AI-Act: Die EU reguliert künstliche Intelligenz (KI)
- Was ist der AI-Act?
- Was ist das Ziel des AI-Acts?
- Wann tritt der AI-Act in Kraft?
- Wer ist vom AI-Act betroffen?
- Welche Pflicht kommt auf Unternehmen zu?
- Wie wird KI im Rahmen des AI-Act definiert?
- Ist meine KI vom AI-Act betroffen?
- Welche Risikoklassen gibt es?
- Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
- Welche Pflichten müssen Anbietende von Hochrisiko-KI erfüllen?
- Welche Pflichten entstehen für Betreibende von Hochrisiko-KI?
- Welche Pflichten für Anbietende und Betreibende von GPAI bestehen?
- Wie hoch fallen Sanktionen für Verstöße aus?
- Wer ist für die Durchsetzung des AI-Acts zuständig?
- Welche Unterstützung gibt es für KMU und Startups?
- Welche Umsetzungsfristen müssen Unternehmen kennen?
- Weiterführende Quellen
Was ist der AI-Act?
Was ist das Ziel des AI-Acts?
Wann tritt der AI-Act in Kraft?
- KI-Systeme mit inakzeptablem Risiko sind nach sechs Monaten verboten (Februar 2025)
- Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck greifen nach 12 Monaten (August 2025)
Wer ist vom AI-Act betroffen?
- Anbietende (auch aus Drittländern), die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen
- Produktherstellende, die KI-Anwendungen selbst oder als Bestandteil in einem Produkt anbietet, verbreitet oder unter dem eigenen Namen oder der eigenen Handelsmarke in der EU nutzen
- Nutzende von KI-Systemen, die sich innerhalb der EU befinden
- Anbietende und Nutzende von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
- KI-Systeme für ausschließlich militärische Zwecke
- Internationale Organisationen die KI-Systeme im Bereich der Strafverfolgung in Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat nutzen
- Forschungs- und Entwicklungsaktivitäten zu KI-Systemen
- Open-Source-Software unterliegt im Allgemeinen nicht der Regulierung, es sei denn, sie wird aufgrund ihrer Anwendung als verbotenes oder hochriskantes KI-System eingestuft
Welche Pflicht kommt auf Unternehmen zu?
- Schulungsprogramme entwickeln und implementieren müssen, die die notwendigen technischen und ethischen Grundlagen für den Umgang mit KI vermitteln.
- Trainings zur sicheren Nutzung von KI-Systemen bereitstellen müssen, insbesondere wenn diese in sicherheitskritischen oder sensiblen Bereichen eingesetzt werden.
- Regelmäßige Auffrischungskurse für die Mitarbeitenden anbieten müssen, um sicherzustellen, dass sie stets über die neuesten Entwicklungen und Best Practices im Umgang mit KI-Systemen informiert sind.
Wie wird KI im Rahmen des AI-Act definiert?
Ist meine KI vom AI-Act betroffen?
Welche Risikoklassen gibt es?
Risikoklasse | Kurzbeschreibung | Regulierung | Beispiel |
Inakzeptables Risiko | Verletzung fundamentaler Rechte | Verboten | Social Scoring Systeme |
Hohes Risiko | Potenziell hohes Schadensrisiko | Weitreichende Anforderungen | Kreditwürdigkeitsprüfung |
Begrenztes Risiko | Interaktion mit Personen | Transparenzpflichten | Chatbots |
Niedriges Risiko | Alle anderen Systeme | Keine Anforderungen | Vorausschauende Wartung |
Inakzeptables Risiko – Verbotene Praktiken
- Die unterschwellige Beeinflussung von Menschen, die diesen körperlichen oder psychischen Schaden zufügen könnten.
- Ausnutzung der Schwäche oder Schutzbedürftigkeit einer Personengruppe aufgrund von Alter oder körperlicher- oder geistiger Behinderung.
- Die Bewertung oder Klassifizierung der Vertrauenswürdigkeit natürlicher Personen über einen bestimmten Zeitraum auf Grundlage des sozialen Verhaltens, persönlicher Eigenschaften oder Persönlichkeitsmerkmalen.
