Die Veröffentlichung des EU AI Acts bezieht sich auf das formelle Erscheinen der Verordnung (EU) 2024/1689 im Amtsblatt der Europäischen Union am 12. Juli 2024. Dieses Ereignis markierte den Höhepunkt eines mehrjährigen Gesetzgebungsprozesses, der mit dem Vorschlag der Europäischen Kommission im April 2021 begann. Die Veröffentlichung verwandelte die im Dezember 2023 erzielte politische Einigung in verbindliches Recht und schuf die erste umfassende horizontale Regulierung von Systemen der künstlichen Intelligenz in einer großen Rechtsordnung. Das Gesetz trat zwanzig Tage nach der Veröffentlichung, am 1. August 2024, in Kraft, mit einem gestaffelten Umsetzungszeitplan, der sich bis 2030 erstreckt.
Die Veröffentlichung war ein Meilenstein für die globale Technologie-Governance, da die Verordnung nicht nur für in der EU ansässige Entwickler gilt, sondern auch für Anbieter und Betreiber von KI-Systemen, deren Ergebnisse im EU-Markt verwendet werden. Ihr risikobasierter Ansatz kategorisiert KI-Anwendungen in vier Stufen: unannehmbares Risiko (verboten), hohes Risiko (strengen Pflichten unterworfen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (freiwillige Verhaltenskodizes). Das Gesetz richtete außerdem das Europäische KI-Büro und eine Governance-Struktur ein, die nationale Behörden und ein neues Europäisches Gremium für künstliche Intelligenz umfasst.
Gesetzgebungshintergrund und politischer Werdegang
Der Weg zur Veröffentlichung war lang und umstritten. Die Europäische Kommission, angeführt von Exekutiv-Vizepräsidentin Margrethe Vestager und Kommissar Thierry Breton, veröffentlichte den ersten Entwurf am 21. April 2021. Der Vorschlag stützte sich auf frühere Expertenempfehlungen, einschließlich des Berichts der hochrangigen Expertengruppe für künstliche Intelligenz von 2019, die einen Rahmen für vertrauenswürdige KI gefordert hatte. Der Entwurf führte das Risikostufensystem ein und schlug Geldbußen von bis zu 6 % des weltweiten Jahresumsatzes bei Verstößen vor.
Das Europäische Parlament und der Rat der EU führten anschließend Trilog-Verhandlungen. Die Position des Parlaments, die im Juni 2023 angenommen wurde, ergänzte Bestimmungen zu Basismodellen und allgemeiner KI, was Bedenken hinsichtlich Systemen wie großen Sprachmodellen widerspiegelte. Die allgemeine Ausrichtung des Rates, die im Dezember 2022 finalisiert wurde, betonte die Durchsetzungspraktikabilität. Nach einem letzten Trilog am 8. Dezember 2023 erzielten die Verhandlungsführer eine vorläufige Einigung. Das Parlament genehmigte den Text am 13. März 2024 mit 523 Stimmen dafür, und der Rat erteilte seine endgültige Zustimmung am 21. Mai 2024. Der Rechtstext wurde dann für die Veröffentlichung vorbereitet, wobei die endgültige Fassung über 400 Seiten einschließlich Anhänge umfasst.
Wichtige Bestimmungen im veröffentlichten Text
Die veröffentlichte Verordnung enthält 113 Artikel und 13 Anhänge. Artikel 5 verbietet KI-Praktiken, die subliminale Techniken einsetzen, Schwachstellen bestimmter Gruppen ausnutzen oder Social Scoring durch öffentliche Behörden ermöglichen. Die Echtzeit-Identifizierung mittels biometrischer Fernerkennung im öffentlich zugänglichen Raum ist für Strafverfolgungsbehörden verboten, mit engen Ausnahmen, die eine richterliche Genehmigung erfordern. Hochrisikosysteme, die in Anhang III definiert sind, umfassen kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration und demokratische Prozesse.
