Der EU AI Act ist eine Verordnung der Europäischen Union, die einen gemeinsamen Rechtsrahmen für künstliche Intelligenz schafft. Er trat am 1. August 2024 in Kraft, wobei die Bestimmungen über einen Zeitraum von 6 bis 36 Monaten schrittweise eingeführt werden. Das Gesetz klassifiziert KI-Anwendungen in Risikokategorien: unannehmbar, hoch, begrenzt und minimal, plus eine spezifische Kategorie für allgemeine KI. Anwendungen, die als unannehmbares Risiko eingestuft werden, sind vollständig verboten. Das Gesetz begründet keine individuellen Rechte, sondern auferlegt Pflichten für Anbieter und professionelle Betreiber; es kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, deren Nutzer in der EU sind.
Das Verbot von Praktiken mit „unannehmbarem Risiko“ ist einer der folgenreichsten Teile der Verordnung. Es spiegelt eine politische Entscheidung wider, eine klare Grenze gegen bestimmte KI-Nutzungen zu ziehen, die Grundrechte und demokratische Werte untergraben könnten. Während das Gesetz einige Flexibilität zulässt, sind diese Verbote absolut, sofern keine spezifische Ausnahme greift, und die Europäische Kommission hat Leitlinien zur Klärung des Umfangs der Verbote bereitgestellt.
Verbotene Praktiken unter den Verbotsbestimmungen
Die Verbote des Gesetzes betreffen KI-Systeme, die Schwachstellen ausnutzen, Verhalten manipulieren, Social Scoring ermöglichen oder bestimmte Formen biometrischer Überwachung einsetzen. Konkret gelten die folgenden Praktiken überall in der EU als unannehmbar, vorbehaltlich enger Ausnahmen:
Verhaltensmanipulation und -ausbeutung. KI-Systeme, die subliminale, manipulative oder täuschende Techniken einsetzen, die darauf abzielen, das Verhalten einer Person zu verzerren und erheblichen Schaden zu verursachen, sind verboten. Dies umfasst die Ausnutzung von Schwachstellen von Personen - wie solche, die mit Alter, Behinderung oder sozioökonomischer Situation verbunden sind -, wenn die Praxis das Verhalten materiell verzerrt und dieser Person oder einer anderen Person Schaden zufügt oder wahrscheinlich zufügt. Beispielsweise ist ein Spielzeug, das Sprachassistenz nutzt, um ein Kind zu gefährlichen Handlungen zu ermutigen, verboten.
Social Scoring. Das Gesetz verbietet KI-Systeme, die Personen auf der Grundlage ihres sozialen Verhaltens in verschiedenen Kontexten bewerten oder klassifizieren, wenn die daraus resultierende soziale Punktzahl zu einer nachteiligen oder ungünstigen Behandlung führt, die unverhältnismäßig zu den ursprünglichen Daten oder Umständen ist. Das Verbot zielt auf die Praxis ab, Bürgern durch öffentliche oder private Akteure Sozialkreditpunkte zuzuweisen, die zu schlechterer Behandlung in Kontexten führt, die nichts mit den ursprünglich erhobenen Daten zu tun haben.
Die Verbote sind so gestaltet, dass sie die spezifischen Praktiken adressieren, die als am schädlichsten gelten, und das europäische Recht in Einklang mit öffentlichen Erwartungen und Menschenrechtsverpflichtungen bringen.
Echtzeit-Biometrische Überwachung
Die Verordnung verbietet KI-Systeme für die Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zum Zweck der Strafverfolgung, außer in eng definierten Umständen. Echtzeit bezieht sich auf eine Verarbeitung, die ohne nennenswerte Verzögerung erfolgt. Das Verbot gilt in öffentlichen Räumen (z. B. Parks, Straßen, Stadien und digitalen Versionen solcher Räume). Es zielt insbesondere auf Gesichtserkennungstechnologien ab, die Personen in Echtzeit für Sicherheitszwecke identifizieren.
Bestimmte eng umrissene Ausnahmen erlauben jedoch Strafverfolgungsbehörden deren Nutzung, wenn sie für einen spezifischen legitimen Zweck oder ein vitales Interesse notwendig sind. Dazu gehören die nationale Sicherheit oder im Gesetz genannte Fälle:
- Die Suche nach bestimmten vermissten Personen.
- Die Bedrohung durch einen terroristischen Anschlag.
- Die Verfolgung oder Aufdeckung bestimmter schwerer Straftaten wie Mord, sexuellem Kindesmissbrauch und Vergewaltigung - wenn die Nutzung als notwendig erachtet wird und unter strengen Schutzmaßnahmen erfolgt.