- Identifizierung von Personen in Echtzeit mithilfe biometrischer Daten in öffentlichen Bereichen für Zwecke der Strafverfolgung (Es gelten Ausnahmen).
Hohes Risiko
- Biometrische Identifizierung und Kategorisierung von natürlichen Personen
- Verwaltung und Betrieb kritischer Infrastrukturen
- Entscheidungen über den Zugang zu Bildungseinrichtungen als auch für die Bewertung von Schülern und Schülerinnen
- Auswahl von Bewerbenden als auch für Entscheidungen über Beförderungen, Kündigungen, Aufgabenzuweisungen und die Leistungsüberwachung in Arbeitsverhältnissen
- Beurteilungen des Anspruchs auf öffentliche Unterstützungsleistungen oder die Kreditwürdigkeit natürlicher Personen
- Priorisierung des Einsatzes von Not- und Rettungsdiensten, einschließlich Feuerwehr und medizinischer Nothilfe
- Verschiedene Anwendungen im Bereich der Strafverfolgung, des Asylrechts und der Justiz
Begrenztes Risiko
Niedriges Risiko
Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
- Zusätzliche technische Dokumentation
- Detaillierte Aufstellung über die Verwendung urheberrechtlich geschützter Trainingsdaten
- Anforderungen zur Kennzeichnung generierter Inhalte
- Pflichten in Bezug auf die Überwachung schwerwiegender Vorfälle
- Modellbewertung
- Angriffstests
Welche Pflichten müssen Anbietende von Hochrisiko-KI erfüllen?
- Transparenz und Bereitstellung von Information für Betreibende (Artikel 13) u.a. Name und Kontaktdaten der Anbietenden
- Risikomanagement (Artikel 9)
- Daten und Datenverwaltung (Artikel 10) durch trainieren, validieren und testen der Datensätze
- Technische Dokumentation (Artikel 11) vor der Inbetriebnahme/Inverkehrbringen
- Aufzeichnungspflichten (Artikel 12) mittels automatischer Protokollierung der Ergebnisse
- Menschliche Aufsicht (Artikel 14) durch Möglichkeit der Überwachung durch natürliche Personen
- Genauigkeit, Robustheit und Cybersicherheit (Artikel 15)
- Qualitätsmanagement gemäß Artikel 17 einhalten
- Kennzeichnungspflicht (Informationen über den Anbieter)
- Aufbewahrung der Dokumente gemäß Artikel 18
- Korrekte Aufbewahrung der Protokolle
- Konformitätsbewertungsverfahren bevor das KI-System eingeführt oder in Betrieb genommen wird
- EU-Konformitätserklärung gemäß Artikel 47 erstellen
- CE-Kennzeichnung kenntlich machen an KI-System oder seiner Verpackung
- Registrierungspflichten gemäß Artikel 49, Abs. 1 nachkommen
- Bei Korrekturmaßnahmen die erforderlichen Informationen bereitstellen gemäß Artikel 20
- Nachweispflicht über eingehaltene Verpflichtungen nach Abschnitt II des AI Acts, sofern eine Behörde dies anfordert
- Barrierefreiheitsanforderungen gemäß den Richtlinien (EU) 2016/2102 und (EU) 2019/882 erfüllen
Welche Pflichten entstehen für Betreibende von Hochrisiko-KI?
- KI-Kompetenzvermittlung der Mitarbeitende
- angemessene technische und organisatorische Maßnahmen, um den sicheren und ordnungsgemäßen Betrieb des KI-Systems zu gewährleisten
- Menschliche Aufsichtspflicht erfüllen
- auf eine zweckgebundene Nutzung achten, um nicht in die Rolle des Anbieters zu rutschen
- Benachrichtigung des Anbieters, Händlers oder der Marktüberwachungsbehörde bei Zweifeln über die Konformität der Hochrisiko-KI bis hin zum Aussetzen des KI-Systems im Notfall
- Aufbewahrungspflicht der vom Anbieter erstellten Protokolle (mind. 6 Monate)
- Prüfen, ob die EU-Konformitätserklärung vom Anbieter erstellt wurde
- Prüfen, ob das KI-System in der EU-Datenbank registriert wurde (Hochrisiko-KI in kritischer Infrastruktur wird in der nationalen Datenbanken registriert)
- Kooperation mit den zuständigen Behörden
Welche Pflichten für Anbietende und Betreibende von GPAI bestehen?
