Sie befinden sich auf der Seite der IHK Schwaben.
Möchten Sie diese Seite in einem Cookie als Ihre Heimat-IHK setzen?
Sie befinden sich auf der Seite der IHK Schwaben.
Bisher ist die als Ihre Heimat-IHK hinterlegt. Wollen Sie die Seite der IHK Schwaben in einem Cookie
als Ihre neue Heimat-IHK setzen?
Sie werden zum Angebot der weitergeleitet.
Nr. 6142170
KI-Gesetz
AI Act: Die EU reguliert die Künstliche Intelligenz (KI)
Aktualisiert am:
Der AI Act (Artificial Intelligence Act), offiziell die Verordnung über künstliche Intelligenz, ist weltweit eine der ersten umfassenden Regulierungen von künstlicher Intelligenz (KI). Erfahren Sie in diesem Artikel mehr über den AI Act sowie ob und wie Ihr Unternehmen davon betroffen ist.
Die KI hat das Potenzial, vielfältige Vorteile für Wirtschaft und Gesellschaft hervorzubringen. Als Beispiele können die Verbesserung von Prognosen, die Optimierung der Ressourcennutzung und die Personalisierung von Dienstleistungen genannt werden. Dieselben KI-Faktoren, die einen sozioökonomischen Nutzen erbringen, bergen aber auch neue Gefahren und Nachteile für unsere Gesellschaft. Beispielsweise können KI-Systeme, die auf unzureichenden oder verzerrten Trainingsdaten basieren, Vorurteile übernehmen und dadurch diskriminierende Entscheidungen begünstigen.
Die EU möchte deshalb sicherstellen, dass KI im Einklang mit den Werten, Grundrechten und Prinzipien der EU entwickelt und eingesetzt wird.
Meilensteine des AI Act
Der AI Act ist am 1. August 2024 in Kraft getreten. Seine Vorgaben gelten jedoch schrittweise. Voll anwendbar ist die Verordnung grundsätzlich ab dem 2. August 2026. Einzelne Regelungen gelten bereits früher oder erst später.
Datum
Meilenstein
2. Februar 2025
Geltung von Kapitel I und II, insbesondere der Begriffsbestimmungen, der Pflicht zur KI-Kompetenz und der Verbote bestimmter KI-Praktiken
2. August 2025
Geltung u. a. von Governance-, Notifizierungs- und Sanktionsvorschriften sowie der Vorgaben zu KI-Modellen mit allgemeinem Verwendungszweck
2. August 2026
Grundsätzlicher Geltungsbeginn der KI-Verordnung. Ab diesem Zeitpunkt gelten insbesondere viele Pflichten für Hochrisiko-KI-Systeme nach Anhang III sowie die Transparenzpflichten nach Art. 50 AI Act
2. August 2027
Geltung von Art. 6 Abs. 1 und der entsprechenden Pflichten für bestimmte Hochrisiko-KI-Systeme, insbesondere KI als Sicherheitsbauteil regulierter Produkte
Seit dem 2. August 2025 gelten besondere Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, sogenannte GPAI-Modelle.
GPAI-Modelle sind vielseitig einsetzbare KI-Modelle. Sie können unterschiedliche Aufgaben erfüllen und beispielsweise in Chatbots, Bildgeneratoren oder andere KI-Anwendungen integriert werden.
Wen betreffen die Regeln?
Die Regeln richten sich vor allem an Unternehmen, die ein GPAI-Modell entwickeln oder entwickeln lassen und es unter ihrem eigenen Namen anbieten.
Unternehmen, die lediglich ein KI-Tool eines anderen Anbieters nutzen, sind in der Regel keine Anbieter eines GPAI-Modells.
Welche Pflichten gelten?
Anbieter von GPAI-Modellen müssen insbesondere:
technische Unterlagen über das Modell, sein Training und seine Tests erstellen und aktuell halten,
Unternehmen, die das Modell in eigene KI-Systeme einbauen, Informationen über Fähigkeiten und Grenzen des Modells bereitstellen,
eine Strategie zur Einhaltung des europäischen Urheberrechts umsetzen und
eine ausreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen.