Alle solche Nutzungen müssen von einem unabhängigen Verwaltungsgericht oder einer Verwaltungsbehörde genehmigt werden. Die Genehmigung muss auf objektiven Beweisen basieren und einen Zweck definieren, wodurch der Umfang letztlich auf Konflikte mit dem allgemeinen Rechtsrahmen begrenzt wird. In der Praxis werden diese Ausnahmen es Strafverfolgungsbehörden ermöglichen, Fernidentifizierung in Ausnahmefällen zu nutzen, sofern die Anforderungen an ein ordnungsgemäßes Verfahren erfüllt sind.
Anwendungsbereich und Ausnahmen
Mehrere Kategorien fallen vollständig außerhalb des Anwendungsbereichs des AI Act, darunter KI-Systeme, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke genutzt werden, sowie solche für reine wissenschaftliche Forschung oder Entwicklung gemäß Artikel 2.3. Auch KI, die für persönliche, nicht-professionelle Nutzung eingesetzt wird, ist nicht betroffen. Das Verbot gilt nicht für solche Systeme, entbindet jedoch nicht die Organisatoren, die verbotene Systeme in Bereichen der EU nutzen, von den verfassungsrechtlichen Schutzmaßnahmen.
Umsetzungszeitplan und Verbote
Das Verbot von Praktiken mit unannehmbarem Risiko, wie in Artikel 5 definiert, gilt ab dem 2. Februar 2025. Dies wurde auf 6 Monate nach dem Inkrafttreten am 1. August 2024 festgelegt. Die Verordnung wurde von der Europäischen Kommission am 21. April 2021 vorgeschlagen, vom Europäischen Parlament am 13. März 2024 angenommen und vom EU-Rat am 21. Mai 2024 gebilligt. Der endgültige Text berücksichtigte den Aufstieg allgemeiner KI wie großer Sprachmodelle, und die Verbote wurden entsprechend verfeinert, um manipulative Nutzungen und Emotionserkennung zu berücksichtigen.
Die Übergangsfrist wurde geschaffen, um Anbietern Änderungen an ihren KI-Systemen zur Einhaltung der neuen Beschränkungen zu ermöglichen und den Behörden Zeit zur Vorbereitung zu geben. Seit dem Verbot mussten Händler und öffentliche Stellen ihre KI-Systeme prüfen, um sicherzustellen, dass sie keine verbotenen Methoden verwenden oder in verbotene Kategorien fallen.
Am Rande hat die Europäische Kommission Leitlinien zur Auslegung herausgegeben, aber diese sind noch relativ breit, da der Wortlaut das Ergebnis eines politischen Kompromisses ist. Einige Praktiken, wie die Nutzung von KI als Manipulationsmittel für Schwache, sind nicht strikt verboten, wenn der Schaden nicht garantiert ist oder die Absicht nicht böswillig ist. Auch das Verbot von Social Scoring zielt nur auf die schwerwiegendste, diskriminierende Behandlung ab, aber weniger schwerwiegende Folgen können weiterhin unter die Hochrisikokategorie oder andere regulatorische Pflichten fallen.
Durchsetzung und Sanktionen
Jeder EU-Mitgliedstaat benennt eine Behörde, die für die Marktüberwachung zuständig ist. Die Behörden haben die Befugnis, finanzielle Sanktionen für Verstöße zu verhängen. Im Falle verbotener Praktiken können die Strafen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes des betreffenden Unternehmens betragen, je nachdem, welcher Betrag höher ist. Dies spiegelt den Ansatz der Datenschutz-Grundverordnung (DSGVO) wider, und die Behörden können auch Korrekturmaßnahmen wie ein Verbot des jeweiligen KI-Systems vom Markt erlassen.
Aufgrund des extraterritorialen Anwendungsbereichs müssen Anbieter außerhalb der EU einen autorisierten Vertreter innerhalb der EU benennen, dem sie Rechenschaft ablegen. Sie können weiterhin haftbar gemacht werden, wenn sie Systeme auf den Markt bringen oder Dienstleistungen für Nutzer in der EU bereitstellen, selbst wenn das Unternehmen von einem Hauptsitz anderswo operiert.
