Die Transparenzpflichten des EU-KI-Gesetzes sind eine Reihe von Anforderungen innerhalb des Gesetzes über künstliche Intelligenz (Verordnung (EU) 2024/1689), einer Verordnung der Europäischen Union, die einen gemeinsamen Rechtsrahmen für KI festlegt. Diese Pflichten gelten speziell für KI-Systeme, die als begrenzt riskant eingestuft werden, wie etwa Chatbots, Deepfakes und andere generative Werkzeuge, und sollen sicherstellen, dass Nutzer wissen, wann sie mit KI interagieren oder wann Inhalte KI-generiert sind. Die Transparenzpflichten sind ein Kernbestandteil des risikobasierten Ansatzes des Gesetzes, der strengere Regeln für Anwendungen mit höherem Risiko vorsieht und gleichzeitig eine geringere Aufsicht für weniger riskante Anwendungen ermöglicht. Das Gesetz trat am 1. August 2024 in Kraft, wobei die Transparenzbestimmungen schrittweise über die folgenden 6 bis 36 Monate anwendbar werden; es kann auch extraterritorial für Anbieter außerhalb der EU gelten, wenn diese Nutzer in der EU bedienen.
Die Transparenzpflichten sind Teil eines breiteren Regulierungsschemas, das KI-Anwendungen in vier Risikostufen einteilt - inakzeptabel, hoch, begrenzt und minimal - sowie eine separate Kategorie für allgemeine KI. Systeme mit begrenztem Risiko, zu denen viele generative KI-Anwendungen gehören, unterliegen nicht den strengen Konformitätsbewertungen, die für Hochrisikosysteme erforderlich sind, müssen jedoch spezifische Offenlegungspflichten erfüllen. Diese Pflichten sollen Vertrauen und fundierte Entscheidungsfindung fördern, indem sie es Einzelpersonen ermöglichen, KI-Beteiligung zu erkennen und bewusste Entscheidungen über ihre Interaktionen zu treffen. Das Gesetz erlegt auch allgemeinen KI-Modellen wie großen Sprachmodellen Transparenzpflichten auf, mit reduzierten Anforderungen für Open-Source-Modelle und zusätzlichen Bewertungen für Systeme mit hoher Leistungsfähigkeit.
Anwendungsbereich und Anwendbarkeit
Die Transparenzpflichten gelten für KI-Systeme, die mit Einzelpersonen interagieren oder Inhalte generieren, und decken ein breites Spektrum an Sektoren und Anwendungsfällen ab. Sie werden ausgelöst, wenn ein KI-System in einem beruflichen Kontext eingesetzt wird, was bedeutet, dass Anbieter und Betreiber - nicht einzelne Nutzer - die Verantwortung für die Einhaltung tragen. Das Gesetz befreit KI, die ausschließlich für militärische Zwecke, nationale Sicherheit oder reine wissenschaftliche Forschung verwendet wird, sowie Systeme, die für nichtberufliche Aktivitäten genutzt werden. Dieser Anwendungsbereich stellt sicher, dass die Pflichten auf kommerzielle und institutionelle Bereitstellungen abzielen, während eine unangemessene Belastung für persönliche oder Forschungsnutzungen vermieden wird.
Für Systeme mit begrenztem Risiko besteht die Hauptanforderung darin, Nutzer darüber zu informieren, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus dem Kontext offensichtlich. Beispielsweise muss ein Chatbot seine KI-Natur klar offenlegen, und KI-generierte oder manipulierte Inhalte wie Deepfakes müssen als solche gekennzeichnet werden. Diese Regeln sollen Täuschung verhindern und es Nutzern ermöglichen, die Zuverlässigkeit von Informationen oder Interaktionen zu bewerten. Die Pflichten erstrecken sich auch auf KI-Systeme, die Bilder, Audio oder Video generieren oder manipulieren, und erfordern eine klare Kennzeichnung synthetischer Inhalte.
Transparenzanforderungen für KI mit begrenztem Risiko
KI-Systeme mit begrenztem Risiko, wie im Gesetz definiert, umfassen Anwendungen, die ein minimales Schadenspotenzial aufweisen, aber dennoch Transparenz zum Schutz der Nutzer erfordern. Die Hauptpflicht besteht darin, sicherzustellen, dass Nutzer wissen, dass sie mit einer KI interagieren, damit sie fundierte Entscheidungen treffen können. Dies gilt für Chatbots, virtuelle Assistenten und andere Konversationsschnittstellen, bei denen die KI-Natur möglicherweise nicht sofort erkennbar ist. Anbieter müssen diese Systeme so gestalten, dass sie ihre Identität klar offenlegen, entweder durch explizite Aussagen oder kontextuelle Hinweise.