Besondere Regeln für sehr leistungsfähige Modelle
Für besonders leistungsfähige GPAI-Modelle mit systemischem Risiko gelten zusätzliche Pflichten. Anbieter müssen solche Modelle intensiv testen, Risiken bewerten und reduzieren, schwerwiegende Vorfälle dokumentieren sowie ein angemessenes Cybersicherheitsniveau gewährleisten.
Wer überwacht die Regeln?
Für die Überwachung der GPAI-Pflichten ist auf EU-Ebene die Europäische Kommission zuständig. Sie nimmt diese Aufgabe über das Büro für Künstliche Intelligenz wahr, das auch als AI Office bezeichnet wird.
Das Bundeskabinett hat am 11. Februar 2026 das nationale Durchführungsgesetz zur KI-Verordnung (AI Act) der Europäischen Union beschlossen. Damit werden die zuständigen Behörden für die Umsetzung und Überwachung der europäischen Vorgaben in Deutschland festgelegt.
Der Gesetzestext berücksichtigt zudem die föderalen Zuständigkeiten im Bereich der Medienaufsicht. Dies betrifft unter anderem Transparenzpflichten wie die Kennzeichnung von Deepfakes und KI-generierten Inhalten.
Das Durchführungsgesetz ist ein weiterer Baustein für einen abgestimmten europäischen Ordnungsrahmen im Umgang mit künstlicher Intelligenz. Im Mittelpunkt steht die Verantwortung der Anwender und Plattformen. Klare Regeln, deren konsequente Durchsetzung sowie regelmäßige Risikobewertungen sollen einen verlässlichen Rahmen für den Einsatz von KI schaffen.
Ziel ist ein fairer und transparenter digitaler Informationsraum, der Innovation ermöglicht und zugleich den Schutz von Meinungsvielfalt und demokratischer Öffentlichkeit stärkt.
Stellungnahme der DIHK
Begleitend zum Gesetzentwurf hat die Deutsche Industrie- und Handelskammer (DIHK) eine Stellungnahme vorgelegt. Darin begrüßt sie grundsätzlich die Zielsetzung des Durchführungsgesetzes, betont jedoch die Notwendigkeit einer praxisnahen und innovationsfreundlichen Ausgestaltung. Insbesondere fordert die DIHK klare Zuständigkeiten und eine zentrale Koordinierung der Aufsicht, um Rechtsunsicherheiten und Doppelstrukturen zu vermeiden. Zugleich warnt sie vor zusätzlichen bürokratischen Belastungen über die europäischen Vorgaben hinaus, die insbesondere kleine und mittlere Unternehmen beim Einsatz von KI-Systemen beeinträchtigen könnten. Hier geht es zur DIHK-Stellungnahme.
Wie geht es nun weiter?
Im weiteren Verfahren wird der Gesetzentwurf nun in den Bundestag eingebracht und dort parlamentarisch beraten; nach Abschluss des Gesetzgebungsverfahrens und Verkündung im Bundesgesetzblatt kann das Durchführungsgesetz in Kraft treten.
Wer ist vom AI Act betroffen?
Der AI Act betrifft nicht nur Unternehmen mit Sitz in der EU. Er gilt insbesondere für Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, für Betreiber von KI-Systemen mit Sitz oder Standort in der EU sowie für Anbieter und Betreiber aus Drittländern, wenn die Ausgabe des KI-Systems in der EU verwendet wird.
Diese Akteure sind vom AI Act betroffen:
Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen, unabhängig davon, ob sie in der EU oder in einem Drittland niedergelassen sind
Betreiber von KI-Systemen, die ihren Sitz in der EU haben oder sich in der EU befinden
Anbieter und Betreiber von KI-Systemen, die in einem Drittland niedergelassen oder ansässig sind, wenn das vom System hervorgebrachte Ergebnis innerhalb der EU verwendet wird
Einführer, Händler, Produkthersteller und Bevollmächtigte, soweit sie unter die Verordnung fallen
Nicht vom AI Act betroffen sind unter anderem:
KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit in Verkehr gebracht, in Betrieb genommen oder verwendet werden
bestimmte Behörden in Drittländern und internationale Organisationen, die KI-Systeme im Rahmen internationaler Zusammenarbeit im Bereich der Strafverfolgung und justiziellen Zusammenarbeit mit der EU oder mindestens einem Mitgliedstaat verwenden
KI-Systeme oder KI-Modelle, die eigens für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung entwickelt und in Betrieb genommen werden
Forschungs-, Test- und Entwicklungstätigkeiten zu KI-Systemen oder KI-Modellen, bevor diese in Verkehr gebracht oder in Betrieb genommen werden. Tests unter Realbedingungen fallen jedoch nicht unter diese Ausnahme
Betreiber, die natürliche Personen sind und KI-Systeme ausschließlich persönlich und nicht beruflich verwendenoffenen Lizenzen bereitgestellt werden, fallen grundsätzlich nicht unter die Verordnung. Die Ausnahme gilt jedoch nicht, wenn sie als Hochrisiko-KI-System, als verbotenes KI-System oder als KI-System mit Transparenzpflichten nach Art. 50 AI Act in Verkehr gebracht
Wie wird KI im Rahmen des AI Act definiert?
