Mit dem EU AI Act (Verordnung (EU) 2024/1689) hat die Europäische Union am 1. August 2024 das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz (KI) in Kraft gesetzt. Seit dem 2. Februar 2025 sind erste Regelungen – wie das Verbot bestimmter KI-Anwendungen und die Pflicht zur Förderung von KI-Kompetenz – verbindlich. Weitere Pflichten, etwa zur Kennzeichnung von KI-generierten Inhalten, folgen stufenweise.

Update: 24. März 2025

Hintergrund

Die rasant fortschreitende Entwicklung von KI-Technologien bietet enorme Potenziale – etwa zur Optimierung von Prozessen oder zur Steigerung der Effizienz. Der AI Act soll sicherstellen, dass der Einsatz von KI sicher, transparent und ethisch erfolgt. Wichtig dabei: Die Verpflichtungen gelten nicht nur für Entwickler von KI-Systemen (Anbieter), sondern auch für gewerbliche Nutzer (Betreiber) – also auch für viele mittelständische Unternehmen, die KI bereits einsetzen oder planen.

Das risikobasierte System

Der EU AI Act stuft KI-Systeme nach ihrem Risikograd ein:

• Minimales Risiko: Gängige Tools wie Übersetzungssoftware oder einfache Chatbots unterliegen kaum Pflichten.
• Begrenztes Risiko: Generative KI (z. B. ChatGPT, Midjourney) unterliegt bestimmten Transparenzanforderungen.
• Hohes Risiko: Anwendungen im Personalwesen, der Bildung oder Produktsicherheit erfordern umfangreiche Kontrollen.
• Unannehmbares Risiko: KI-Systeme mit besonders hohem Gefahrenpotenzial (z. B. Social Scoring) sind verboten.

Verbotene KI-Systeme seit Februar 2025

Seit dem 2. Februar 2025 sind folgende KI-Anwendungen in der EU untersagt (Art. 5):

• Systeme zur Verhaltensmanipulation, die physischen oder psychischen Schaden verursachen können
• Social Scoring von Menschen basierend auf ihrem Verhalten oder sozialen Merkmalen
• Biometrische Echtzeitüberwachung im öffentlichen Raum (Ausnahmen nur für Strafverfolgung u. Ä.)

Hochrisiko-KI: Pflicht zur Compliance ab August 2026

Hochrisiko-KI-Systeme betreffen häufig kritische Bereiche, etwa:

• Personalbereich: Automatisierte Bewerberauswahl, Leistungsüberwachung, Personalplanung
• Bildung: KI-basierte Prüfungsbewertung oder Lernanalyse
• Produktsicherheit: Qualitätskontrolle, Maschinensteuerung, Predictive Maintenance

Für diese Systeme gelten ab dem 2. August 2026 u. a. folgende Anforderungen:

• Risikomanagement: Kontinuierliche Analyse und Minimierung von Risiken (z. B. Datenschutz, Diskriminierung)
• Dokumentation: Nachvollziehbarkeit von Prozessen und Entscheidungen
• Transparenz: Betroffene Personen (z. B. Bewerber) müssen über den KI-Einsatz informiert werden
• Menschliche Kontrolle: Entscheidungen dürfen nicht vollautomatisch erfolgen; menschliche Eingriffe müssen möglich bleiben
• Qualitätssicherung: Regelmäßige Überprüfung auf Genauigkeit und Verzerrungen (Bias)

Generative KI und Standardanwendungen: Transparenzpflichten

Für generative KI (z. B. ChatGPT, Midjourney) gelten ab dem 2. August 2025 erste Pflichten – jedoch zunächst nur für Anbieter solcher Systeme:

• Transparenz über Trainingsdaten und Funktionsweise
• Dokumentationspflichten gegenüber Behörden
• Kennzeichnungspflichten für erzeugte Inhalte folgen erst ab dem 2. August 2026 (Art. 50)

Nutzer von generativer KI (z. B. Unternehmen) müssen ab August 2026 sicherstellen, dass KI-generierte Inhalte wie Texte, Bilder oder Videos klar erkennbar gekennzeichnet sind (z. B. „KI-generiert“). Mehr dazu hier: Kennzeichnungspflicht für KI-generierte Inhalte (ecovis.com)

Zeitplan und Übergangsfristen

• 2. Februar 2025 Verbot bestimmter Hochrisiko-KI (Art. 5), Pflicht zur KI-Kompetenzförderung (Art. 4)
• 2. August 2025 Transparenzpflichten für Anbieter von generativer KI
• 2. August 2026 Kennzeichnungspflicht für KI-generierte Inhalte (Art. 50), vollständige Anwendung für Hochrisiko-KI
• 2. August 2027 Anforderungen an besonders leistungsstarke Modelle (z. B. General Purpose AI, GPAI)

Konsequenzen bei Verstößen

Die Höhe möglicher Sanktionen richtet sich nach Art und Schwere des Verstoßes (Art. 99):

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes: Bei Einsatz verbotener KI-Systeme
• Bis zu 15 Mio. € oder 3 %: Bei Verstößen gegen zentrale Pflichten – z. B. bei Hochrisiko-KI
• Bis zu 7,5 Mio. € oder 1,5 %: Bei unvollständigen oder irreführenden Angaben gegenüber Behörden

Hinweis: Verstöße gegen die Kennzeichnungspflicht (Art. 50) sind nicht direkt bußgeldbewehrt, können aber im Zusammenspiel mit Täuschung oder Verbraucherschutzverletzungen aufsichtsrechtliche Konsequenzen nach sich ziehen.

Beispiele: Gängige KI-Tools und ihre Regulierung im EU AI Act

Hinweis: Die obige Tabelle dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Die Einstufung von KI-Systemen nach dem EU AI Act kann je nach Anwendungskontext variieren. Für eine verbindliche Einschätzung sollte fachlicher Rat eingeholt werden.

Ausblick

Der EU AI Act mag auf den ersten Blick komplex erscheinen, bietet aber einen klaren Rahmen für den sicheren Einsatz von KI. Für Unternehmen ist jetzt der Moment, den Überblick zu gewinnen: Welche KI-Systeme sind im Einsatz und welche Regeln gelten dafür? Nutzen Sie die Übergangsfristen, um Ihre Systeme und Prozesse anzupassen, Ihre Mitarbeiterinnen und Mitarbeiter zu schulen und sich bei Bedarf zu konkreten Rechtsfragen beraten zu lassen.