- Technische Dokumentation
- Transparenz und Bereitstellung von Informationen
- Urheberrecht einhalten
- Detaillierte Zusammenfassung der Trainingsdaten
- Zusammenarbeit mit Behörden
- Zusätzliche Pflichten für Anbieter von GPAI mit systemischem Risiko (Artikel 55)
Wie hoch fallen Sanktionen für Verstöße aus?
- Verstöße bei verbotenen Praktiken aus Artikel 5 oder Verletzungen von Datenanforderungen:
Strafen bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Vorjahresumsatzes (je nachdem, welcher Wert höher ist). - Verstöße gegen andere Vorschriften der Verordnung:
Strafen bis zu 15 Millionen Euro oder 3 % des gesamten weltweiten Vorjahresumsatzes.
Hierunter fallen Vorschriften für Hochrisiko-KI wie Konformitätsprüfung oder Risikobewältigungsmaßnahmen. Unternehmen, die entlang der Wertschöpfungskette als Akteure (Anbieter, Betreiber, Händler oder Einführer) laut AI Act fungieren, laufen Gefahr, bei nicht konformen Praktiken Geldbußen zu erhalten. - Nichteinhalten der GPAI-Vorschriften:
Strafen bis zu 15 Millionen Euro oder 3 % des gesamten weltweiten Vor-jahresumsatzes. - Falsche, unvollständige oder irreführende Angaben an Behörden:
Strafen bis zu 7,5 Millionen Euro oder 1,5 % des gesamten weltweiten Vorjahresumsatzes. - Für KMUs und Start-Ups gelten jeweils die niedrigeren Schwellenwerte.
Wer ist für die Durchsetzung des AI-Acts zuständig?
Welche Unterstützung gibt es für KMU und Startups?
Welche Umsetzungsfristen müssen Unternehmen kennen?
- Verbot unannehmbarer KI
- Vorschriften zu Artikel 4 zur KI-Kompetenzpflicht
- Veröffentlichung der KI-Verhaltenskodizes
- GPAI-Regeln treten in Kraft
- Errichtung des Governance-Systems auf EU-Ebene
- Ernennung der nationalen Behörde
- Sanktionen
- Vorschriften für Hochrisiko-KI in den acht Bereichen gemäß Anhang III
- KI-Systeme mit begrenztem und minimalem Risiko
- Hochrisiko-KI gemäß der EU-Harmonisierungsvorschriften in Anhang I
- Nicht bindende GPAI-Standards
- Umsetzungspflicht für Anbietende von GPAI, die ihr Modell vor dem 2. August 2025 in Verkehr oder betrieb gebracht haben
- Umsetzungsfrist für GPAI, die vor dem 2. August 2026 in Verkehr oder Betrieb gebracht wurden, deren Konzeption wesentlich geändert wurde
Weiterführende Quellen
- Den finalen Entwurf des AI-Acts können Sie auf der Seite der offiziellen Website der EU einsehen.
- Das EU AI Act Conformity Tool vom Europäischen Institut für Innovation und Technologie (EIT) hilft Ihnen, herauszufinden unter welche Risikoklasse Ihre KI-Anwendung fällt.
- Die EU AI Act Compliance Journey des appliedAI Institute for Europe ist eine „Landkarte“, die die Navigation durch das KI-Gesetz erleichtert, da alle Phasen und Entscheidungspunkte in dem Flussdiagramm auf einen Blick zu sehen sind.
- Die EU Ethik-Leitlinien für vertrauenswürdige KI können Sie bei ethischen Fragestellung in der KI-Entwicklung zu Rate ziehen.