Der EU-AI-Gesetzesvorschlag 2021 ist eine wegweisende Regulierungsinitiative der Europäischen Kommission zur Steuerung der Entwicklung und Nutzung künstlicher Intelligenz innerhalb der Europäischen Union. Der am 21. April 2021 vorgeschlagene Rechtsakt zielt darauf ab, einen gemeinsamen Rechtsrahmen für KI zu schaffen, Systeme nach Risiko zu klassifizieren und entsprechende Pflichten für Anbieter und Betreiber festzulegen. Die Verordnung trat am 1. August 2024 in Kraft, wobei die Bestimmungen in den folgenden 6 bis 36 Monaten schrittweise eingeführt werden, und gilt extraterritorial für Anbieter außerhalb der EU mit Nutzern innerhalb des Binnenmarkts.
Der Vorschlag wurde erheblich überarbeitet, um dem Aufkommen von generativen KI-Systemen wie ChatGPT Rechnung zu tragen, deren Allzweckfähigkeiten nicht in die ursprünglichen Risikokategorien passten. Er wurde am 13. März 2024 vom Europäischen Parlament verabschiedet und am 21. Mai 2024 vom EU-Rat einstimmig gebilligt.
Risikobasierte Klassifizierung
Das Gesetz übernimmt ein Produktsicherheitsmodell und weist regulatorische Pflichten zu, die mit dem potenziellen Schaden zunehmen. Es definiert vier primäre Risikostufen sowie eine separate Kategorie für allgemeine KI:
- Inakzeptables Risiko: Verbotene Anwendungen umfassen solche, die menschliches Verhalten manipulieren, Echtzeit-Fernidentifizierung biometrischer Daten im öffentlichen Raum nutzen oder Sozialkreditsysteme ermöglichen. Für bestimmte Fälle gelten enge Ausnahmen.
- Hohes Risiko: Systeme im Gesundheitswesen, Bildungswesen, bei der Personalbeschaffung, kritischer Infrastruktur, Strafverfolgung oder Justiz müssen Qualitäts-, Transparenz-, Humanaufsichts- und Sicherheitspflichten erfüllen. Einige erfordern vor der Bereitstellung eine Folgenabschätzung für Grundrechte, und Bürger können Beschwerden einreichen oder Erläuterungen zu Entscheidungen verlangen, die ihre Rechte betreffen.
- Begrenztes Risiko: Transparenzpflichten gelten, etwa die Information der Nutzer, dass sie mit KI interagieren oder dass Inhalte wie Deepfakes KI-generiert sind.
- Minimales Risiko: Unregulierte Systeme wie Videospiele oder Spamfilter fallen hierunter. Aufgrund der maximalen Harmonisierung können die Mitgliedstaaten keine zusätzlichen Vorschriften erlassen, obwohl ein freiwilliger Verhaltenskodex empfohlen wird.
Die Liste der Hochrisikoanwendungen kann erweitert werden, ohne das Gesetz selbst zu ändern. Der Wissenschaftliche Dienst des Europäischen Parlaments stellte fest, dass die Folgenabschätzung der Kommission bei der Gestaltung dieses Rahmens auf Konsultationen der Interessenträger und vorhandener Forschung aufbaute.
Bestimmungen zu allgemeiner KI
Diese 2023 hinzugefügte Kategorie umfasst Basismodelle wie große Sprachmodelle, die eine breite Palette von Aufgaben ausführen. Open-Source-Modelle müssen eine Zusammenfassung der Trainingsdaten und eine Urheberrechtsrichtlinie veröffentlichen; Closed-Source-Modelle unterliegen umfassenderen Transparenzanforderungen. Modelle mit hoher Wirkung, die mehr als 10^25 Gleitkommaoperationen zum Training erfordern, werden als systemisches Risiko darstellend eingestuft und müssen Modellbewertungen, adversariale Tests, Risikominderung für Verzerrungen und Sicherheitsfehler, Meldung von Vorfällen sowie angemessene Cybersicherheitsmaßnahmen durchführen.
Ein Verhaltenskodex für allgemeine KI, veröffentlicht am 10. Juli 2025, umreißt drei Kapitel zu Transparenz, Urheberrecht sowie Sicherheit und Schutz, um Anbietern die Einhaltung der Vorschriften zu erleichtern. Die Teilnahme ist freiwillig.
Ausnahmen und Anwendungsbereich
Die Artikel 2.3 und 2.6 befreien KI-Systeme, die ausschließlich für militärische, Verteidigungs- oder nationale Sicherheitszwecke verwendet werden, sowie reine wissenschaftliche Forschung und Entwicklung. Das Gesetz schafft keine individuellen Rechte, sondern legt Pflichten für professionelle Anbieter und Betreiber fest. Es deckt die meisten Sektoren ab, wobei auch die nicht-professionelle persönliche Nutzung ausgenommen ist.
Institutioneller Rahmen
Das Gesetz schafft einen Europäischen Ausschuss für künstliche Intelligenz, um die Zusammenarbeit der Mitgliedstaaten zu fördern und die Einhaltung sicherzustellen. Wie die Datenschutz-Grundverordnung kann es auf Anbieter außerhalb der EU angewendet werden, wenn diese Nutzer innerhalb des Binnenmarkts haben, was seine regulatorische Reichweite global ausdehnt.
Die schrittweise Umsetzung bedeutet, dass die Pflichten in den 6 bis 36 Monaten ab August 2024 schrittweise in Kraft treten, sodass die Interessenträger Zeit zur Anpassung haben. Der Rahmen ist darauf ausgelegt, Innovation mit dem Schutz von Gesundheit, Sicherheit und Grundrechten in Einklang zu bringen und spiegelt einen vorsorgenden Ansatz für KI-Regulierung wider.