Für Deepfakes und andere synthetische Medien schreibt das Gesetz vor, dass Inhalte als KI-generiert oder manipuliert gekennzeichnet werden müssen. Diese Kennzeichnung muss klar, auffällig und dem Medium angemessen sein, damit Betrachter oder Zuhörer synthetische Inhalte identifizieren können. Die Anforderung zielt darauf ab, Desinformation zu bekämpfen und Einzelpersonen davor zu schützen, durch realistische, aber fabrizierte Medien getäuscht zu werden. Das Gesetz verlangt außerdem, dass solche Kennzeichnungen technisch robust sind, schwer zu entfernen oder zu verändern, und dass sie zum Zeitpunkt der Erstellung oder Verbreitung angebracht werden.
Transparenz für allgemeine KI
Im Jahr 2023 wurde der Gesetzesentwurf überarbeitet, um dem Aufstieg von generativen KI-Systemen wie ChatGPT Rechnung zu tragen, deren allgemeine Fähigkeiten nicht in den Hauptrahmen passten. Dies führte zur Schaffung einer eigenen Kategorie für allgemeine KI-Modelle (GPAI), die Fundamentmodelle umfasst, die eine breite Palette von Aufgaben ausführen können. Die Transparenzanforderungen für GPAI-Modelle sind umfangreicher als für Systeme mit begrenztem Risiko, was ihre breitere Wirkung widerspiegelt. Anbieter müssen eine Zusammenfassung der Trainingsdaten veröffentlichen, eine Urheberrechtsrichtlinie übernehmen und technische Dokumentation für nachgelagerte Nutzer und Aufsichtsbehörden bereitstellen.
Für Open-Source-Modelle, bei denen Gewichte und Design öffentlich zugänglich gemacht werden, sind die Transparenzpflichten reduziert: Anbieter müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen, sind jedoch von einigen Dokumentationsanforderungen befreit. Closed-Source-Modelle müssen umfassendere Transparenzpflichten erfüllen, einschließlich detaillierter Informationen über die Fähigkeiten und Grenzen des Modells. Hochwirksame Modelle, die systemische Risiken darstellen - definiert als solche, die mehr als 10^25 Gleitkommaoperationen zum Trainieren erfordern - müssen zusätzlichen Bewertungen unterzogen werden, einschließlich adversarischer Tests und Risikominderung für Verzerrungen und Sicherheitsfehler.
Der Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, bietet praktische Leitlinien für die Einhaltung. Er skizziert drei Hauptkapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz und hilft Anbietern, die Einhaltung des KI-Gesetzes nachzuweisen. Die Teilnahme an dem Kodex ist freiwillig, bietet jedoch einen strukturierten Ansatz zur Erfüllung der Anforderungen des Gesetzes, insbesondere für komplexe GPAI-Systeme.
Einhaltung und Durchsetzung
Die Transparenzpflichten werden durch die breiteren Compliance-Mechanismen des Gesetzes durchgesetzt. Anbieter müssen sicherstellen, dass ihre KI-Systeme die relevanten Anforderungen erfüllen, bevor sie auf den Markt gebracht werden, und sie müssen Dokumentation aufbewahren, um die Einhaltung nachzuweisen. Nationale Aufsichtsbehörden, koordiniert durch das Europäische Amt für künstliche Intelligenz, sind für die Überwachung und Durchsetzung verantwortlich. Das Amt, das durch das Gesetz eingerichtet wurde, fördert die Zusammenarbeit der Mitgliedstaaten und gewährleistet eine einheitliche Anwendung der Verordnung in allen Mitgliedstaaten.
Bei Nichteinhaltung können erhebliche Strafen verhängt werden, ähnlich denen unter der Datenschutz-Grundverordnung (DSGVO). Geldbußen können bis zu einem Prozentsatz des globalen Jahresumsatzes eines Unternehmens betragen, abhängig von der Schwere und Art des Verstoßes. Bei Transparenzverstößen sind die Strafen in der Regel niedriger als bei Hochrisikoverstößen, können aber dennoch erheblich sein. Das Gesetz erlaubt es Bürgern auch, Beschwerden über KI-Systeme einzureichen und Erklärungen zu Entscheidungen von Hochrisiko-KI zu erhalten, die ihre Rechte betreffen, obwohl dies nicht auf Systeme mit begrenztem Risiko ausgeweitet wird.
