AI Act (EU KI-Verordnung)

Was ist der AI Act?

Der AI Act (offiziell: Verordnung ueber Künstliche Intelligenz) ist die weltweit erste umfassende gesetzliche Regulierung von Künstlicher Intelligenz. Die Europäische Union hat damit einen Rechtsrahmen geschaffen, der den Einsatz von KI-Systemen nach ihrem Risikopotenzial klassifiziert und reguliert. Das Gesetz wurde im März 2024 vom EU-Parlament verabschiedet und tritt stufenweise bis 2027 in Kraft.

Der AI Act ergänzt die bestehende DSGVO um spezifische KI-Regulierung und gilt für alle Unternehmen, die KI-Systeme in der EU anbieten oder einsetzen -- unabhängig davon, wo das Unternehmen seinen Sitz hat.

Die vier Risikokategorien

Das Herzstück des AI Act ist die risikobasierte Klassifizierung von KI-Systemen:

• Unannehmbares Risiko (verboten): KI-Systeme, die als inakzeptable Bedrohung für Grundrechte gelten, werden vollständig verboten. Dazu gehören Social Scoring (wie in China), manipulative KI-Systeme, biometrische Echtzeit-Ueberwachung im oeffentlichen Raum (mit engen Ausnahmen für Strafverfolgung) und KI, die Emotionen am Arbeitsplatz oder in Bildungseinrichtungen erkennt
• Hohes Risiko: KI-Systeme in kritischen Bereichen wie Personalauswahl, Kreditvergabe, medizinische Diagnostik, Justiz oder kritische Infrastruktur. Diese Systeme dürfen eingesetzt werden, unterliegen aber strengen Auflagen
• Begrenztes Risiko: Systeme mit Transparenzpflichten, etwa Chatbots, die sich als KI zu erkennen geben müssen, oder Deepfake-Generatoren, deren Inhalte gekennzeichnet werden müssen
• Minimales Risiko: Die meisten KI-Anwendungen -- wie Spam-Filter, Empfehlungssysteme oder KI-gestützte Spiele -- fallen in diese Kategorie und werden kaum reguliert

Zeitplan: Wann gilt was?

Der AI Act tritt stufenweise in Kraft:

• Februar 2025: Verbote für KI-Systeme mit unannehmbarem Risiko
• August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), einschliesslich Large Language Models wie GPT-4 oder Claude
• August 2026: Vollständige Anwendung aller Vorschriften, einschliesslich Hochrisiko-KI-Systeme
• August 2027: Regeln für Hochrisiko-KI-Systeme, die bereits in bestehende EU-Produktregulierung eingebettet sind

Was aendert sich für Unternehmen?

Für deutsche Unternehmen ergeben sich konkrete Handlungsfelder:

• Bestandsaufnahme: Identifizieren Sie alle KI-Systeme, die Sie einsetzen oder entwickeln, und ordnen Sie diese den Risikokategorien zu
• Hochrisiko-Pflichten: Wenn Sie KI in Bereichen wie HR-Auswahl, Kreditwürdigkeit oder Gesundheit einsetzen, müssen Sie umfangreiche Dokumentation, Risikomanagement, menschliche Aufsicht und Qualitätssicherung nachweisen
• Transparenzpflichten: Chatbots müssen sich als KI kenntlich machen. KI-generierte Inhalte -- besonders Deepfakes -- müssen gekennzeichnet werden
• GPAI-Pflichten: Anbieter von grossen KI-Modellen müssen technische Dokumentation bereitstellen, das EU-Urheberrecht einhalten und Zusammenfassungen der Trainingsdaten veröffentlichen
• Bussgelder: Bei Verstößen drohen Strafen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes

AI Act und DSGVO: Zusammenspiel

Der AI Act ersetzt die DSGVO nicht, sondern ergänzt sie:

• Die DSGVO regelt den Schutz personenbezogener Daten
• Der AI Act regelt die Sicherheit und Zuverlässigkeit von KI-Systemen
• Unternehmen müssen beide Regelwerke gleichzeitig beachten
• KI-Systeme, die personenbezogene Daten verarbeiten, unterliegen sowohl der DSGVO als auch dem AI Act

Fazit

Der AI Act positioniert Europa als Vorreiter bei der KI-Regulierung. Für Unternehmen bedeutet er zusätzliche Pflichten, schafft aber auch Rechtssicherheit und Vertrauen. Wer früh mit der Anpassung beginnt, kann Compliance als Wettbewerbsvorteil nutzen -- denn Kunden und Geschäftspartner werden zunehmend Wert auf verantwortungsvollen KI-Einsatz legen. Die Kombination aus DSGVO und AI Act macht den europäischen Markt zwar regulierungsintensiver, aber auch berechenbarer als andere Märkte weltweit.