Für Hochrisikosysteme legen die Artikel 8-15 Anforderungen an Risikomanagement, Datenverwaltung, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit fest. Anbieter müssen Konformitätsbewertungsverfahren durchlaufen, die oft benannte Stellen einbeziehen. Artikel 50 führt Transparenzpflichten für Systeme ein, die Inhalte erzeugen oder manipulieren, und verlangt eine klare Offenlegung, dass Inhalte KI-generiert sind. Diese Bestimmung betrifft direkt generative KI-Anwendungen, einschließlich Chatbots und Deepfake-Technologien.
Das Gesetz behandelt auch allgemeine KI-Modelle in den Artikeln 51-56. Modelle mit einer kumulativen Rechenleistung über 10^25 FLOPs gelten als systemisches Risiko und unterliegen zusätzlichen Pflichten, einschließlich adversarischer Tests und Meldepflichten bei Vorfällen. Diese Schwelle wurde kalibriert, um Spitzenmodelle von Entwicklern wie OpenAI, Anthropic und Google DeepMind zu erfassen, obwohl der Text keine bestimmten Unternehmen nennt.
Umsetzungszeitplan und Meilensteine
Die Veröffentlichung legte eine schrittweise Einführung fest. Das Verbot von Praktiken mit unannehmbarem Risiko trat am 2. Februar 2025 in Kraft, sechs Monate nach Inkrafttreten. Governance-Bestimmungen, einschließlich der Einrichtung des Europäischen KI-Büros innerhalb der Kommission, wurden am 2. August 2024 anwendbar. Pflichten für allgemeine KI-Modelle gelten ab dem 2. August 2025. Die Anforderungen an Hochrisikosysteme beginnen am 2. August 2026, mit einer zusätzlichen Übergangsfrist für bereits auf dem Markt befindliche Systeme. Regeln für Hochrisiko-KI, die in Produkten verwendet wird, die unter sektorale Gesetzgebung fallen, wie medizinische Geräte und Maschinen, gelten ab dem 2. August 2027. Bis 2030 werden alle übrigen Bestimmungen, einschließlich derer für KI-Komponenten groß angelegter IT-Systeme, vollständig umgesetzt sein.
Die Mitgliedstaaten waren verpflichtet, bis zum 2. August 2025 zuständige nationale Behörden zu benennen. Das Europäische Gremium für künstliche Intelligenz, das sich aus Vertretern der Mitgliedstaaten zusammensetzt, nahm seine Arbeit Ende 2024 auf. Die Kommission startete außerdem den KI-Pakt, eine freiwillige Initiative zur Förderung frühzeitiger Einhaltung, die zum Zeitpunkt der Veröffentlichung über 700 Unterzeichner angezogen hatte.
Globale Auswirkungen und regulatorische Diffusion
Die Veröffentlichung löste bedeutende Reaktionen außerhalb der EU aus. Die Vereinigten Staaten, die im Oktober 2023 eine Exekutivanordnung zu KI erlassen hatten, setzten ihren sektoralen Ansatz fort, sahen sich jedoch mit Forderungen nach Bundesgesetzgebung konfrontiert. Das Vereinigte Königreich veröffentlichte im Februar 2024 seinen eigenen KI-Regulierungsrahmen, der einen prinzipienbasierten Ansatz bevorzugt. China hatte bereits im August 2023 vorläufige Maßnahmen für generative KI erlassen. Das EU-Gesetz wurde zu einem Bezugspunkt für andere Rechtsordnungen, darunter Kanada, Brasilien und Japan, die begannen, ähnliche risikobasierte Rahmenwerke zu entwerfen.
Multinationale Unternehmen, darunter Microsoft (AI), Google Cloud und Amazon Web Services, kündigten Compliance-Programme in Erwartung der Bestimmungen des Gesetzes an. Viele richteten KI-Ethikgremien ein und ernannten verantwortliche KI-Beauftragte. Die Veröffentlichung beeinflusste auch die Entwicklung technischer Normen; die Europäische Kommission erteilte Normungsaufträge an CEN und CENELEC, wobei harmonisierte Normen bis 2025 erwartet werden. Diese Normen werden Vermutungswirkung für die Konformität von Hochrisikosystemen bieten.
