Die Risikostufen des EU-KI-Gesetzes sind das risikobasierte Klassifizierungssystem, das durch das Gesetz über künstliche Intelligenz (KI-Gesetz) der Europäischen Union etabliert wurde, eine Verordnung, die am 1. August 2024 in Kraft trat. Das Gesetz schafft einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz in der gesamten EU und deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab. Es kategorisiert nicht ausgenommene KI-Anwendungen in vier Stufen - unannehmbares, hohes, begrenztes und minimales Risiko - mit einer zusätzlichen Kategorie für allgemeine KI. Die Risikostufen bestimmen die Pflichten, die KI-Anbietern und -Betreibern auferlegt werden, und folgen einem Produktsicherheitsmodell, bei dem die Anforderungen umso strenger werden, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind.
Das KI-Gesetz wurde von der Europäischen Kommission am 21. April 2021 vorgeschlagen, vom Europäischen Parlament am 13. März 2024 verabschiedet und am 21. Mai 2024 einstimmig vom EU-Rat genehmigt. Der Entwurf wurde überarbeitet, um dem Aufstieg von generativen KI-Systemen wie großen Sprachmodellen Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Die Verordnung schafft keine individuellen Rechte, sondern legt Pflichten für KI-Anbieter und professionelle Nutzer fest und kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn diese Nutzer innerhalb der EU haben.
Unannehmbares Risiko
Anwendungen mit unannehmbarem Risiko sind vollständig verboten, mit spezifischen Ausnahmen. Wenn keine Ausnahme gilt, umfasst diese Kategorie KI-Systeme, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) in öffentlichen Räumen verwenden, und solche, die für Social Scoring verwendet werden - die Einstufung von Personen basierend auf persönlichen Merkmalen, sozioökonomischem Status oder Verhalten. Das Verbot ist absolut, was bedeutet, dass keine Konformitätsbewertung oder Minderungsmaßnahme es ermöglichen kann, solche Systeme auf dem EU-Markt zu platzieren.
Hohes Risiko
Hochriskante KI-Anwendungen sind solche, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte von Personen darstellen. Insbesondere KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastruktur, in der Strafverfolgung oder im Justizwesen eingesetzt werden, fallen in diese Kategorie. Sie müssen Sicherheits-, Transparenz- und Qualitätsanforderungen erfüllen und vor dem Einsatz Konformitätsbewertungen durchlaufen. In einigen Fällen ist eine Folgenabschätzung für Grundrechte (FRIA) erforderlich - eine Ex-ante-Überprüfung zur Identifizierung und Minderung potenzieller Auswirkungen auf Grundrechte. Hochriskante Systeme müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste der hochriskanten Anwendungen kann im Laufe der Zeit erweitert werden, ohne das KI-Gesetz selbst zu ändern. Bürger haben das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen hochriskanter KI zu erhalten, die ihre Rechte betreffen.
Begrenztes Risiko
KI-Systeme mit begrenztem Risiko unterliegen Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, fundierte Entscheidungen zu treffen. Diese Kategorie umfasst Anwendungen, die Bilder, Töne oder Videos erzeugen oder manipulieren - wie etwa auf Deep Learning basierende Deepfakes. Die Transparenzpflicht ist geringer als bei hochriskanten Systemen, erfordert jedoch weiterhin eine klare Offenlegung gegenüber den Nutzern.
Minimales Risiko
KI-Systeme mit minimalem Risiko werden nicht durch das KI-Gesetz reguliert. Diese Kategorie umfasst beispielsweise KI, die in Videospielen oder Spam-Filtern verwendet wird. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen. Aufgrund der Regeln zur maximalen Harmonisierung können die EU-Mitgliedstaaten diesen Systemen keine zusätzlichen Vorschriften auferlegen, und bestehende nationale Gesetze zu ihrer Gestaltung oder Nutzung werden außer Kraft gesetzt. Es wird jedoch ein freiwilliger Verhaltenskodex für Anbieter empfohlen.
Allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle, die eine breite Palette von Aufgaben ausführen können, wie etwa OpenAIs ChatGPT oder Modelle von Anthropic und Google DeepMind. Wenn die Gewichte und das Design eines Modells als Open Source veröffentlicht werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Hochwirksame Modelle, die systemische Risiken darstellen - die mehr als 10^25 Gleitkommaoperationen zum Training erfordern - müssen zusätzlichen Bewertungen unterzogen werden, einschließlich Modellevaluierungen, adversarischer Tests, Risikominderung für Verzerrungen und Sicherheitsfehler, Meldung schwerwiegender Vorfälle und angemessener Cybersicherheit. Ein Verhaltenskodex für allgemeine KI, der am 10. Juli 2025 veröffentlicht wurde, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung der Vorschriften zu erleichtern. Die Teilnahme an dem Kodex ist freiwillig.
Ausnahmen
Die Artikel 2.3 und 2.6 des KI-Gesetzes nehmen KI-Systeme aus, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie solche für reine wissenschaftliche Forschung und Entwicklung. Die Verordnung gilt auch nicht für KI, die für nicht-professionelle Zwecke verwendet wird. Diese Ausnahmen sind eng gefasst und decken keine Dual-Use-Systeme mit zivilen Anwendungen ab.
Umsetzung und Durchsetzung
Die Bestimmungen des KI-Gesetzes werden schrittweise über 6 bis 36 Monate nach Inkrafttreten wirksam. Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann das KI-Gesetz extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn diese Nutzer innerhalb der EU haben. Das risikobasierte System ist darauf ausgelegt, die Überwachung auf Systeme zu konzentrieren, die wahrscheinlich erhebliche Risiken schaffen, während für weniger sensible Verwendungen leichtere Ansätze ermöglicht werden. Laut einer ersten Bewertung des Wissenschaftlichen Dienstes des Europäischen Parlaments stützte sich die Folgenabschätzung der Kommission auf Konsultationen der Interessenträger und eine breite Palette bestehender Forschung, als sie politische Optionen für diesen Rahmen verglich.