Der AI Act definiert ein KI-System als ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und nach seiner Betriebsaufnahme anpassungsfähig sein kann. Es leitet aus Eingaben ab, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.
Das heißt: Ein KI-System ist ein Computerprogramm, das selbstständig Daten verarbeiten kann, um bestimmte Ergebnisse zu liefern. Es kann dabei lernen und sich anpassen, ohne dass ein Mensch es jedes Mal neu programmieren muss.
KI-Kompetenzvermittlung (Artikel 4 AI Act)
Artikel 4 des AI Act ist seit dem 2. Februar 2025 anwendbar und wurde durch den Digital Omnibus on AI geändert. Anbieter und Betreiber von KI-Systemen müssen weiterhin Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz bei Beschäftigten und anderen Personen zu unterstützen, die in ihrem Auftrag KI-Systeme nutzen.
Für Unternehmen bedeutet das: Die Pflicht zur KI-Kompetenz ist nicht entfallen, wurde aber neu gefasst. Statt ein „ausreichendes Maß an KI-Kompetenz“ sicherstellen zu müssen, sollen Unternehmen nun die Entwicklung von KI-Kompetenz durch geeignete Maßnahmen unterstützen. Bestehende Informationen und interne Vorgaben zu Artikel 4 sollten daher auf die neue Rechtslage abgestimmt werden.
Zu geeigneten Maßnahmen können gehören:
Schulungsprogramme, die die notwendigen technischen, rechtlichen und ethischen Grundlagen für den Umgang mit KI vermitteln
Trainings zur sicheren Nutzung von KI-Systemen, insbesondere wenn diese in sicherheitskritischen oder sensiblen Bereichen eingesetzt werden
interne Leitlinien und Rollenprofile für den Einsatz von KI-Systemen
regelmäßige Auffrischungskurse, um Mitarbeitende über neue Entwicklungen und Best Practices im Umgang mit KI-Systemen zu informieren
Im AI Act gilt: Je höher das Risiko eines KI-Systems ist, desto strenger sind die Anforderungen. Um zu bestimmen, welche Vorschriften für welche KI-Systeme gelten, unterscheidet die Verordnung insbesondere zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, KI-Systemen mit besonderen Transparenzpflichten und sonstigen KI-Systemen.
Welche Risikoklassen gibt es?
Der AI Act kategorisiert KI-Systeme in vier verschiedene Risikoklassen, die jeweils mit unterschiedlichen rechtlichen Vorgaben verknüpft sind:
Risikoklasse
Kurzbeschreibung
Regulierung
Beispiel
Inakzeptables Risiko
Verletzung fundamentaler Rechte
Verboten
Social Scoring Systeme
Hohes Risiko
Potenziell hohes Schadensrisiko
Weitreichende Anforderungen
Kreditwürdigkeitsprüfung
Begrenztes Risiko
Interaktion mit Personen
Transparenzpflichten
Chatbots
Niedriges Risiko
Alle anderen Systeme
Keine Anforderungen
Vorausschauende Wartung
Je größer das potenzielle Risiko bei der Verwendung eines KI-Systems ist, desto umfangreicher sind die damit verbundenen rechtlichen Anforderungen. Dazu können Risikomanagement, Dokumentationspflichten, EU-Konformitätserklärungen, Registrierungspflichten, menschliche Aufsicht und Überwachung durch den Betreiber gehören.
