AI Act

Die europäische KI-Verordnung (AI Act): Was Unternehmen beachten müssen

Künstliche Intelligenz (KI) sicher und vertrauenswürdig gestalten – das ist das Ziel der europäischen Verordnung über Künstliche Intelligenz (AI Act), die am 1. August 2024 in Kraft trat und ab dem 1. August 2026 Anwendung findet. Den AI Act

Wer ist betroffen?

KI ist vielfältig und überall dort einsetzbar, wo große Mengen an Daten zu verwerten sind. Anwendungen finden sich verteilt über nahezu alle Wirtschaftsbereiche und Geschäftsfelder: von der verbreiteten Bild-, Sprach- und Texterkennung über das Smart Home bis hin zum autonomen Fahrzeug, aber auch bei industriellen Anwendungen, in denen KI zum Beispiel eine vorausschauende Wartung von Maschinen ermöglicht.

Was sieht die Verordnung vor?

KI ist nicht gleich KI – im AI-Act werden zwischen Anwendungsbereichen sowie zwischen vier Risikoklassen unterschieden. An die Risikoklassen sind unterschiedliche Anforderungen geknüpft. KI-Systeme, die den ethischen Grundsätzen in der EU widersprechen und somit ein inakzeptables Risiko darstellen, sind gänzlich verboten, zum Beispiel Social-Scoring-Systeme.

Was bedeutet Künstliche Intelligenz im Sinne der KI-Verordnung?

  • Verbotene KI-Systeme:
An die Risikoklassen sind unterschiedliche Anforderungen geknüpft. KI-Systeme, die den ethischen Grundsätzen in der EU widersprechen und somit ein inakzeptables Risiko darstellen, sind gänzlich verboten, zum Beispiel Social-Scoring-Systeme.
  • Hochrisiko-KI-Systeme:
Besonders relevant für Unternehmen sind Anwendungen, die als hochriskant eingestuft werden. Sie sollen künftig strengen Anforderungen unterliegen. Ein umfassendes Qualitäts- und Risikomanagementsystem, in dem unter anderem Entscheidungsvorgänge, Datenqualität und Transparenz dokumentiert und nachgewiesen werden müssen, ist einzurichten. Zu den Hochrisikosystemen zählen unter anderem KI-basierte Anwendungen, die beispielsweise im Personalmanagement, in der Aus- und Weiterbildung, in der kritischen Infrastruktur oder in der Industrie als Sicherheitskomponenten oder -bauteile zum Einsatz kommen.
  • Begrenztes Risiko:
Für Anwendungen mit geringem Risiko, beispielsweise Chatbots, sind Transparenzpflichten vorgesehen. Die Anbieter müssen auch sicherstellen, dass KI-generierte Inhalte identifizierbar sind. Außerdem müssen KI-generierte Texte, die mit dem Ziel veröffentlicht werden, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, als künstlich erzeugt gekennzeichnet werden. Dies gilt auch für Audio- und Videoinhalte, die Deep Fakes darstellen.
  • Minimales oder kein Risiko:
Das KI-Gesetz erlaubt die freie Nutzung von KI mit minimalem Risiko. Dazu gehören Anwendungen wie KI-fähige Videospiele oder Spam-Filter. Die überwiegende Mehrheit der derzeit in der EU eingesetzten KI-Systeme fällt in diese Kategorie.

Ist der AI Act bereits im vollen Umfang anwendbar?

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Verbote und Verpflichtungen erlangen nun schrittweise Gültigkeit:
  • Nach sechs Monaten (2. Februar 2025) sind KI-Systeme mit inakzeptablem Risiko verboten; Anbieter und Betreiber von KI-Systemen stellen »ausreichendes Maß an KI-Kompetenz« bei Nutzenden sicher.
  • Nach zwölf Monaten (2. August 2025) werden Governance-Regeln und die Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck wirksam.
  • Nach 24 Monaten (2. August 2026) wird der Großteil der Regelungen wirksam, etwa für Hochrisiko-KI-Systeme nach Annex III.
  • Nach 36 Monaten (2. August 2027) greifen Vorschriften für Hochrisiko-KI-Systeme, die über sektorale Harmonisierungsvorschriften von der Regulierung betroffen sind.
Um den Übergang zum neuen Rechtsrahmen zu erleichtern, hat die Kommission den KI-Pakt ins Leben gerufen, eine freiwillige Initiative, die die künftige Umsetzung unterstützen soll und KI-Entwickler aus Europa und darüber hinaus auffordert, die wichtigsten Verpflichtungen des KI-Rechtsakts vorzeitig zu erfüllen.

Wo erhalten Unternehmen von offizieller Seite Unterstützung?

Nur ein Teil der Marktaufsicht (insbesondere die Überwachung von GPAI) wird zentral durch das AI Office der EU-Kommission umgesetzt. Der Großteil der Aufsicht obliegt den Mitgliedsstaaten. Derzeit ist noch unklar, welche Behörde in Deutschland mit der Durchsetzung des AI Acts beauftragt wird. Bis zum 1. August 2025 muss eine nationale Aufsicht festgelegt werden.
Weitere Informationen: