Was ist der EU AI Act? Die KI-Verordnung der Europäischen Union

Hintergrund und Entstehung

Die Europäische Kommission veröffentlichte im April 2021 ihren Entwurf für eine KI-Verordnung, als erste ihrer Art weltweit. Ziel war ein rechtlicher Rahmen, der Innovation fördert und gleichzeitig Grundrechte, Sicherheit und Vertrauen schützt. Nach intensiven Verhandlungen im sogenannten Trilog (Kommission, Rat, Parlament) wurde der finale Text im März 2024 vom EU-Parlament mit großer Mehrheit verabschiedet. Am 1. August 2024 trat der EU AI Act in Kraft.

Die Verordnung gilt für alle, die KI-Systeme in der EU entwickeln, in Verkehr bringen oder einsetzen, unabhängig davon, ob das Unternehmen seinen Sitz in der EU hat. Damit hat der EU AI Act eine ähnliche Reichweite wie die DSGVO.

Zeitplan: Stufenweise Anwendbarkeit

Die vier Risikoklassen im Detail

Klasse 1: Unakzeptables Risiko (Verboten, Artikel 5)

Diese KI-Systeme sind vollständig verboten, da sie fundamentale Grundrechte verletzen:

• Social Scoring: Bewertung von Personen durch staatliche Stellen auf Basis ihres Verhaltens über mehrere Lebensbereiche hinweg
• Biometrische Echtzeit-Fernidentifikation im öffentlichen Raum durch Strafverfolgungsbehörden (mit engen Ausnahmen)
• Manipulation durch subliminale Techniken oder Ausnutzung von Schwächen vulnerabler Gruppen (Kinder, Menschen mit Behinderungen)
• Emotion Recognition am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen für Sicherheitszwecke)
• KI zur Vorhersage strafbarer Handlungen auf Basis von Profiling ohne konkrete Hinweise

Klasse 2: Hohes Risiko (Strenge Anforderungen, Anhang III)

Hochrisiko-KI darf eingesetzt werden, unterliegt aber umfassenden Pflichten. Als hochriskant gelten KI-Systeme in folgenden Bereichen:

• Biometrie: Gesichtserkennung, Emotionserkennung zur Identifikation
• Kritische Infrastruktur: Wasser-, Strom-, Gasnetz, Verkehrssysteme
• Bildung und Ausbildung: Zulassung zu Bildungseinrichtungen, Leistungsbewertung
• Beschäftigung und HR: Bewerberauswahl, Leistungsbeurteilung, Kündigung
• Wesentliche Dienstleistungen: Kreditvergabe, Krankenversicherung, Notfallversorgung
• Strafverfolgung und Migration: Risikoanalyse, Asylentscheidungen
• Justiz: KI-gestützte Entscheidungsunterstützung in Rechtsstreitigkeiten

Klasse 3: Begrenztes Risiko (Transparenzpflichten)

Diese Systeme müssen für Nutzer erkennbar als KI gekennzeichnet sein:

• Chatbots und virtuelle Assistenten: Nutzer müssen wissen, dass sie mit KI kommunizieren
• Deepfakes: Synthetisch erzeugte Bild-, Audio- oder Videoinhalte müssen als solche gekennzeichnet werden
• Emotionserkennungssysteme (außerhalb der verbotenen Kategorien): Offenlegungspflicht gegenüber Betroffenen

Klasse 4: Minimales Risiko (Keine besonderen Pflichten)

Der Großteil aller KI-Anwendungen fällt in diese Klasse: KI-Spam-Filter, KI-gestützte Rechtschreibprüfung, KI-Spiele, einfache Empfehlungsalgorithmen. Hier gelten keine spezifischen EU-AI-Act-Anforderungen. Freiwillige Verhaltenskodizes werden empfohlen.

Pflichten für Hochrisiko-KI-Anbieter und -Betreiber

Wer ein Hochrisiko-KI-System in Verkehr bringt oder betreibt, muss folgende Anforderungen erfüllen:

