Das Gesetz über künstliche Intelligenz (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) innerhalb der EU schafft. Es trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate anwendbar werden. Das Gesetz klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen – unannehmbar, hoch, begrenzt und minimal – plus einer zusätzlichen Kategorie für allgemeine KI. Es deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die nur für militärische, nationale Sicherheits-, Forschungszwecke oder für nicht-professionelle Nutzung verwendet wird. Als eine Form der Produktregulierung schafft es keine individuellen Rechte; stattdessen auferlegt es Pflichten für KI-Anbieter und für Organisationen, die KI in einem professionellen Kontext nutzen.
Das Gesetz wurde von der Europäischen Kommission am 21. April 2021 vorgeschlagen, vom Europäischen Parlament am 13. März 2024 verabschiedet und vom EU-Rat am 21. Mai 2024 einstimmig genehmigt. Der Entwurf wurde überarbeitet, um dem Aufkommen generativer KI-Systeme wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Das Gesetz schafft außerdem einen Europäischen Ausschuss für künstliche Intelligenz, um die nationale Zusammenarbeit zu fördern und die Einhaltung zu gewährleisten. Wie die Datenschutz-Grundverordnung der EU kann das Gesetz extraterritorial auf Anbieter von außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Risikokategorien
Das risikobasierte Schema folgt einem Produktsicherheitsmodell, bei dem regulatorische Pflichten den Anbietern und Betreibern von KI-Systemen zugewiesen werden, und diese Pflichten werden anspruchsvoller, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind. Diese Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken erzeugen, während für weniger sensible Verwendungen leichtere Ansätze ermöglicht werden. Laut einer ersten Bewertung durch den Wissenschaftlichen Dienst des Europäischen Parlaments stützte sich die Folgenabschätzung der Kommission auf Konsultationen der Interessenträger und eine breite Palette bestehender Forschung beim Vergleich politischer Optionen.
Unannehmbares Risiko
KI-Anwendungen in dieser Kategorie sind verboten, außer für spezifische Ausnahmen. Wenn keine Ausnahme gilt, umfasst dies KI-Anwendungen, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) in öffentlichen Räumen verwenden, und solche, die für Social Scoring verwendet werden (Einstufung von Personen basierend auf persönlichen Merkmalen, sozioökonomischem Status oder Verhalten).
Hohes Risiko
Hochriskante Anwendungen sind solche, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder die Grundrechte von Personen darstellen. Insbesondere KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden, fallen unter diese Kategorie. Sie unterliegen Qualitäts-, Transparenz-, menschlicher Aufsichts- und Sicherheitspflichten und erfordern in einigen Fällen eine Folgenabschätzung für Grundrechte (FRIA) vor dem Einsatz. Eine FRIA ist eine Ex-ante-Überprüfung, um potenzielle Auswirkungen auf Grundrechte zu identifizieren und zu mindern. Frühere Arbeiten zu algorithmischen Folgenabschätzungen haben nahegelegt, dass solche Instrumente identifizieren sollten, welche Personen und Gemeinschaften von einem automatisierten System betroffen sind, mögliche Schäden beschreiben und eine Grundlage für öffentliche und institutionelle Prüfung bieten sollten. Hochriskante Systeme müssen sowohl vor ihrem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste hochriskanter Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen.
Begrenztes Risiko
KI-Systeme mit begrenztem Risiko unterliegen Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, informierte Entscheidungen zu treffen. Diese Kategorie umfasst beispielsweise KI-Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren (wie Deepfakes).
Minimales Risiko
Systeme mit minimalem Risiko umfassen KI, die für Videospiele oder Spam-Filter verwendet wird. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen. Diese Systeme sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Regeln der maximalen Harmonisierung keine zusätzlichen Vorschriften auferlegen. Bestehende nationale Gesetze bezüglich des Designs oder der Nutzung solcher Systeme werden außer Kraft gesetzt. Es wird jedoch ein freiwilliger Verhaltenskodex vorgeschlagen.
Allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle (zum Beispiel generative KI-Modelle), die eine breite Palette von Aufgaben ausführen können. Wenn die Gewichte und das Design eines Modells als Open Source veröffentlicht werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen (die mehr als 10^25 Gleitkommaoperationen zum Trainieren erfordern), müssen zusätzlichen Bewertungen unterzogen werden. Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht und Sicherheit, um Anbietern zu helfen, die Einhaltung nachzuweisen. Die Teilnahme am Kodex ist freiwillig.
Über die grundlegenden Transparenzpflichten hinaus legt das Gesetz eine gemeinsame Liste von Pflichten für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko darstellend eingestuft werden, müssen auch Modellevaluierungen und adversariale Tests durchführen, Risiken wie Verzerrung und Sicherheitsfehler bewerten und mindern, über schwerwiegende Vorfälle berichten und ein angemessenes Maß an Cybersicherheit gewährleisten.
Ausnahmen
Die Artikel 2.3 und 2.6 nehmen KI-Systeme, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom KI-Gesetz aus. Insbesondere gilt die Verordnung nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für wissenschaftliche Forschung entwickelt und in Betrieb genommen werden. Darüber hinaus ist KI, die für nicht-professionelle persönliche Aktivitäten verwendet wird, ausgenommen.
Umsetzungszeitplan
Das KI-Gesetz trat am 1. August 2024 in Kraft, aber seine Bestimmungen gelten in Phasen. Die Verbote für Systeme mit unannehmbarem Risiko wurden etwa sechs Monate später, um Februar 2025, anwendbar. Pflichten für allgemeine KI-Modelle gelten ab August 2025, und die meisten Anforderungen für Hochrisikosysteme gelten ab August 2026, wobei einige Bestimmungen bis 2027 verlängert werden. Dieser gestaffelte Ansatz gibt Anbietern und Betreibern Zeit, sich anzupassen.
Durchsetzung und Governance
Das Gesetz richtet den Europäischen Ausschuss für künstliche Intelligenz ein, der aus Vertretern der Mitgliedstaaten und der Kommission besteht, um eine konsistente Anwendung und Zusammenarbeit zu erleichtern. Nationale Aufsichtsbehörden sind für die Durchsetzung der Verordnung verantwortlich, mit Sanktionen bei Nichteinhaltung. Das Gesetz kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn ihre KI-Systeme innerhalb der EU verwendet werden, ähnlich wie die DSGVO. Dies stellt sicher, dass der risikobasierte Rahmen eine globale Reichweite für KI-Produkte und -Dienste hat, die auf EU-Nutzer abzielen.
Auswirkungen und Kritik
Rechtswissenschaftler haben festgestellt, dass das Gesetz „vertrauenswürdige KI“ als Systeme definiert, die die Einhaltung von Sicherheits- und Risikoschwellen nachweisen können. Der risikobasierte Ansatz wurde dafür gelobt, sich auf Hochrisikoanwendungen zu konzentrieren, aber einige Kritiker argumentieren, dass die Klassifizierung hochriskanter Systeme möglicherweise zu breit gefasst ist oder dass die Ausnahmen für militärische und Forschungszwecke Lücken schaffen könnten. Andere weisen auf die Herausforderung hin, mit den schnellen Entwicklungen im maschinellen Lernen und Deep Learning Schritt zu halten, insbesondere da sich die KI-Fähigkeiten weiterentwickeln. Die Betonung des Gesetzes auf Transparenz und menschlicher Aufsicht wird als Vorbild für andere Rechtsordnungen angesehen, obwohl seine Wirksamkeit im Zuge der Umsetzung noch abzuwarten bleibt.
Referenzen
- Vorschlag der Europäischen Kommission, 21. April 2021
- Verabschiedung durch das Europäische Parlament, 13. März 2024
- Genehmigung durch den EU-Rat, 21. Mai 2024
- Inkrafttreten, 1. August 2024
- Verhaltenskodex für allgemeine KI, 10. Juli 2025