Der Artificial Intelligence Act (AI Act) ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz (KI) innerhalb der EU schafft. Sie trat am 1. August 2024 in Kraft, wobei die Bestimmungen schrittweise über die folgenden 6 bis 36 Monate wirksam werden. Die Verordnung deckt die meisten KI-Systeme in einer Vielzahl von Sektoren ab, mit Ausnahmen für KI, die ausschließlich für militärische Zwecke, nationale Sicherheit, Forschungszwecke oder für nichtberufliche Nutzung verwendet wird. Als eine Form der Produktregulierung schafft sie keine individuellen Rechte; stattdessen legt sie Pflichten für KI-Anbieter und Organisationen fest, die KI in einem beruflichen Kontext einsetzen.
Die Verordnung klassifiziert nicht ausgenommene KI-Anwendungen nach ihrem Risiko, Schaden zu verursachen, mit vier Stufen – inakzeptabel, hoch, begrenzt, minimal – plus einer zusätzlichen Kategorie für allgemeine KI. Anwendungen mit inakzeptablen Risiken sind verboten; Hochrisiko-Anwendungen müssen Sicherheits-, Transparenz- und Qualitätsverpflichtungen erfüllen und Konformitätsbewertungen durchlaufen; begrenzte Risiko-Anwendungen haben nur Transparenzpflichten; minimale Risiko-Anwendungen sind nicht reguliert. Für allgemeine KI werden Transparenzanforderungen auferlegt, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Modelle mit hoher Leistungsfähigkeit. Die Verordnung schafft auch einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung der EU kann die Verordnung extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben.
Legislativgeschichte
Die Europäische Kommission schlug den AI Act am 21. April 2021 vor. Der Entwurf wurde überarbeitet, um den Anstieg der Popularität generativer KI-Systeme wie ChatGPT zu berücksichtigen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Das Europäische Parlament verabschiedete die Verordnung am 13. März 2024, und der EU-Rat genehmigte sie einstimmig am 21. Mai 2024. Der endgültige Text wurde im Amtsblatt der EU veröffentlicht, und die Verordnung trat am 1. August 2024 in Kraft. Die gestaffelte Umsetzung bedeutet, dass bestimmte Bestimmungen, wie Verbote von Systemen mit inakzeptablem Risiko, früher gelten, während andere, wie Pflichten für Hochrisiko-Systeme, später gelten.
Risikokategorien
Der AI Act etabliert ein risikobasiertes Schema, das einem Produktsicherheitsmodell folgt. Regulatorische Pflichten werden Anbietern und Betreibern von KI-Systemen zugewiesen, und diese Pflichten werden anspruchsvoller, je größer die potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte sind. Diese Struktur stellt sicher, dass die Aufsicht sich auf Systeme konzentriert, die wahrscheinlich erhebliche Risiken schaffen, während sie leichtere Ansätze für als weniger sensibel betrachtete Nutzungen ermöglicht. Einige Rechtswissenschaftler argumentieren, dass die Verordnung in der Praxis „vertrauenswürdige KI“ als Systeme definiert, die die Einhaltung dieser Sicherheits- und Risikoschwellen nachweisen können. Laut einer ersten Bewertung durch den Wissenschaftlichen Dienst des Europäischen Parlaments stützte sich die Folgenabschätzung der Kommission auf Konsultationen von Interessenträgern und eine breite Palette bestehender Forschung beim Vergleich politischer Optionen für diesen risikobasierten Rahmen.
Inakzeptables Risiko
KI-Anwendungen in dieser Kategorie sind verboten, außer für spezifische Ausnahmen. Wenn keine Ausnahme gilt, umfasst dies KI-Anwendungen, die menschliches Verhalten manipulieren, solche, die Echtzeit-Fernbiometrie (wie Gesichtserkennung) in öffentlichen Räumen verwenden, und solche, die für Social Scoring verwendet werden (Bewertung von Personen basierend auf ihren persönlichen Merkmalen, sozioökonomischem Status oder Verhalten).
Hohes Risiko
KI-Anwendungen, von denen erwartet wird, dass sie erhebliche Bedrohungen für Gesundheit, Sicherheit oder die Grundrechte von Personen darstellen, fallen in diese Kategorie. Insbesondere KI-Systeme, die im Gesundheitswesen, in der Bildung, bei der Personalbeschaffung, im Management kritischer Infrastrukturen, in der Strafverfolgung oder Justiz eingesetzt werden, sind eingeschlossen. Sie unterliegen Qualitäts-, Transparenz-, menschlicher Aufsichts- und Sicherheitspflichten und erfordern in einigen Fällen eine Folgenabschätzung für Grundrechte vor dem Einsatz. Eine Folgenabschätzung für Grundrechte (FRIA) ist eine Ex-ante-Überprüfung, um potenzielle Auswirkungen auf Grundrechte zu identifizieren und zu mildern, bevor ein KI-System eingesetzt wird. Frühere Arbeiten zu algorithmischen Folgenabschätzungen haben nahegelegt, dass solche Instrumente identifizieren sollten, welche Personen und Gemeinschaften von einem automatisierten System betroffen sind, mögliche Schäden beschreiben und eine Grundlage für öffentliche und institutionelle Prüfung seiner Nutzung bieten sollten. Hochrisiko-Systeme müssen sowohl vor dem Inverkehrbringen als auch während ihres gesamten Lebenszyklus bewertet werden. Die Liste der Hochrisiko-Anwendungen kann im Laufe der Zeit erweitert werden, ohne den AI Act selbst zu ändern. Bürger haben auch das Recht, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen.
