätzung für Grundrechte vor der Bereitstellung erfordern. Das Datum ist Teil eines gestaffelten Zeitplans, in dem die Bestimmungen des Gesetzes schrittweise über 6 bis 36 Monate wirksam werden, wobei die Hochrisiko-Pflichten nach 24 Monaten eintreten.
Regulatorischer Zeitplan und Phasen
Das KI-Gesetz trat am 1. August 2024 in Kraft, aber seine Bestimmungen wurden entwickelt, um im Laufe der Zeit schrittweise eingeführt zu werden, damit Interessengruppen sich anpassen können. Die ersten Verbote für Anwendungen mit inakzeptablem Risiko, wie Social Scoring und Echtzeit-Fernbiometrie-Identifikation im öffentlichen Raum, traten am 2. Februar 2025 in Kraft, sechs Monate nach Inkrafttreten. Verpflichtungen für allgemeine KI, einschließlich Transparenzanforderungen für Basismodelle, wurden am 2. August 2025 anwendbar. Das Hochrisiko-Datum vom 2. August 2026 stellt den dritten großen Meilenstein dar und wendet die umfangreichsten Pflichten auf eine breite Palette von KI-Systemen an.
Eine vierte Phase, die Hochrisiko-KI-Systeme abdeckt, die in Produkte eingebettet sind, die bereits durch andere EU-Gesetzgebung reguliert werden, wie Medizinprodukte und Maschinen, ist für den 2. August 2027 geplant. Dieser gestaffelte Ansatz spiegelt das Produktsicherheitsmodell des Gesetzes wider, bei dem regulatorische Pflichten Anbietern und Bereitstellern zugewiesen werden und diese Pflichten anspruchsvoller werden, je mehr potenzielle Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte zunehmen. Die Europäische Kommission entwarf diesen Zeitplan, um Entwicklern, insbesondere kleinen und mittleren Unternehmen, Zeit zu geben, Compliance-Mechanismen in ihre Produktlebenszyklen zu integrieren.
Umfang der Hochrisiko-Klassifizierung
Hochrisiko-KI-Systeme sind in Anhang III des Gesetzes definiert und decken acht spezifische Bereiche ab: biometrische Identifikation und Kategorisierung natürlicher Personen; Management und Betrieb kritischer Infrastrukturen; Bildung und Berufsausbildung; Beschäftigung, Arbeitnehmermanagement und Zugang zu selbstständiger Arbeit; Zugang zu und Nutzung wesentlicher privater Dienste sowie öffentlicher Dienste und Leistungen; Strafverfolgung; Migrations-, Asyl- und Grenzkontrollmanagement; und Verwaltung der Justiz und demokratischer Prozesse. Systeme in diesen Bereichen gelten als Hochrisiko, es sei denn, sie führen enge prozedurale Aufgaben aus, verbessern das Ergebnis zuvor abgeschlossener menschlicher Aktivitäten oder beeinflussen nicht die Rechte von Einzelpersonen.
Die Klassifizierung ist dynamisch. Die Liste der Hochrisiko-Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern, durch delegierte Rechtsakte der Europäischen Kommission. Diese Flexibilität ermöglicht es der Verordnung, auf aufkommende Nutzungen von maschinellem Lernen und tiefem Lernen zu reagieren. Anbieter müssen ihre Systeme sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewerten, mit Verpflichtungen zur Pflege technischer Dokumentation, Implementierung von Risikomanagementsystemen, Sicherstellung der Datenverwaltung und Ermöglichung menschlicher Aufsicht.
Konformitätsbewertungen und Folgenabschätzungen für Grundrechte
Eine zentrale Anforderung ab dem Hochrisiko-Datum ist die Konformitätsbewertung, ein Verfahren, das überprüft, ob ein KI-System die Anforderungen des Gesetzes erfüllt, bevor es auf dem EU-Markt platziert werden kann. Für die meisten Hochrisiko-Systeme führen Anbieter eine Selbsteinschätzung gegen harmonisierte Normen durch, während Systeme in bestimmten Kategorien, wie biometrische Identifikation, die Einbeziehung einer benannten Stelle erfordern. Die Bewertung umfasst Daten-Trainingspraktiken, Modellleistung, Cybersicherheitsmaßnahmen sowie die Genauigkeit und Robustheit des Systems.
