Die harmonisierten Normen des EU-KI-Gesetzes sind technische Spezifikationen, die entwickelt werden, um die Einhaltung des Gesetzes über künstliche Intelligenz der Europäischen Union (KI-Gesetz) zu unterstützen, einer Verordnung, die einen gemeinsamen regulatorischen und rechtlichen Rahmen für künstliche Intelligenz in der EU festlegt. Das KI-Gesetz trat am 1. August 2024 in Kraft, wobei die Bestimmungen über einen Zeitraum von 6 bis 36 Monaten schrittweise eingeführt werden. Die harmonisierten Normen sollen praktische Mechanismen zur Vermutung der Konformität für KI-Anbieter und -Betreiber bieten und die risikobasierten Verpflichtungen des Gesetzes in messbare und prüfbare Anforderungen übersetzen. Sie werden von europäischen Normungsorganisationen wie CEN und CENELEC als Reaktion auf ein Normungsersuchen der Europäischen Kommission entwickelt und sollen eine entscheidende Rolle bei der Umsetzung des Gesetzes spielen, insbesondere für Hochrisiko-KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck.
Die Entwicklung dieser Normen ist eine gemeinsame Anstrengung von Branchenexperten, Regulierungsbehörden und anderen Interessengruppen. Der Prozess wird von der Europäischen Kommission überwacht, die Normungsmandate erteilt, sowie vom Europäischen Ausschuss für künstliche Intelligenz, der die Zusammenarbeit der Mitgliedstaaten fördert und eine einheitliche Anwendung sicherstellt. Die Normen sind Stand 2025 noch nicht vollständig abgeschlossen, aber Entwürfe und Arbeitsprogramme wurden veröffentlicht, die Bereiche wie Risikomanagement, Datenverwaltung, Transparenz, menschliche Aufsicht und Konformitätsbewertungsverfahren abdecken. Nach ihrer Annahme wird die Einhaltung dieser harmonisierten Normen eine Vermutung der Konformität mit den Anforderungen des KI-Gesetzes begründen und die regulatorische Belastung für Organisationen verringern.
Hintergrund und rechtlicher Rahmen
Das KI-Gesetz, das am 21. April 2021 von der Europäischen Kommission vorgeschlagen wurde, passierte das Europäische Parlament am 13. März 2024 und wurde am 21. Mai 2024 einstimmig vom EU-Rat genehmigt. Es deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für militärische, nationale Sicherheits-, Forschungs- und nichtberufliche Nutzung. Das Gesetz klassifiziert KI-Anwendungen in vier Risikostufen - inakzeptabel, hoch, begrenzt und minimal - plus eine separate Kategorie für KI mit allgemeinem Verwendungszweck. Anwendungen mit inakzeptablem Risiko, wie Social Scoring oder Echtzeit-Fernidentifizierung biometrischer Daten im öffentlichen Raum, sind verboten. Hochrisiko-Anwendungen, einschließlich solcher im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung und in der Strafverfolgung, müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen. Anwendungen mit begrenztem Risiko, wie Deepfakes, unterliegen Transparenzpflichten, während Anwendungen mit minimalem Risiko, wie Spam-Filter, nicht reguliert sind. Das Gesetz gilt auch extraterritorial für Anbieter außerhalb der EU, wenn sie Nutzer innerhalb der EU haben.
Die harmonisierten Normen sind ein zentraler Mechanismus zur Operationalisierung dieser Verpflichtungen. Sie sind als freiwillig konzipiert, aber ihre Einhaltung bietet einen "sicheren Hafen" für die Konformität und verringert die Notwendigkeit fallweiser Bewertungen durch nationale Behörden. Die Normen werden in Übereinstimmung mit internationalen Normen wie ISO/IEC 42001 entwickelt, aber auf die spezifischen Anforderungen des KI-Gesetzes zugeschnitten.
Entwicklungsprozess
Die Europäische Kommission erteilte CEN und CENELEC im Jahr 2023 ein Normungsersuchen, um harmonisierte Normen für das KI-Gesetz zu entwerfen. Das Ersuchen identifizierte Prioritätsbereiche, darunter Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht und Cybersicherheit. Der Entwicklungsprozess umfasst mehrere technische Ausschüsse mit Beiträgen aus Industrie, Wissenschaft, Zivilgesellschaft und nationalen Normungsgremien. Normenentwürfe werden vor der endgültigen Annahme einer öffentlichen Konsultation und Überarbeitung unterzogen. Stand 2025 wurden mehrere Normenentwürfe zur Kommentierung freigegeben, aber keiner wurde formell als harmonisierte Norm unter dem KI-Gesetz angenommen. Der Zeitplan für die Fertigstellung wird sich angesichts der Komplexität und der Notwendigkeit der Abstimmung mit der schrittweisen Umsetzung des Gesetzes voraussichtlich bis 2026 erstrecken.
Schlüsselbereiche der Normung
Die harmonisierten Normen decken mehrere kritische Bereiche ab:
- Risikomanagement: Normen zur Identifizierung, Bewertung und Minderung von Risiken während des gesamten Lebenszyklus von KI-Systemen, einschließlich Anforderungen an Risikomanagementsysteme und Dokumentation.
- Datenverwaltung: Spezifikationen für Datenqualität, einschließlich Trainings-, Validierungs- und Testdaten, um Genauigkeit, Vollständigkeit und Repräsentativität sicherzustellen und Verzerrungen zu adressieren.