Die folgenden KI-Systeme bzw. KI-Praktiken sind unter anderem nach dem AI-Act verboten:
Soziales Scoring, also die Bewertung oder Einstufung von Personen oder Gruppen über einen bestimmten Zeitraum auf Grundlage ihres Sozialverhaltens oder bekannter, abgeleiteter oder vorhergesagter persönlicher Eigenschaften, wenn dies zu ungerechtfertigter oder unverhältnismäßiger Benachteiligung führt
KI-Systeme, die Techniken der unterschwelligen Beeinflussung oder absichtlich manipulative oder täuschende Techniken einsetzen und dadurch die Fähigkeit einer Person, eine fundierte Entscheidung zu treffen, deutlich beeinträchtigen können
KI-Systeme, die eine Vulnerabilität oder Schutzbedürftigkeit aufgrund von Alter, Behinderung oder bestimmter sozialer oder wirtschaftlicher Situation ausnutzen
der Aufbau oder die Erweiterung von Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsaufzeichnungen
KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, soweit keine medizinischen oder sicherheitsbezogenen Ausnahmen greifen
Stellt ein KI-System ein potenziell hohes Risiko für Sicherheit, Gesundheit oder Grundrechte von Menschen dar, kann es als Hochrisiko-KI-System gelten. Hochrisiko-KI-Systeme sind insbesondere KI-Systeme, die als Sicherheitsbauteil bestimmter regulierter Produkte eingesetzt werden oder in den in Anhang III genannten Bereichen verwendet werden.
Für viele Hochrisiko-KI-Systeme nach Anhang III gelten die entsprechenden Pflichten ab dem 2. August 2026. Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1, insbesondere KI als Sicherheitsbauteil bestimmter regulierter Produkte, gelten Art. 6 Abs. 1 und die entsprechenden Pflichten ab dem 2. August 2027.
Darunter fallen unter anderem diese Anwendungen:
KI-Systeme zur Einstellung oder Auswahl natürlicher Personen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerte
KI-Systeme für Entscheidungen über Arbeitsbedingungen, Beförderungen, Kündigungen, Aufgabenzuweisungen oder die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in Beschäftigungsverhältnissen
biometrische Fernidentifizierungssysteme, soweit ihr Einsatz nach einschlägigem Unionsrecht oder nationalem Recht zugelassen ist
KI-Systeme als Sicherheitsbauteile im Rahmen der Verwaltung und des Betriebs kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung
KI-Systeme für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, mit Ausnahme bestimmter Systeme zur Aufdeckung von Finanzbetrug
Unter die Kategorie „begrenztes Risiko“ fallen in der Praxis vor allem KI-Systeme, bei denen besondere Transparenzpflichten bestehen. Dazu gehören etwa KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, also zum Beispiel Chatbots.
Ab dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 AI Act. Anbieter müssen KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, grundsätzlich so gestalten, dass betroffene Personen informiert werden, dass sie mit einem KI-System interagieren. Diese Information ist nicht erforderlich, wenn dies aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person aufgrund der Umstände und des Nutzungskontexts offensichtlich ist.
Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen sicherstellen, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Dies gilt nur soweit technisch möglich und unter Berücksichtigung des allgemein anerkannten Stands der Technik.
Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.
Betreiber eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen ebenfalls offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde. Diese Pflicht gilt nicht, wenn die KI-generierten Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
Mit niedrigem Risiko werden in der Praxis KI-Systeme bezeichnet, die unter keine andere regulierte Kategorie fallen. Dazu zählen interne Anwendungen wie Spam-Filter oder Systeme für die vorausschauende Wartung von Maschinen.
Für solche Systeme enthält der AI Act grundsätzlich keine spezifischen Pflichten. Dennoch besteht für Unternehmen die Möglichkeit, freiwillig Verhaltenskodizes oder interne Leitlinien für diese KI-Systeme anzuwenden.
Welche gesonderten Vorschriften gelten für KI-Modelle mit allgemeinem Verwendungszweck?
KI-Modelle mit allgemeinem Verwendungszweck, auch General Purpose Artificial Intelligence oder GPAI genannt, sind von KI-Systemen zu unterscheiden. Gemeint sind Modelle, die eine erhebliche allgemeine Verwendbarkeit aufweisen und in der Lage sind, ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen. Solche Modelle können in eine Vielzahl nachgelagerter Systeme oder Anwendungen integriert werden.