Für Hochrisiko-Systeme, die in der öffentlichen Verwaltung, Strafverfolgung oder wesentlichen Diensten eingesetzt werden, müssen Bereitsteller vor der Bereitstellung auch eine Folgenabschätzung für Grundrechte (FRIA) durchführen. Diese Ex-ante-Überprüfung identifiziert und mildert potenzielle Auswirkungen auf Grundrechte, beschreibt, welche Einzelpersonen und Gemeinschaften betroffen sind, mögliche Schäden und bietet eine Grundlage für öffentliche und institutionelle Prüfung. Die FRIA-Anforderung baut auf früheren Arbeiten zu algorithmischen Folgenabschätzungen auf und soll sicherstellen, dass die KI-Bereitstellung nicht unverhältnismäßig Rechte verletzt, die unter EU-Recht geschützt sind.
Bürger erhalten ab dem Hochrisiko-Datum neue Verfahrensrechte. Sie können Beschwerden über KI-Systeme bei nationalen Aufsichtsbehörden einreichen und Erklärungen zu Entscheidungen erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen. Diese Rechte schaffen keine individuellen Klagegründe unter dem Gesetz selbst, da es eine Form der Produktregulierung ist, ergänzen jedoch bestehende Rechtsbehelfe unter der Datenschutz-Grundverordnung und nationalen Gesetzen.
Pflichten für Anbieter und Bereitsteller
Anbieter von Hochrisiko-KI-Systemen müssen ein Qualitätsmanagementsystem einrichten, technische Dokumentation pflegen, Überwachung nach dem Inverkehrbringen implementieren und Korrekturmaßnahmen ergreifen, wenn Systeme Risiken darstellen. Sie müssen auch sicherstellen, dass Trainings-, Validierungs- und Testdaten relevant, repräsentativ und, wo machbar, frei von Verzerrungen sind. Transparenzverpflichtungen erfordern, dass Nutzer informiert werden, wenn sie mit einem KI-System interagieren, und dass Systeme so gestaltet sind, dass menschliche Aufsicht möglich ist, einschließlich der Fähigkeit, Ausgaben zu interpretieren und einzugreifen oder den Betrieb zu stoppen.
Bereitsteller, die Organisationen, die Hochrisiko-KI in einem beruflichen Kontext nutzen, haben separate Pflichten. Sie müssen Systeme gemäß den Anweisungen verwenden, menschliche Aufsicht entsprechend geschultem Personal zuweisen, auf Anzeichen von Risiken überwachen und schwerwiegende Vorfälle den Behörden melden. Bereitsteller im öffentlichen Sektor müssen ihre Systeme vor der Bereitstellung in einer EU-Datenbank registrieren. Diese Pflichten gelten unabhängig davon, ob der Bereitsteller in der EU ansässig ist, da das Gesetz extraterritorial für Anbieter und Bereitsteller mit Nutzern innerhalb der EU gelten kann.
Beziehung zu allgemeiner KI und generativen Modellen
Das Hochrisiko-Datum funktioniert neben einer separaten Kategorie für allgemeine KI, die während des Gesetzgebungsprozesses 2023 hinzugefügt wurde, um den Aufstieg von generativen KI-Systemen wie ChatGPT zu adressieren. Allgemeine Modelle, einschließlich großer Sprachmodelle, die auf Transformer-Architekturen basieren, sind nicht automatisch Hochrisiko, sehen sich jedoch eigenen Transparenzanforderungen gegenüber. Open-Source-Modelle müssen Zusammenfassungen der Trainingsdaten und Urheberrechtsrichtlinien veröffentlichen, während Closed-Source-Modelle breiteren Transparenzpflichten unterliegen. Hochwirkende Modelle, die mehr als 10^25 Gleitkommaoperationen zum Training erfordern, müssen zusätzliche Bewertungen für systemische Risiken durchlaufen.
