Der AI Act der EU: Herausforderungen und Lösungen in der KI-Regulierung

Die Europäische Union hat mit der Verordnung (EU) 2024/1689, auch bekannt als AI Act, einen umfassenden Rechtsrahmen für den Einsatz von Künstlicher Intelligenz geschaffen. Ziel der Vorschriften ist es, eine vertrauenswürdige Nutzung von KI in der EU zu fördern, während Investitionen gestärkt und Innovationen unterstützt werden. Dieses Regelwerk steht im Zentrum der aktuellen Bemühungen der EU, den Technologieeinsatz im Einklang mit europäischen Werten zu regulieren. Doch mit der zunehmenden Komplexität der Gesetzgebung gehen auch Herausforderungen einher, die es zu bewältigen gilt.

Ziele und Struktur des KI-Gesetzes

Das AI Act verfolgt einen risikobasierten Ansatz, der klare Regeln für KI-Entwickler und -Anwender festlegt, insbesondere für Hochrisiko-Anwendungsfälle. Vier Risikostufen werden definiert:
1. Unannehmbares Risiko: Bestimmte KI-Anwendungen wie Social Scoring oder manipulative KI sind verboten.
2. Hohes Risiko: Für KI-Systeme in kritischen Bereichen (z.B. Personalwesen, Bildung, Kreditvergabe) gelten strenge Anforderungen:
  • Erstellung umfassender technischer Dokumentation
  • Implementierung von Risikomanagement-Systemen
  • Sicherstellung von Datenqualität und Datenschutz
  • Einrichtung menschlicher Aufsicht
  • Gewährleistung von Transparenz gegenüber Nutzern
  • Regelmäßige Konformitätsbewertungen
3. Begrenztes Risiko: Hier gelten Transparenzpflichten, etwa die Kennzeichnung von KI-generierten Inhalten.
4. Minimales Risiko: Für die meisten KI-Anwendungen mit geringem Risiko gelten keine spezifischen Verpflichtungen.
Systeme mit inakzeptablen Risiken sind verboten, darunter fallen Praktiken wie soziales Scoring, Echtzeit-Gesichtserkennung in öffentlichen Räumen zum Beispiel für die Erstellung von Gesichtserkennungsdatenbanken oder zur Strafverfolgung, Emotionserkennung am Arbeitsplatz und biometrische Kategorisierung. Weiter Details zu den Risikostufen finden Sie in dem Artikel der EU: https://digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai

Hochrisiko-Anwendungen: Strenge Vorschriften

Hochrisiko-KI-Systeme, die signifikante Gesundheits-, Sicherheits- oder Grundrechtsrisiken bergen, sind besonders reguliert. Beispiele sind KI-Sicherheitskomponenten in kritischen Infrastrukturen, Bildungseinrichtungen und dem öffentlichen Dienstleistungszugang. Anbieter dieser Systeme müssen unter anderem Risikobewertungen, umfassende Dokumentationen und menschliche Aufsichtsmaßnahmen gewährleisten.
Es ist wichtig zu verstehen, dass die Einstufung des KI-Systems nicht allein durch den Hersteller geschieht. Die Nutzer können durch Zweckentfremdung KI-Anwendungen mit niedrigem Risiko falsch einsetzen und somit in eine Kategorie mit strengen Vorschriften oder sogar verbotene Anwendungen einsetzen. Häufig hängt die Einstufung auch von den in das KI-System eingegebenen Daten der Nutzer ab.

Kritik und Wunsch für Harmonisierung

Kritik erfährt der AI Act durch die Spannungen mit bestehenden gesetzlichen Regelwerken, die Widersprüche fördern können. Zum einen gibt Unterschiede bei der Verantwortung bei datenschutzrechtlichen Aspekten. Während bei der Datenschutz-Grundverordnung (DS-GVO) der Betrieber verantwortlich ist, wird bei dem AI Act der Anbieter eines KI-Systems haftbar gemacht. Überschneidungen von Regelungen finden sich bei AI Act und Digital Services Act (DSA): Die Forderungen nach Risikoanalysen für große Plattformen und generative KI-Systeme überschneiden sich. Durch Ausnahmen für Hochrisiko-Systeme im AI-Act wird die Verarbeitung sensibler Daten zur Diskriminierungsvermeidung erlaubt, welche nach der DS-GVO verboten ist.