Verhältnis zu anderen Vorschriften
Die Transparenzpflichten ergänzen andere EU-Vorschriften, insbesondere die DSGVO, die den Datenschutz und die Privatsphäre regelt. Während sich das KI-Gesetz auf Produktsicherheit und Transparenz konzentriert, befasst sich die DSGVO mit den individuellen Rechten an personenbezogenen Daten. Zusammen schaffen sie einen umfassenden Rahmen für die KI-Governance, wobei das KI-Gesetz extraterritorial für Anbieter außerhalb der EU gilt, wenn sie Nutzer in der EU haben, was die Reichweite der DSGVO widerspiegelt. Dieser extraterritoriale Geltungsbereich bedeutet, dass globale KI-Unternehmen, einschließlich solcher mit Sitz in den USA oder Asien, die EU-Transparenzregeln einhalten müssen, wenn sie Nutzer in der EU bedienen.
Das Gesetz interagiert auch mit sektorspezifischen Vorschriften, wie denen für Finanzdienstleistungen oder das Gesundheitswesen, wo zusätzliche Transparenzanforderungen gelten können. In solchen Fällen legt das KI-Gesetz eine Grundlinie fest, und sektorale Regeln können strengere Pflichten auferlegen. Dieser mehrschichtige Ansatz stellt sicher, dass Transparenz auf die spezifischen Risiken und Kontexte der KI-Nutzung zugeschnitten ist, während ein einheitlicher EU-weiter Standard beibehalten wird.
Auswirkungen auf die KI-Entwicklung
Die Transparenzpflichten haben erhebliche Auswirkungen auf KI-Entwickler und -Betreiber. Sie erfordern eine sorgfältige Gestaltung von Benutzeroberflächen mit klaren KI-Offenlegungen und robuste Kennzeichnungsmechanismen für synthetische Inhalte. Für große Sprachmodelle und andere generative KI-Systeme bedeutet dies die Implementierung von Funktionen, die KI-generierten Text, Bilder oder Audio identifizieren können, was technische Lösungen wie Wasserzeichen oder Metadaten-Einbettung umfassen kann.
Diese Anforderungen fördern auch eine Kultur der Transparenz in der KI-Branche, die Verantwortlichkeit und Vertrauen stärkt. Durch die Transparenz von KI-Interaktionen zielt das Gesetz darauf ab, das Risiko von Missbrauch zu verringern und Nutzer zu befähigen, fundierte Entscheidungen zu treffen. Die Pflichten bringen jedoch auch Compliance-Kosten mit sich, insbesondere für kleinere Anbieter, die möglicherweise in Dokumentations- und Kennzeichnungsinfrastruktur investieren müssen. Die gestaffelte Umsetzung des Gesetzes, mit Bestimmungen, die über 6 bis 36 Monate in Kraft treten, gibt den Beteiligten Zeit, sich anzupassen.
Zukünftige Entwicklungen
Ab 2025 werden die Transparenzpflichten in der gesamten EU umgesetzt, wobei das Europäische Amt für künstliche Intelligenz daran arbeitet, die Durchsetzung zu harmonisieren. Der Verhaltenskodex für allgemeine KI, veröffentlicht im Juli 2025, ist ein zentrales Instrument für die Einhaltung, und seine Annahme wird prägen, wie Transparenz für GPAI-Modelle operationalisiert wird. Das Gesetz erlaubt auch, die Liste der Hochrisikoanwendungen im Laufe der Zeit zu erweitern, was die Transparenzanforderungen für bestimmte Systeme beeinflussen könnte.
Der Ansatz der EU wird weltweit beobachtet, da andere Rechtsordnungen ähnliche Vorschriften in Betracht ziehen. Insbesondere die Transparenzpflichten gelten als Modell für die Balance zwischen Innovation und Nutzerschutz. Mit der Weiterentwicklung der KI-Technologie können die Bestimmungen des Gesetzes aktualisiert werden, um neuen Herausforderungen zu begegnen, wie dem Aufstieg von maschinellem Lernen-Techniken oder Fortschritten im Deep Learning. Die Flexibilität des Rahmens mit seinen risikobasierten Kategorien und delegierten Rechtsakten ist darauf ausgelegt, solche Änderungen zu berücksichtigen und sicherzustellen, dass Transparenz ein Eckpfeiler der KI-Governance in der EU bleibt.