Das Gesetz über künstliche Intelligenz ist eine Verordnung der Europäischen Union, die einen gemeinsamen Regulierungs- und Rechtsrahmen für künstliche Intelligenz in den Mitgliedstaaten festlegt. Die Verordnung trat am 1. August 2024 in Kraft, wobei ihre Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise wirksam werden. Sie definiert die Regeln für die meisten KI-Systeme, die in der EU verwendet werden, und nimmt solche aus, die für militärische Zwecke, nationale Sicherheit, Forschung oder nicht-professionelle Zwecke eingesetzt werden. Nach einem Modell der Produktsicherheit weist sie KI-Anbietern und professionellen Nutzern Pflichten zu, mit dem Ziel, sowohl Innovation als auch die Grundrechte der Bürger zu fördern.
Der Vorschlag stammte von der Europäischen Kommission vom 21. April 2021, wurde erheblich überarbeitet, um dem Aufkommen von generativen KI-Systemen wie OpenAIs ChatGPT Rechnung zu tragen, wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig genehmigt. Das KI-Gesetz kann, wie die Datenschutz-Grundverordnung, extraterritorial auf Anbieter aus Nicht-EU-Rechtsräumen angewendet werden, wenn sie Nutzer innerhalb der EU haben. Die Regeln werden über eine vierstufige Risikoklassifizierung umgesetzt, ergänzt durch eine eigene Kategorie für allgemeine KI, um eine überschaubare Einführung zu fördern und gleichzeitig potenzielle Schäden zu mindern.
Annahme und Gesetzgebungszeitplan
Der Weg zur Annahme war ein mehrjähriger Prozess. Die Europäische Kommission, die als Exekutivorgan der EU fungiert, legte am 21. April 2021 einen ersten Entwurf vor. Dieser Entwurf basierte auf den Bewertungen der Kommission, Konsultationen der Interessenträger und bestehender Forschung zu politischen Optionen. Der Vorschlag spiegelte den Ehrgeiz wider, die EU als innovativen KI-Staat zu positionieren, der Standards für die regulatorische Governance setzt, ähnlich der Datenschutz-Grundverordnung von 2016 im Bereich des Datenschutzes.
Die Verhandlungen wurden zwischen 2022 und 2023 wieder aufgenommen, als die Beliebtheit generativer KI-Modelle wie ChatGPT und ähnlicher großer Sprachmodelle zeigte, dass der ursprüngliche Entwurf, der sich auf traditionelle maschinelle Lernsysteme konzentrierte, solche Fähigkeiten nicht ohne Weiteres abdeckte. Die Gesetzgeber integrierten daher einen völlig neuen Abschnitt für allgemeine KI. Diese Änderung wurde im endgültigen Text formalisiert und befasste sich mit neuronalen Netzen, die eine Vielzahl von Aufgaben ausführen konnten.
Am 13. März 2024 verabschiedete das Parlament den endgültigen Text, und am 21. Mai 2024 genehmigte der EU-Rat ihn einstimmig. Die offizielle Veröffentlichung der Verordnung folgte, und sie trat formell am 1. August 2024 in Kraft. Die Verpflichtungen werden jedoch nur schrittweise eingeführt. Die Verbote für KI mit inakzeptablem Risiko wurden entsprechend früher wirksam, ebenso wie die Regeln für die biometrische Identifizierung in Echtzeit. Der vollständige Satz von Regeln, einschließlich der meisten Konformitätsbewertungen für hohes Risiko, ist innerhalb von 36 Monaten nach Inkrafttreten in Kraft getreten oder wird es sein.
Risikobasierte Klassifizierung
Die zentrale Struktur des EU-KI-Gesetzes ist ein risikogestufter Rahmen, der nach dem Vorbild des Produktsicherheitsrechts gestaltet ist. Die Klassifizierung weist Verpflichtungen basierend auf den potenziellen Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte zu. Dieser Ansatz zielt darauf ab, die Aufsicht auf Systeme mit dem größten potenziellen Schaden zu konzentrieren und gleichzeitig den bürokratischen Aufwand für Anwendungen mit geringerem Risiko zu reduzieren.
