Die Verhandlungen zum EU-KI-Gesetz waren eine Reihe von Trilogen, die zwischen der Europäischen Kommission, dem Europäischen Parlament und dem Rat der Europäischen Union abgehalten wurden, um den Text des Gesetzes über künstliche Intelligenz (KI-Gesetz) fertigzustellen. Die Verhandlungen endeten mit einer politischen Einigung am 8. Dezember 2023, woraufhin das Gesetz am 13. März 2024 vom Parlament formell angenommen und am 21. Mai 2024 vom Rat gebilligt wurde. Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise eingeführt wurden.
Das KI-Gesetz schafft einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz in der EU. Es deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte; stattdessen legt es Pflichten für KI-Anbieter und für Organisationen fest, die KI in einem beruflichen Kontext nutzen.
Hintergrund und Vorschlag
Die Europäische Kommission schlug das KI-Gesetz am 21. April 2021 vor. Der erste Entwurf konzentrierte sich auf einen risikobasierten Rahmen für KI-Anwendungen und stützte sich auf frühere Arbeiten zur KI-Ethik und Produktsicherheitsregulierung. Der Vorschlag durchlief während des Gesetzgebungsverfahrens eine umfassende Überprüfung und Änderung.
Der Aufstieg von generativen KI-Systemen wie ChatGPT von OpenAI stellte eine Herausforderung für den ursprünglichen Rahmen dar. Diese Allzweckmodelle konnten eine Vielzahl von Aufgaben ausführen und passten nicht genau in die vordefinierten Risikokategorien. Der Gesetzesentwurf wurde überarbeitet, um dies zu berücksichtigen, und eine spezifische Kategorie für allgemeine KI wurde hinzugefügt.
Triloge
Triloge sind informelle dreigliedrige Treffen zwischen Vertretern des Europäischen Parlaments, des Rates und der Europäischen Kommission, um ihre unterschiedlichen Positionen zu einem Legislativvorschlag in Einklang zu bringen. Für das KI-Gesetz begannen diese Verhandlungen, nachdem das Parlament im Juni 2023 seine Verhandlungsposition angenommen und der Rat im Dezember 2022 seine allgemeine Ausrichtung festgelegt hatte.
Die Triloge behandelten mehrere strittige Punkte, darunter die Definition von Hochrisiko-KI, die Behandlung von Basismodellen und die Nutzung von Echtzeit-Fernbiometrie im öffentlichen Raum. Das Parlament drängte auf strengere Regeln für biometrische Überwachung und robustere Verpflichtungen für allgemeine KI, während der Rat darauf abzielte, Innovation mit Verbraucherschutz in Einklang zu bringen.
Ein früherer Entwurf wurde vom Parlament in einer Ausschussabstimmung abgelehnt, was zu einem überarbeiteten Mandat führte. Die endgültige politische Einigung wurde am 8. Dezember 2023 nach Marathonverhandlungen erzielt, die sich bis in die frühen Morgenstunden erstreckten.
Wichtigste Ergebnisse
Der endgültige Text des KI-Gesetzes führte eine vierstufige Risikoklassifizierung ein: inakzeptables, hohes, begrenztes und minimales Risiko. Anwendungen mit inakzeptablem Risiko sind verboten, außer für spezifische Ausnahmen. Hochrisiko-Anwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko haben Transparenzpflichten, während Anwendungen mit minimalem Risiko nicht reguliert sind.
Eine neue Kategorie für allgemeine KI wurde 2023 hinzugefügt. Dies umfasst Basismodelle, die eine Vielzahl von Aufgaben ausführen können. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen (die mehr als 10^25 Gleitkommaoperationen zum Training erfordern), müssen einer zusätzlichen Bewertung unterzogen werden.
Das Gesetz schuf auch den Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Risikokategorien im Detail
Inakzeptables Risiko umfasst KI-Anwendungen, die menschliches Verhalten manipulieren, Echtzeit-Fernbiometrie (wie Gesichtserkennung) im öffentlichen Raum verwenden oder für Social Scoring genutzt werden. Diese sind verboten, mit engen Ausnahmen.
Hochrisiko-Anwendungen umfassen KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden. Sie unterliegen Qualitäts-, Transparenz-, menschlichen Aufsichts- und Sicherheitspflichten. Einige erfordern vor der Bereitstellung eine Folgenabschätzung für Grundrechte (FRIA). Bürger haben das Recht, Beschwerden einzureichen und Erklärungen zu Entscheidungen zu erhalten, die von Hochrisiko-KI getroffen werden und ihre Rechte betreffen.
Begrenztes Risiko umfasst KI-Systeme, die Bilder, Töne oder Videos erzeugen oder manipulieren (wie Deepfakes), die die Nutzer darüber informieren müssen, dass sie mit KI interagieren. Minimales Risiko umfasst Videospiele und Spamfilter, die nicht reguliert sind, und die Mitgliedstaaten können aufgrund der Vorschriften zur maximalen Harmonisierung keine zusätzlichen Regelungen auferlegen.
Verpflichtungen für allgemeine KI
Anbieter allgemeiner KI-Modelle müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko eingestuft werden, müssen außerdem Modellevaluierungen und adversariale Tests durchführen, Risiken wie Verzerrung und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und eine angemessene Cybersicherheit gewährleisten.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung zu erleichtern. Die Teilnahme am Kodex ist freiwillig.
Ausnahmen und Extraterritorialität
Die Artikel 2.3 und 2.6 befreien KI-Systeme, die für militärische Zwecke oder nationale Sicherheit oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz. Die Verordnung gilt nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich aus diesen Gründen entwickelt und in Betrieb genommen werden.
Das Gesetz kann auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben, ähnlich der extraterritorialen Reichweite der DSGVO. Dies bedeutet, dass Unternehmen mit Sitz in den USA, China oder anderswo die Vorschriften einhalten müssen, wenn sie KI-Dienste für EU-Bürger anbieten.
Umsetzungszeitplan
Das KI-Gesetz trat am 1. August 2024 in Kraft. Die Bestimmungen werden in den folgenden 6 bis 36 Monaten schrittweise in Kraft treten. Zu den ersten Meilensteinen gehörten Verbote für KI-Anwendungen mit inakzeptablem Risiko, die im Februar 2025 wirksam wurden. Verpflichtungen für allgemeine KI-Modelle werden voraussichtlich ab August 2025 gelten, mit vollständiger Anwendung der Hochrisiko-Regeln bis 2027.
Bedeutung
Das KI-Gesetz stellt den ersten umfassenden Rechtsrahmen für KI weltweit dar. Es hat politische Diskussionen in anderen Rechtsordnungen, einschließlich der Vereinigten Staaten und China, beeinflusst. Die Verhandlungen zeigten den Ansatz der EU, aufkommende Technologien durch ein risikobasiertes Produktsicherheitsmodell zu regulieren und Innovation mit dem Schutz der Grundrechte in Einklang zu bringen.
Der Erfolg des Gesetzes wird von der Umsetzung und Durchsetzung durch nationale Behörden und den Europäischen Ausschuss für künstliche Intelligenz abhängen. Ab 2025 werden viele technische Standards und Leitfäden noch entwickelt, um die Einhaltung zu unterstützen.