• Risikomanagementsystem: Kontinuierlicher Prozess zur Identifikation, Analyse und Minderung von Risiken über den gesamten Lebenszyklus
• Datensätze-Governance: Trainings-, Validierungs- und Testdatensätze müssen relevanten, repräsentativen und fehlerfreien Anforderungen entsprechen
• Technische Dokumentation: Vollständige Beschreibung des Systems, seiner Leistungsmerkmale und Grenzen, vor Inverkehrbringen zu erstellen
• Automatische Protokollierung (Logs): Das System muss seinen Betrieb automatisch protokollieren, um ex-post-Überprüfungen zu ermöglichen
• Transparenz gegenüber Betreibern: Klare Bedienungsanleitungen, Fähigkeiten und Grenzen müssen kommuniziert werden
• Menschliche Aufsicht: Wirksame menschliche Kontrolle muss technisch und organisatorisch sichergestellt sein
• Robustheit, Genauigkeit und Cybersicherheit: Definierte Leistungsmetriken und Resilienz gegen Manipulation
• Konformitätsbewertung: Eigenprüfung oder Prüfung durch Dritte, je nach Systemart
• CE-Kennzeichnung: Hochrisiko-KI trägt das CE-Kennzeichen und muss in die EU-Datenbank eingetragen werden

General Purpose AI (GPAI): Regeln für Basismodelle

Der EU AI Act enthält besondere Regeln für General Purpose AI Models (große vortrainierte Modelle), die für eine Vielzahl von Aufgaben eingesetzt werden können (z. B. GPT-4, Claude, Gemini, LLaMA).

Für alle GPAI-Anbieter gelten:

• Technische Dokumentation und Bereitstellung für nachgelagerte Anbieter
• Urheberrechtliche Transparenz (Einhaltung der EU-Urheberrechtsrichtlinie)
• Veröffentlichung einer Zusammenfassung der Trainingsdaten

Für GPAI-Modelle mit systemischem Risiko (Trainingsrechenleistung > 10²⁵ FLOPs, also die leistungsstärksten Modelle) gelten zusätzlich:

• Adversarielle Tests und Red-Teaming vor Inverkehrbringen
• Meldepflicht schwerwiegender Vorfälle an die EU-KI-Behörde
• Angemessene Cybersicherheitsmaßnahmen
• Energieeffizienz-Berichterstattung

Bußgelder und Sanktionen

Was Unternehmen jetzt tun müssen

1. KI-Inventar erstellen: Alle eingesetzten und geplanten KI-Systeme erfassen, intern entwickelte wie extern bezogene (SaaS, APIs).
2. Risikoeinstufung vornehmen: Jedes System der richtigen Risikoklasse zuordnen. Bei Unsicherheit: Rechts- und Compliance-Beratung hinzuziehen.
3. Verbotene Praktiken sofort beenden: Seit Februar 2025 sind die Verbote (Klasse 1) bereits anwendbar.
4. Governance-Strukturen aufbauen: Verantwortlichkeiten für KI-Compliance definieren (KI-Beauftragter, AI Governance Board).
5. Dokumentationspflichten vorbereiten: Technische Dokumentation, Risikoregister und Protokollierungsmechanismen für Hochrisiko-KI aufbauen.
6. Lieferkette prüfen: Bei externen KI-Komponenten sicherstellen, dass Anbieter den EU AI Act einhalten und notwendige Dokumentation bereitstellen.

Externe Quellen und offizielle Dokumente

• EU AI Act: Offizieller Verordnungstext (EUR-Lex) (Verordnung EU 2024/1689 im Volltext)
• EU-Kommission: Europäischer Ansatz für KI (Hintergrund und Politikübersicht)
• Bitkom: EU-KI-Verordnung (Praxisorientierte Einschätzungen für die deutsche Wirtschaft) für die deutsche Wirtschaft
• BSI (Bundesamt für Sicherheit in der Informationstechnik) (technische Leitlinien zur KI-Sicherheit)

Verwandte Artikel

• Was ist KI-Governance? Der EU AI Act ist die gesetzliche Grundlage; KI-Governance ist die unternehmensinterne Umsetzung seiner Anforderungen.
• Was ist ein Large Language Model (LLM)? LLMs fallen unter die GPAI-Regelungen des EU AI Act und unterliegen Transparenz- und Sicherheitspflichten.
• Was ist Künstliche Intelligenz (KI)? Grundlagen und Definitionen: Was der EU AI Act unter KI-Systemen versteht und wie sie klassifiziert werden.
• Was ist Digitale Transformation? Wie der EU AI Act die Rahmenbedingungen für KI-gestützte digitale Transformation in Europa prägt.
• Was ist Datenqualität? Der EU AI Act stellt hohe Anforderungen an Trainingsdaten: Qualität, Repräsentativität und Dokumentation.
• Was ist AI Shoring? Wie AI-Shoring-Projekte die Compliance-Anforderungen des EU AI Act von Anfang an berücksichtigen müssen.

Mehr Zeit für dein Business?
Mit Prozessautomation!

Lass uns gemeinsam schauen, wie wir euch unterstützen können.
Unverbindlich und mit konkreten Handlungsideen!