Die vier expliziten Risikostufen sind: inakzeptabel, hoch, begrenzt und minimal. Darüber hinaus fügt das Gesetz eine fünfte Kategorie hinzu, die speziell für allgemeine KI entwickelt wurde und während späterer Überarbeitungen eingeführt wurde.
Inakzeptables Risiko
Anwendungen, die als inakzeptables Risiko eingestuft werden, sind vollständig verboten, obwohl es enge Ausnahmen gibt. Beispielsweise umfasst das Verbot KI-Systeme, die subliminale Manipulation jenseits des Bewusstseins einer Person einsetzen, um Verhalten zu verzerren, Schwachstellen aufgrund von Alter, Behinderung oder wirtschaftlicher Situation ausnutzen oder zu körperlichem oder psychischem Schaden führen. Ebenfalls verboten sind Systeme, die für soziales Scoring verwendet werden, indem sie Personen anhand persönlicher Merkmale, sozioökonomischem Status oder Verhalten von öffentlichen oder privaten Stellen einstufen. Echtzeit-Biometrische Fernidentifizierungssysteme in öffentlich zugänglichen Räumen sind im Allgemeinen ebenfals verboten, mit begrenzten Ausnahmen, die bei bestimmten schweren Straftaten gelten können, vorbehaltlich einer vorherigen gerichtlichen Genehmigung.
Hohes Risiko
KI-Systeme mit hohem Risiko sind solche, die erhebliche Bedrohungen für Gesundheit, Sicherheit oder Grundrechte darstellen. Dies umfasst eine breite Palette von Anwendungen in Sektoren wie Gesunheit, Bildung, Beshäftigung, kritischer Infrastruktur, Strafverfolgung, Migration und Justiz. Anbieter und Betreiber von KI-Systemen mit hohem Risiko müssen strenge Sicherheits-, Transparenz-, Qualitäts- und menschliche Überwachungspflichten einhalten. Sie unterliegen Konformitätsbewertungen, entweder durch Selbsteinschätzung oder durch Dritt-Benachrichtigungsstellen, je nach Anwendung. Für Bereiche mit hohem Risiko, die Grundrechte betrefen - wie bei Strafverfolgung oder Migration - muss der Anbieter vor der Inbetriebnahme eine Folgenabschätzung der Grundrechte durchführen. Dies ist eine Ex-ante-Prüfung, um potenziele Auswirkungen auf betrofene Personen und Gemeinschaften zu identifzieren und zu mindern. Solche Systeme müssen vor dem Inverkehrbringen und erneut über ihren Lebenszyklus bewertet werden. Die Liste der Anwendungen mit hohem Risiko kann ohne neue Verordnung erweitert werden. Bürger haben das Recht, Beshwerden über KI-Systeme einzureichen und Erklärungen für Entscheidungen zu erhalten, die von KI mit hohem Risiko getrofen werden und ihre Rechte betrefen.
Begrenztes Risiko
Systeme in der Stufe des begrenzten Risikos sind solche mit reinen Transparenzpflichten. In dieser Kategorie müssen Personen darüber informiert werden, dass sie mit einem KI-System interagieren, zum Beispel bei der Nutzung eines Chatbots. Ebenso müssen KI-generierte oder manipulier te Inhalte, wie Deepfakes, klar als solche gekennzeichet werden, es sei denn, die betrofenen Personen haben ihre Zustimmung gegeben. Diese Pflicht ermöglicht es Nutzern, die Art des Inhalts oder der Interaktion zu verstehen und informierte Entscheidungen zu trefen.
Minimales Risiko
Die minimale Kategorie - vielleicht nahezu 80% der KI-Systeme - umfasst Videospiele, Spamfilter und ähnliches. Diese Systeme haben unter der Verordnung keine besonderen Pflichten. Unter den Regeln der maximalen Harmonisierung können Mitgliedstaaten auch keine zusätzlichen Lizenzanforderungen oder weitere Konformitätsrahmen für sie auferlegen. Bestehende nationale Gesetze werden weiterhin überstimmt, soweit sie supersedieren. Dennoch fördert das Gesetz die freiwillige Einhaltung von Verhaltenskodexes für diese Anwendungen mit geringem Risiko.
Kategorie für allgemeine KI
Im Jahr 2023 wurde der Text um eine eigene Ebene für allgemeine KI erweitert, wie transformer-basierte Netzwere, die Empfehlungen, Texte oder Bilder erzeugen. Dies umfasst Fundamentmodelle wie große Sprachmodelle. Die verantwortlichen Personen veröffentlichen eine Transparenzzusammenfassung der Trainingsdaten, übernehmen Richtlinien zur Einhaltung des Urheberrechts und stellen technische Dokumntation für nachfolgende Anbieter und Aufsichtsbehörden bereit.
Open-Source-Anbieter mit einer besonderen Einschränkung: Wenn die Gewichte und das Design des Model ls frei verfügbar sind, müssen sie die strengeren Transparenzanforderungen umgehen, müssen aber denoch eine Urheberrechtspolitik und eine gewisse Zusammenfassung der Trainingsdaten veröffentlichen. Leistungsfähigere oder hochwirksame Model le, die mehr als 10²⁵ multiplizierte Gleitkommaoperationen (das heißt 10,000,000,000,000,000,000,000,000,000) zum Training benötigen, unterliegen zusätzlichen Pflichten, einschließlich adversarieler Testung, Model lewertungen, Risikmindrung in Bezug auf Verzerrung und Sicherheit, Vorfallberichterstattung und angemessener Cybersicherheit - dies deckt sogenannte Systeme mit systemischem Risiko ab.
Für Anbieter allgemeiner KI wurde die Verordnung durch einen 'Verhaltenskodex für allgemeine KI' ergänzt, der am 10. Juli 2025 erstmals veröffentlicht wurde. Er enthält drei Hauptkapitel, die Transparenz, Urheberrecht und vorausschauende Sicherheit/Sicherheit abdecken, und hilft Anbietern, die Einhaltung der Verordnung nachzuweisen.
Durchsetzung und extraterritoriale Anwendung
Das KI-Gesetz baut eine umfassende Governance-Struktur auf, richtet einen Europäischen Rat für künstliche Intelligenz mit Vertretern der Mitgliedstaaten ein, um Zusammenarbeit, Konsistenz und Leitlinien zu fördern. Unabhängige nationale Aufsichtsbehörden arbeiten mit dem Gremium zusammen, übernehmen Beshwerden, Marktüberwachungsaufgaben und Durchsetzungsmaßnahmen. Wie bei der DSGVO hat das Gesetz auch extraterritoriale Geltung für externe Anbieter im Blick: Wenn sie KI-Systeme oder Dienste innerhalb der Union anbieten, müssen ihre inländischen Unternehmen die Vorschriften einhalten, auch wenn sie physisch in anderen Teilen der Welt ansässig sind.
Ausnahmen und Anwendungsbereich
KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigung oder nationale Sicherheit verwendet werden, sind von der Verordnung ausgenommen, ebenso wie Systeme, die für reine wissenschafliche Forshung und Entwicklung entwickelt werden. Die Formulierung lässt keinen Raum für Aktivitäten außerhalb der Ausnahmenlinien. Nicht-professionelle Nutzung ist ebenfals nicht abgedeckt. Die Verordnung schaft selbst keine individuelen Rechte, sondern legt Pflichten für Anbieter und Organisationen fest, so dass Rechte auf diesen zu scheinen.