Ein populäres Beispiel hierfür ist ChatGPT von OpenAI. Das zugrunde liegende KI-Modell kann für unterschiedliche Aufgaben eingesetzt werden, etwa zur Verarbeitung und Erzeugung von Texten, Bildern oder anderen Inhalten.
Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten insbesondere folgende Pflichten:
Erstellung und Aktualisierung technischer Dokumentation des Modells
Bereitstellung von Informationen und Dokumentation für Anbieter, die das Modell in ihre KI-Systeme integrieren wollen
Einführung einer Strategie zur Einhaltung des Urheberrechts der Union
Erstellung und Veröffentlichung einer hinreichend detaillierten Zusammenfassung der für das Training verwendeten Inhalte nach einer Vorlage des AI Office
Für KI-Modelle mit allgemeinem Verwendungszweck mit systemischem Risiko gelten zusätzliche Pflichten. Dazu gehören insbesondere Modellbewertungen, die Bewertung und Minderung systemischer Risiken, die Überwachung schwerwiegender Vorfälle sowie angemessene Cybersicherheitsmaßnahmen.
Wie hoch fallen Sanktionen für Verstöße aus?
Die Strafen für Verstöße gegen die Vorschriften werden entsprechend der Art, Schwere und Dauer des Verstoßes sowie weiterer Umstände festgelegt. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.
Missachtung verbotener KI-Praktiken nach Art. 5 AI Act: bis zu 35 Mio. EUR oder bis zu 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
Verstöße gegen bestimmte Verpflichtungen des AI Acts, einschließlich der Transparenzpflichten nach Art. 50: bis zu 15 Mio. EUR oder bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
Bereitstellung falscher, unvollständiger oder irreführender Informationen an notifizierte Stellen oder zuständige nationale Behörden: bis zu 7,5 Mio. EUR oder bis zu 1 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist
Bei KMU einschließlich Start-ups gilt jeweils der niedrigere Betrag aus dem genannten Prozentsatz oder der genannten Summe.
Kennzeichnungs- und Transparenzpflichten nach AI Act
Ab dem 2. August 2026 gelten weitere Pflichten zur Kennzeichnung von KI-generierten Inhalten.
KI-Kennzeichnungspflichten: Was gibt es zu beachten?
Nutzer müssen informiert werden, wenn sie mit KI kommunizieren
Der Hinweis sollte spätestens bei der ersten Interaktion erfolgen
Beispiele: Website-Chatbot oder Sprachassistent
KI-generierte oder manipulierte Inhalte müssen im relevanten Fall kenntlich sein
Deepfakes sollten deutlich offengelegt werden
Technische Kennzeichnungen und Metadaten möglichst erhalten
Bei Emotionserkennung oder biometrischer Kategorisierung Betroffene informieren
Datenschutz und Rechtsgrundlage prüfen
Anwendungen im Recruiting sind besonders sensibel
KI-Anwendungen um Unternehmen erfassen
Zuständigkeiten, Freigaben und Prüfungsprozesse festlegen
Mitarbeitende schulen und Standardhinweise vorbereiten
Der Compliance-Checker des Future of Life Instituts ist ein nützliches Tool, um schnell herauszufinden, unter welche Risikoklasse ein KI-System fällt: EU AI Act Compliance Checker
KI Service Desk der Bundesnetzagentur
Der KI-Service Desk unterstützt Unternehmen, Behörden und Organisationen bei der Umsetzung der KI-Verordnung in Deutschland.
Kennzeichnung von KI-Inhalten
Dieses kostenlose Tool von Mimikama (Verein zur Aufklärung über Internetmissbrauch) hilft dabei zu prüfen, ob KI-generierte oder KI-bearbeitete Inhalte nach dem EU AI Act gekennzeichnet werden müssen.
Die Informationen und Auskünfte der IHK Schwaben enthalten nur erste Hinweise und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für ihre inhaltliche Richtigkeit nicht übernommen werden. Sie können eine Beratung im Einzelfall (z. B. durch einen Rechtsanwalt, Steuerberater, Unternehmensberater etc.) nicht ersetzen.