Herausforderungen in einzelnen Sektoren

  • Finanzwesen: Kreditbewertungssysteme unterliegen bereits strengen Regulierungen. Der AI-Act bringt zusätzliche Vorgaben, die das Regelungsumfeld weiter verdichten.
  • Medizinprodukte: Hochrisiko-KI-Systeme, etwa zur Krebsdiagnose, unterliegen sowohl der Medizinprodukteverordnung (MDR) als auch dem AI-Act. Das führt zu Doppelverpflichtungen und möglichen Kapazitätsproblemen bei Bewertungsstellen.
  • Automobilsektor: Die traditionelle Bewertungsmethodik bleibt zentral, aber der AI-Act bringt zusätzliche Anforderungen für nicht-hochriskante Systeme.

Praktische Maßnahmen für Unternehmer

Unternehmer sollten folgende Schritte unternehmen:
  • Bestandsaufnahme aller KI-Systeme und deren Risikoklassifizierung, sowie Zweck und Einsatzbereich klar beschreiben
  • Einrichtung interner Prüfverfahren für KI-Systeme, laufend prüfen und aktualisieren
  • Hosting von möglichen gespeicherten Daten in der EU, Pseudonymisierung und Datenminimierung sicherstellen und Verantwortlichkeiten und Datenschutzmaßnahmen festhalten
  • Aufbau oder Anpassung von Compliance-Strukturen und Verantwortlichkeiten
  • Dokumentation der Konformität mit der Verordnung
  • Risiken bewerten und Maßnahmen zur Risikominimierung darstellen
  • Schulung der Mitarbeiter zu den neuen Anforderungen (seit Februar 2025)
  • Berücksichtigung der KI-Verordnung bei der Produktentwicklung ("Compliance by Design")
  • Transparenz: Nutzer über die KI-Interaktion informieren
  • Optional: Nutzungsverbot Ihrer Webseiteninhalte für Data Mining zu Zwecken des KI-Trainings und KI-Verwertung in Nutzungsbedingungen und in maschinenlesbarer Robots-Datei aufnehmen
Der Verband Bitkom bietet einen kostenlosen Umsetzungsleitfaden und ein Online-Tool zur Selbsteinschätzung für Unternehmen. https://www.bitkom.org/Klick-Tool-Umsetzungsleitfaden-KI-Verordnung

Zeitlicher Rahmen

Der AI Act wurde am 13. Juni 2024 angenommen und tritt mit seiner Veröffentlichung im Amtsblatt in Kraft. Bestimmte Verbote gelten bereits sechs Monate nach Inkrafttreten, während weitere Anforderungen gestaffelt nach 24 bzw. 36 Monaten umzusetzen sind. Die vollständige Anwendung des Gesetzes ist ab August 2026 vorgesehen. Unternehmer sollten sich bereits jetzt vorbereiten, und sich über die gestaffelte Anwendung des Gesetzes informieren.

Sanktionen bei Nichteinhaltung

Bei Verstößen drohen empfindliche Geldbußen:
  • Bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes für verbotene KI-Systeme
  • Bis zu 15 Millionen Euro oder 3% des Jahresumsatzes für andere Verstöße
  • Bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes für falsche, unvollständige Informationen gegenüber zuständigen nationalen Behörden auf deren Anfrage

Zukunftsaussichten

Das KI-Gesetz der EU definiert klare Verantwortlichkeiten und soll Vertrauen schaffen. Um die Weiterentwicklung sicherzustellen, wurde der KI-Pakt ins Leben gerufen, eine Initiative, die Interessengruppen zur vorzeitigen Einhaltung der Regelungen motiviert.
Ein noch zu schaffendes europäisches Amt für Künstliche Intelligenz wird in Zukunft die Durchsetzung der Vorgaben überwachen, während ein mehrstufiges Governance-System aus Expertengremien die Entwicklung und Implementierung dieses Regelwerks begleitet.
In Deutschland wird eine nationale KI-Aufsichtsbehörde eingerichtet werden, die spätestens bis zum 2. August 2025 von der Bundesregierung ernannt werden muss. Als zentrale Anlaufstelle wird die Hauptaufgabe sein, die Einhaltung der Vorgaben der KI-Verordnung in Deutschland zu überwachen.
Die amtliche Fassung der KI-VO ist hier abrufbar https://eur-lex.europa.eu/legalcontent/

Stand: 04.05.2026