Durchsetzung und Sanktionen
Das Durchsetzungsdesign des Gesetzes stützt sich auf nationale Marktüberwachungsbehörden. Geldbußen bei Verstößen reichen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, 15 Millionen Euro oder 3 % für die meisten anderen Verstöße und 7,5 Millionen Euro oder 1,5 % für die Bereitstellung falscher Informationen. Für Anbieter allgemeiner KI können Geldbußen bis zu 15 Millionen Euro oder 3 % des Umsatzes betragen. Der Europäische Datenschutzbeauftragte behandelt Fälle, die EU-Institutionen betreffen.
Ein neuartiges Merkmal ist das Recht, Beschwerden bei nationalen Behörden einzureichen, und die Möglichkeit für betroffene Personen, Erläuterungen zu individuellen Entscheidungen zu verlangen, die auf Hochrisiko-KI basieren. Das Gesetz schreibt außerdem vor, dass Betreiber Folgenabschätzungen zu Grundrechten für Hochrisikosysteme im öffentlichen Sektor durchführen. Das Europäische KI-Büro, das ab Juni 2024 operativ ist, koordiniert die Durchsetzung und kann Leitlinien herausgeben, obwohl die endgültige Sanktionsbefugnis bei nationalen Stellen liegt.
Technische und industrielle Reaktionen
Die Reaktionen der Industrie waren unterschiedlich. Große Technologieunternehmen begrüßten im Allgemeinen die regulatorische Klarheit, äußerten jedoch Bedenken hinsichtlich der Compliance-Kosten und Innovationshemmnisse. OpenAI und Anthropic unterstützten öffentlich die Transparenzanforderungen, wiesen jedoch auf Herausforderungen bei der Dokumentation der Herkunft von Trainingsdaten hin. Europäische Startups wie AI21 Labs und Inflection AI betrachteten das Gesetz als Wettbewerbsvorteil, der das Vertrauen der Nutzer stärken könnte. Einige US-amerikanische Unternehmen drohten damit, Produkte vom EU-Markt fernzuhalten, obwohl die meisten später einen Rückzieher machten.
Technische Gemeinschaften debattierten über die Machbarkeit bestimmter Anforderungen. Die Schwelle für Rechenleistung bei systemischem Risiko, festgelegt auf 10^25 FLOPs, wurde als willkürlich und schwer verifizierbar kritisiert. Forscher am Stanford AI Lab und BAIR (Berkeley AI Research) veröffentlichten Analysen, die darauf hindeuteten, dass die Schwelle Modelle mit 100 Milliarden Parametern oder mehr erfassen könnte, abhängig von der Trainingseffizienz. Die Anforderung des Gesetzes an detaillierte technische Dokumentation, einschließlich Beschreibungen der Trainingsdaten, warf Fragen zu Geschäftsgeheimnissen und geistigem Eigentum auf.
Beziehung zu anderen EU-Rechtsvorschriften
Das KI-Gesetz interagiert mit bestehenden EU-Gesetzen, insbesondere der Datenschutz-Grundverordnung (DSGVO) und dem Gesetz über digitale Dienste. Artikel 2 stellt klar, dass das KI-Gesetz die DSGVO-Pflichten nicht berührt, und bei Konflikten haben die spezifischeren Datenschutzbestimmungen Vorrang. Das Gesetz ergänzt auch die Produkthaftungsrichtlinie, die 2024 überarbeitet wurde, um KI-bezogene Schäden zu adressieren. Die Europäische Kommission veröffentlichte im Dezember 2024 Leitlinien, die diese Zusammenhänge erläutern und betonen, dass KI-Systeme, die personenbezogene Daten verarbeiten, beiden Rahmenwerken entsprechen müssen.
Die Definition von KI im Gesetz, enthalten in Artikel 3, ist bewusst breit gefasst und umfasst Systeme, die maschinelles Lernen, logikbasierte Ansätze oder statistische Methoden verwenden. Dies schließt neuronale Netze, Transformer-Architekturen und Deep-Learning-Modelle ein. Die Definition schließt einfache mathematische Optimierung und grundlegende Datenverarbeitung aus, um eine Überregulierung konventioneller Software zu vermeiden.
Zukünftige Änderungen und die Entwicklung des KI-Gesetzes
Schon vor der vollständigen Umsetzung begannen Diskussionen über Änderungen. Die Ausschüsse des Europäischen Parlaments begannen Anfang 2025 mit der Überprüfung der Funktionsweise des Gesetzes, wobei der Schwerpunkt auf der Interaktion mit aufkommenden Technologien wie neuronalen Netzwerken-basierten Robotern und autonomen Fahrzeugen lag. Die Kommission kündigte Pläne an, delegierte Rechtsakte zur Festlegung technischer Details zu erlassen, einschließlich der genauen Methodik zur Messung von FLOPs. Eine Überprüfungsklausel in Artikel 112 erfordert eine umfassende Bewertung bis zum 2. August 2028, mit möglichen Überarbeitungen der Risikoklassifizierung und Verbote.
Die Veröffentlichung förderte auch parallele Initiativen, darunter das EU-Innovationspaket für KI und die Einrichtung von KI-Regulierungssandkästen. Diese Sandkästen, die durch Artikel 57 vorgeschrieben sind, erlauben Unternehmen, innovative KI-Systeme unter behördlicher Aufsicht zu testen, bevor sie in den Markt eintreten. Bis Mitte 2025 hatten mehrere Mitgliedstaaten Sandkästen gestartet, wobei Spanien, Deutschland und Frankreich zu den ersten gehörten.
Bedeutung für das KI-Ökosystem
Die Veröffentlichung des EU AI Acts stellt einen Wendepunkt in der Governance von künstlicher Intelligenz dar. Sie verlagerte die Debatte von freiwilligen Prinzipien zu durchsetzbaren rechtlichen Verpflichtungen und beeinflusste das Unternehmensverhalten weltweit. Die risikobasierte Taxonomie des Gesetzes wurde als Vorlage von anderen Regulierungsbehörden übernommen, und ihre Transparenzbestimmungen sind zu einer Grundlage für Diskussionen über KI-Verantwortlichkeit geworden. Für Forscher und Entwickler bringt das Gesetz neue Dokumentations- und Testpflichten mit sich, insbesondere für Hochrisikoanwendungen im Gesundheitswesen, Finanzwesen und der öffentlichen Verwaltung.
Die Veröffentlichung beschleunigte auch die Entwicklung von Compliance-Technologien, einschließlich Werkzeugen für Modellprüfung, Bias-Erkennung und Erklärbarkeit. Unternehmen wie SambaNova und Groq, die spezialisierte KI-Hardware bereitstellen, begannen, ihre Produkte als förderlich für die Compliance durch effiziente und prüfbare Inferenz zu vermarkten. Akademische Einrichtungen, darunter MIT CSAIL und University of Oxford, starteten Kurse zu KI-Recht und -Politik, was die wachsende Schnittstelle von technischem und rechtlichem Fachwissen widerspiegelt.
Stand Mitte 2025 ist die frühe Umsetzung des Gesetzes im Gange, wobei das Europäische KI-Büro seine ersten Leitfäden zu verbotenen Praktiken und Transparenzpflichten veröffentlicht hat. Die vollständige Auswirkung wird sich in den kommenden Jahren entfalten, aber die Veröffentlichung im Juli 2024 hat bereits eine dauerhafte rechtliche Grundlage für die KI-Governance in Europa und darüber hinaus geschaffen.