Die Unterscheidung ist für das Hochrisiko-Datum wichtig, weil einige allgemeine KI-Systeme in Hochrisiko-Kontexten eingesetzt werden können. Ein Basismodell, das in der Personalrekrutierung oder im Gesundheitswesen verwendet wird, könnte beispielsweise Hochrisiko-Pflichten für den Bereitsteller auslösen, selbst wenn das Modell selbst unter der allgemeinen KI-Kategorie reguliert wird. Der Rahmen des Gesetzes weist Pflichten sowohl dem Modellanbieter als auch dem Bereitsteller zu, was überlappende Compliance-Verantwortlichkeiten schafft. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, bietet freiwillige Leitlinien zu Transparenz, Urheberrecht und Sicherheit, ersetzt jedoch nicht die verbindlichen Hochrisiko-Anforderungen.
Durchsetzung und Governance
Das Hochrisiko-Datum aktiviert Durchsetzungsmechanismen, die von nationalen Aufsichtsbehörden und dem Europäischen Ausschuss für künstliche Intelligenz überwacht werden, der die nationale Zusammenarbeit fördert und eine konsistente Einhaltung sicherstellt. Jeder EU-Mitgliedstaat muss eine Marktüberwachungsbehörde benennen, die für die Überwachung von Hochrisiko-Systemen, die Durchführung von Kontrollen und die Verhängung von Strafen bei Nichteinhaltung verantwortlich ist. Geldstrafen können bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes für Verstöße gegen verbotene Praktiken betragen, mit niedrigeren, aber dennoch erheblichen Geldstrafen für andere Verstöße.
Die Europäische Kommission unterhält eine öffentliche Datenbank für Hochrisiko-KI-Systeme, die Bereitsteller im öffentlichen Sektor für die Registrierung nutzen müssen. Das Gesetz fördert auch die Entwicklung harmonisierter Normen durch europäische Normungsorganisationen, die technische Spezifikationen für die Einhaltung bereitstellen. Wo Normen noch nicht verfügbar sind, können Anbieter auf gemeinsame Spezifikationen zurückgreifen, die von der Kommission angenommen wurden. Diese Governance-Struktur soll sicherstellen, dass das Hochrisiko-Datum zu einer sinnvollen Aufsicht führt und nicht nur zu formaler Compliance.
Auswirkungen auf Industrie und Innovation
Das Hochrisiko-Datum hat erhebliche Auswirkungen auf KI-Entwickler und -Nutzer in allen Sektoren. Unternehmen, die KI für medizinische Diagnose, Bildungsbewertung, Einstellung oder Strafverfolgung entwickeln, müssen ihre Arbeitsabläufe neu gestalten, um die Anforderungen des Gesetzes zu erfüllen. Dies umfasst die Dokumentation der Datenherkunft, die Implementierung von Risikomanagementprozessen und die Sicherstellung von Prüfpfaden. Die Compliance-Last ist erheblich, aber das Gesetz erlaubt leichtere Ansätze für Systeme, die als weniger sensibel gelten, und die meisten KI-Anwendungen, wie Videospiele und Spamfilter, fallen in die Kategorie mit minimalem Risiko und sind nicht reguliert.
Für Nicht-EU-Anbieter bedeutet die extraterritoriale Reichweite des Gesetzes, dass Unternehmen in den USA, China und anderswo einhalten müssen, wenn sie Hochrisiko-KI-Systeme für EU-Nutzer anbieten. Dies hat zu einer globalen Konvergenz in der KI-Governance-Praxis geführt, da viele multinationale Unternehmen die Standards des Gesetzes auf ihre gesamten Betriebe anwenden. Das Hochrisiko-Datum interagiert auch mit anderen EU-Digitalregulierungen, einschließlich der Datenschutz-Grundverordnung und der vorgeschlagenen KI-Haftungsrichtlinie, und schafft eine komplexe, aber kohärente regulatorische Landschaft für künstliche Intelligenz in Europa.