- Transparenz: Anforderungen, um Nutzer darüber zu informieren, dass sie mit einem KI-System interagieren, und um klare Informationen über Fähigkeiten und Einschränkungen des Systems bereitzustellen.
- Menschliche Aufsicht: Normen für die Gestaltung von KI-Systemen, die menschliches Eingreifen, Überwachung und die Möglichkeit zur Übersteuerung von Entscheidungen ermöglichen, insbesondere bei Hochrisiko-Anwendungen.
- Konformitätsbewertung: Verfahren zur Bewertung von KI-Systemen vor dem Inverkehrbringen, einschließlich interner oder externer Bewertungen, abhängig von der Risikostufe.
- Cybersicherheit: Maßnahmen zum Schutz von KI-Systemen vor Angriffen und zur Sicherstellung der Robustheit, einschließlich adversarischer Tests für Modelle mit hoher Wirkung.
Diese Normen sollen technologieneutral sein und auf verschiedene KI-Techniken anwendbar sein, einschließlich maschinellem Lernen, Deep Learning und generativer KI-Systemen wie großen Sprachmodellen.
KI mit allgemeinem Verwendungszweck und Basismodelle
Ein bedeutender Schwerpunkt der harmonisierten Normen liegt auf KI mit allgemeinem Verwendungszweck, einer Kategorie, die 2023 hinzugefügt wurde, um Systeme wie ChatGPT zu adressieren. Für Open-Source-Modelle müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen, während Closed-Source-Modelle umfassenderen Transparenzanforderungen unterliegen. Modelle mit hoher Wirkung, die mehr als 10^25 Gleitkommaoperationen zum Training erfordern, gelten als systemische Risiken darstellend und müssen zusätzliche Bewertungen durchlaufen, einschließlich adversarischer Tests und Meldung von Vorfällen. Der Verhaltenskodex für KI mit allgemeinem Verwendungszweck, veröffentlicht am 10. Juli 2025, ergänzt die Normen, indem er Transparenz-, Urheberrechts- und Sicherheitsmaßnahmen umreißt. Die harmonisierten Normen werden technische Spezifikationen zur Unterstützung dieser Verpflichtungen bereitstellen, wie Methoden zur Berechnung des Trainingsaufwands und zur Durchführung von Modellbewertungen.
Beziehung zu bestehenden Vorschriften
Die harmonisierten Normen sind darauf ausgelegt, mit anderen EU-Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) und der Produkthaftungsrichtlinie übereinzustimmen. Sie berücksichtigen auch internationale Normen, um den globalen Handel zu erleichtern. Beispielsweise stützen sich die Normen zur Datenverwaltung auf DSGVO-Prinzipien, und die zur Cybersicherheit verweisen auf das EU-Cybersicherheitsgesetz. Diese Abstimmung zielt darauf ab, Doppelarbeit zu reduzieren und ein kohärentes regulatorisches Umfeld für KI sicherzustellen.
Herausforderungen und Kontroversen
Die Entwicklung harmonisierter Normen für das KI-Gesetz war mit Herausforderungen konfrontiert. Ein Problem ist das Tempo des technologischen Wandels, insbesondere bei generativer KI, das die Normsetzung überholen könnte. Ein weiteres ist das Gleichgewicht zwischen Innovation und Sicherheit, da übermäßig präskriptive Normen die Entwicklung behindern könnten, während laxere Normen möglicherweise Grundrechte nicht schützen. Es gibt auch Debatten über den Umfang der Normen für Hochrisiko-Anwendungen, wobei einige Interessengruppen strengere Anforderungen fordern, während andere Flexibilität suchen. Darüber hinaus wirft der freiwillige Charakter der Normen Fragen zu ihrer Wirksamkeit auf, da einige Organisationen sich möglicherweise gegen die Einhaltung entscheiden, was zu inkonsistenter Durchsetzung in der EU führt.
Zukunftsausblick
Stand 2025 befinden sich die harmonisierten Normen noch in der Entwicklung, mit einer erwarteten Fertigstellung bis 2026. Die Europäische Kommission und die Normungsorganisationen arbeiten daran, sicherzustellen, dass sie praktikabel und aktuell sind. Nach ihrer Annahme werden die Normen im Amtsblatt der Europäischen Union veröffentlicht, was ihnen rechtliche Wirkung verleiht. Es wird erwartet, dass sie sich im Laufe der Zeit weiterentwickeln, um neue KI-Anwendungen und -Risiken zu adressieren. Der Erfolg des KI-Gesetzes wird teilweise von der Qualität und Annahme dieser Normen abhängen, die prägen werden, wie KI in der EU und darüber hinaus entwickelt und eingesetzt wird.
Fazit
Die harmonisierten Normen des EU-KI-Gesetzes sind ein kritischer Bestandteil des regulatorischen Rahmens der EU für KI und bieten technische Leitlinien zur Unterstützung der Einhaltung. Sie werden durch einen kollaborativen Prozess entwickelt und decken Schlüsselbereiche wie Risikomanagement, Datenverwaltung und Transparenz ab. Obwohl Herausforderungen bestehen, sind die Normen bereit, eine zentrale Rolle dabei zu spielen, sicherzustellen, dass KI-Systeme in der EU sicher, transparent und respektvoll gegenüber Grundrechten sind. Ihre Entwicklung spiegelt einen breiteren Trend zur Standardisierung in der KI-Governance wider, mit Auswirkungen auf die globale KI-Regulierung.