Der Europäische Ausschuss für Künstliche Intelligenz
Zur Überwachung des gesamten Regulierungsrahmens richtet das Gesetz einen Europäischen Ausschuss für Künstliche Intelligenz ein, der aus 21 Vertretern, einem aus jedem Mitgliedstaat, plus dem Europäischen Datenschutzbeauftragten besteht. Er koordiniert nationale Aufsichtsbehörden und gibt Leitlinien und Stellungnahmen heraus. Insbesondere wird er einen konsistenten Ansatz zur ***Auslegung und Anwendung des Verbots fördern.
Der Ausschuss kann auch eine bedeutende Rolle bei der Untersuchung von Praktiken spielen, die nicht explizit als verboten aufgeführt sind, aber in seiner Bewertung als unannehmbar gelten; jedoch ist er in seinen Befugnissen begrenzt, von sich aus tätig zu werden. Er überwacht die praktische Anwendung der Beschränkungen.
Breiterer Kontext: Das Risikomodell des AI Act
Die verbotenen Praktiken stellen die Spitze der Risikopyramide dar. Hochriskante KI-Anwendungen unterliegen Konformitätspflichten, und solche mit begrenztem Risiko müssen Transparenz für Generative AI-Systeme (z. B. Deepfakes) bieten, indem sie als KI-generiert gekennzeichnet werden. Die Verbotsliste ist eng auf tatsächliche Bedrohungen für Einzelpersonen und die Gesellschaft ausgerichtet.
Beachten Sie, dass die Kategorie hochriskant Anwendungen einige „biometrische Identifizierung“ umfasst, aber dies ist nicht dasselbe. Hochrisikosysteme müssen eine Konformitätsbewertung durchlaufen, aber dies ist eine zulässige Nutzung, wenn sie nicht der Strafverfolgung dienen. Beispielsweise ist ein KI-System, das Fingerabdrücke in einer Strafdatenbank abgleicht, kein unannehmbares Risiko, aber eine Echtzeit-Fernidentifizierung in einem überfüllten Raum ist es. Dies hat Priorität.
Der AI Act, als Produktregulierung, begründet keine privaten Klagerechte, auferlegt jedoch Pflichten für die Systembetreiber. Er schafft auch ein Gremium zur Koordinierung und Bereitstellung technischer Beratung für die Einhaltung. Einige Folgenabschätzungen weisen auf die Notwendigkeit hin, die Linie zwischen einem verbotenen und einem Hochrisikosystem zu klären, insbesondere bei echten Ausnahmen. Und die Europäische Kommission hat dies zugesagt.
Möglicher globaler Einfluss
Das Verbot von Social Scoring und die biometrische Überwachung - Kanada und andere Jurisdiktionen haben den AI Act als Vorbild zitiert, und die Technologiebranche wurde in gewissem Maße beeinflusst. Insbesondere spiegeln Verbote biometrischer Identifizierung in öffentlichen Räumen einen Konsens wider, dass einige Nutzungen nicht durch Risiko-Nutzen-Abwägungen gerechtfertigt werden können, angesichts der Sicherheit und der Grundrechte.
Es bleibt abzuwarten, ob die Ausnahmen für minimal-biometrische Identifizierung missbraucht werden. Kurzfristig haben Technologiegiganten wie OpenAI, Anthropic und Google DeepMind ihre Richtlinien an die Beschränkungen angepasst, nicht nur als rechtliche Abschreckung. Dieses Verbot hat einen Präzedenzfall geschaffen, dass bestimmte KI-Praktiken in einer demokratischen Gesellschaft niemals akzeptabel sind.
Fazit
Die verbotenen Praktiken des EU AI Act sind ein unterscheidendes Merkmal der Verordnung. Das Ziehen einer roten Linie gegen erzwungene Manipulation, Social Scoring und Echtzeit-Biometrische Überwachung markiert eine bedeutende rechtliche Innovation, die Grundrechte priorisiert, wenn sie mit ungebremstem technologischem Fortschritt kollidieren. Ab Anfang 2025 müssen Unternehmen ihre KI-Systeme sorgfältig auf Einhaltung prüfen, und der AI Act führt die übrigen Pflichten schrittweise ein, die für die nächsten Jahre zur Durchsetzung geplant sind. Die Tätigkeit des Ausschusses wird entscheidend für die Auslegung der genauen Grenzen der verbotenen Praktiken sein, und das Verbot wird einer kontinuierlichen Überprüfung unterliegen. Jede Änderung der Gesetzgebung müsste novelliert werden, aber die EU hat keine Absicht, diesen Bereich in naher Zukunft zurückzufahren.
Mit jeder Handlung können die Grenzen angepasst werden, aber das strikte Verbot unannehmbarer Risiken wird der Kern des AI Act und der digitalen Politik der EU bleiben.