Begrenztes Risiko
KI-Systeme in dieser Kategorie haben Transparenzpflichten, die sicherstellen, dass Nutzer darüber informiert werden, dass sie mit einem KI-System interagieren, und ihnen ermöglichen, informierte Entscheidungen zu treffen. Diese Kategorie umfasst beispielsweise KI-Anwendungen, die die Erzeugung oder Manipulation von Bildern, Ton oder Videos ermöglichen (wie Deepfakes).
Minimales Risiko
Diese Kategorie umfasst beispielsweise KI-Systeme, die für Videospiele oder Spam-Filter verwendet werden. Es wird erwartet, dass die meisten KI-Anwendungen in diese Kategorie fallen. Diese Systeme sind nicht reguliert, und die Mitgliedstaaten können aufgrund von Harmonisierungsregeln keine zusätzlichen Vorschriften auferlegen. Bestehende nationale Gesetze zur Gestaltung oder Nutzung solcher Systeme werden außer Kraft gesetzt. Ein freiwilliger Verhaltenskodex wird jedoch vorgeschlagen.
Allgemeine KI
Die 2023 hinzugefügte Kategorie der allgemeinen KI umfasst Basismodelle (zum Beispiel ChatGPT), die eine breite Palette von Aufgaben ausführen können. Wenn die Gewichte und das Design eines Modells als Open Source bereitgestellt werden, müssen Entwickler eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle müssen umfassendere Transparenzanforderungen erfüllen. Modelle mit hoher Auswirkung, die systemische Risiken darstellen (mehr als 10^25 Gleitkommaoperationen zum Training erfordern), müssen zusätzlichen Bewertungen unterzogen werden. Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern zu helfen, die Einhaltung des AI Acts nachzuweisen. Die Teilnahme am Kodex ist freiwillig.
Über diese grundlegenden Transparenzpflichten hinaus legt die Verordnung eine gemeinsame Liste von Pflichten für Anbieter allgemeiner KI-Modelle fest. Sie müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Richtlinie zur Einhaltung des Urheberrechts annehmen und technische Dokumentation an nachgelagerte Anbieter und Aufsichtsbehörden bereitstellen. Modelle, die als systemisches Risiko darstellend eingestuft werden, müssen auch Modellevaluierungen und adversariale Tests durchführen, Risiken wie Voreingenommenheit und Sicherheitsfehler bewerten und mindern, schwerwiegende Vorfälle melden und ein angemessenes Maß an Cybersicherheit gewährleisten.
Ausnahmen
Artikel 2.3 und 2.6 nehmen KI-Systeme aus, die für militärische oder nationale Sicherheitszwecke oder reine wissenschaftliche Forschung und Entwicklung verwendet werden, vom AI Act aus. Insbesondere gilt die Verordnung nicht, wenn KI-Systeme ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, oder für Systeme, die ausschließlich für wissenschaftliche Forschung entwickelt und in Betrieb genommen werden. Darüber hinaus ist KI, die für nichtberufliche persönliche Aktivitäten verwendet wird, nicht abgedeckt.
Durchsetzung und Governance
Die Verordnung schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung der Verordnung sicherzustellen. Jeder Mitgliedstaat wird erwartet, zuständige Behörden für Marktüberwachung und Durchsetzung zu benennen. Die Verordnung kann extraterritorial auf Anbieter außerhalb der EU angewendet werden, wenn sie Nutzer innerhalb der EU haben, ähnlich wie die DSGVO. Strafen für Nichteinhaltung können erheblich sein, obwohl die spezifischen Beträge in den Quellenfakten nicht detailliert sind.
Auswirkungen und Rezeption
Der AI Act gilt als wegweisendes Gesetz, da er das erste umfassende KI-Gesetz der Welt ist. Er wurde mit der DSGVO in Bezug auf seinen potenziellen globalen Einfluss verglichen, da Unternehmen außerhalb der EU sich entscheiden könnten, seine Standards einzuhalten, um Zugang zum EU-Markt zu erhalten. Der risikobasierte Ansatz wurde dafür gelobt, sich auf tatsächliche Schäden zu konzentrieren, aber einige Kritiker argumentieren, dass die Definition von hohem Risiko zu breit ist oder dass die Ausnahmen für militärische und sicherheitsbezogene Nutzungen zu weit gefasst sind. Die Verordnung zielt auch darauf ab, Innovation zu fördern, indem sie rechtliche Klarheit für KI-Entwickler und -Nutzer bietet.
Beziehung zu anderen KI-Entwicklungen
Die Bestimmungen des AI Acts zu allgemeiner KI wurden als Reaktion auf den schnellen Fortschritt generativer KI-Modelle eingeführt, wie sie von OpenAI, Anthropic und Google DeepMind entwickelt wurden. Diese Modelle, die auf Transformer-Architekturen basieren und mit maschinellem Lernen trainiert werden, haben Fähigkeiten, die viele Bereiche umfassen, was es schwierig macht, sie in traditionelle Produktkategorien einzuordnen. Die Anforderungen der Verordnung an Transparenz und Risikobewertung sollen technische Sicherheitsmaßnahmen wie Modellbeschneidung und Datenerweiterung ergänzen, obwohl die Verordnung selbst keine spezifischen technischen Methoden vorschreibt.
Zukunftsausblick
Stand 2025 befindet sich der AI Act in seiner frühen Umsetzungsphase. Die Europäische Kommission wird voraussichtlich weitere Leitlinien und delegierte Rechtsakte herausgeben, um bestimmte Bestimmungen zu klären. Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, ist ein wichtiger Schritt, um Anbietern die Einhaltung zu erleichtern. Die langfristigen Auswirkungen der Verordnung auf KI-Innovation und -Einsatz in der EU und darüber hinaus bleiben abzuwarten, aber sie wird wahrscheinlich die globale Diskussion über KI-Governance für Jahre prägen.