Was ist das EU AI Act?

Das EU AI Act ist das wegweisende Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz und der weltweiten erste umfassende KI-Gesetzgebung. Formell bekannt als Verordnung (EU) 2024/1689, es schafft einen rechtlichen Rahmen, um den Risiken der KI zu begegnen und gleichzeitig Innovationen zu fördern.

Das Gesetz verfolgt einen risikobasierten Ansatz, d. h. es schreibt Regeln vor, die proportional zum Schadenspotenzial eines KI-Systems sind. Durch die Festlegung von Standards für vertrauenswürdige KI, Die EU will sicherstellen, dass KI-Systeme in Europa sicher und transparent sind und die Grundrechte respektieren.

‍

Zusammenfassung auf hoher Ebene

Das EU-Gesetz über künstliche Intelligenz führt Anforderungen für KI-Entwickler (Anbieter) und Nutzer (Bereitsteller) ein, je nachdem das Risikoniveau des Systems. Die meisten Verpflichtungen fallen denen zu, die bereitstellen oder stellen KI-Systeme mit hohem Risiko auf dem Markt, auch wenn sie ihren Sitz außerhalb der EU haben. Nutzer (Organisationen, die KI in ihren Betriebsabläufen einsetzen) haben weniger Pflichten, müssen aber dennoch sicherstellen, dass KI mit hohem Risiko ordnungsgemäß eingesetzt wird. Im Folgenden finden Sie eine Zusammenfassung, warum diese Regeln erforderlich sind, warum sie für Sie wichtig sind und wie Unternehmen damit beginnen können, sie anzuwenden.

Warum brauchen wir Regeln für KI?

KI-Technologie kann enorme Vorteile bieten — von einer besseren Gesundheitsversorgung bis hin zu effizientem Verkehr —, aber auch birgt neue Risiken. Im Gegensatz zu herkömmlicher Software funktioniert fortschrittliche KI möglicherweise auf undurchsichtige Weise. In vielen Fällen ist es unmöglich, das zu wissen warum ein KI-System hat eine Entscheidung getroffen, was es schwierig macht, festzustellen, ob jemand zu Unrecht benachteiligt wurde (z. B. bei einer Einstellungsentscheidung oder einem Antrag auf Leistungen der öffentlichen Hand).

Die bestehenden Gesetze haben mit diesen Herausforderungen nicht vollständig Schritt gehalten. Das EU-Gesetz zur künstlichen Intelligenz soll diese Lücke schließen, indem Verhinderung schädlicher Folgen und Sicherstellung, dass die Europäer der KI vertrauen können.

Einfach ausgedrückt zielen die Regeln darauf ab, KI sicher und rechenschaftspflichtig zu machen. Sie verbieten die gefährlichsten KI-Praktiken und stellen Anforderungen an andere, um Risiken zu minimieren. Dies hilft dabei, Bedenken wie Vorurteile oder Diskriminierung durch KI, mangelnde Transparenz und Sicherheitslücken auszuräumen, die durch die geltenden Vorschriften nicht angemessen abgedeckt werden.

Warum sollte es dich interessieren?

Wenn Ihre Organisation KI-Systeme verwendet oder entwickelt, wird das EU-KI-Gesetz wahrscheinlich Auswirkungen auf Sie haben. Nichteinhaltung kann zu hohen Bußgeldern führen — bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes bei schwersten Verstößen. Aber abgesehen von Bußgeldern geht es um den Schutz Ihres Unternehmens und Ihrer Stakeholder. Die im Personalwesen verwendeten KI-Tools (wie z. B. eine Software zur Sortierung von Lebensläufen für die Personalbeschaffung) sind beispielsweise als „hochriskant“ eingestuft und muss strenge Anforderungen erfüllen, um Fairness zu gewährleisten. Wenn Sie sich bei der Einstellung, beim Kundenservice oder bei der Entscheidungsfindung auf KI verlassen, müssen Sie das Gesetz verstehen, um illegale Praktiken (wie geheime KI, die Benutzer manipuliert) zu vermeiden und das Vertrauen zu Mitarbeitern und Kunden aufrechtzuerhalten.

Compliance-Teams sollten aufmerksam sein, da das Gesetz neue Verpflichtungen einführt, die den Datenschutzgesetzen ähneln, sich jedoch auf KI konzentrieren. Und HR-Teams sollten sich darum kümmern, denn KI, die Profile von Personen erstellt oder Entscheidungen über Einzelpersonen automatisiert (von Bewerbungen bis hin zu Leistungsbewertungen), wird reguliert, um Diskriminierung zu verhindern und Transparenz zu wahren. Kurz gesagt, sich um das KI-Gesetz zu kümmern bedeutet, sich um den ethischen, rechtmäßigen Einsatz von KI zu kümmern — was für den Ruf und das Risikomanagement immer wichtiger wird.

Wie können Organisationen es anwenden?

Die Anwendung des KI-Gesetzes beginnt mit dem Verständnis Ihrer KI-Systeme und ihrer Risikokategorie. Ein praktischer erster Schritt besteht darin, die KI-Anwendungen, die Ihr Unternehmen verwendet oder bereitstellt, zu inventarisieren und festzustellen, unter welche Risikostufe sie fallen (siehe die Risikostufen unten). Für jedes System:

• Wenn es ein hohes Risiko ist: Seien Sie darauf vorbereitet, vor und während der Verwendung der KI eine Reihe von Steuerelementen zu implementieren. Dazu gehören Risikobewertungen, eine strikte Datenverwaltung zur Vermeidung von Vorurteilen, die Führung detaillierter Unterlagen und Protokolle, menschliche Aufsicht und die Sicherstellung, dass die Ergebnisse korrekt und erklärbar sind. Vor dem Einsatz einer solchen KI müssen Sie sich wahrscheinlich einer Konformitätsbewertung unterziehen (manchmal von einer benannten Stelle), und das System in einer EU-Datenbank für KI mit hohem Risiko registrieren.

• Wenn das Risiko begrenzt ist: Planen Sie Transparenzmaßnahmen ein, z. B. die Offenlegung von Benutzern (z. B. wenn Sie den Personen mitteilen, dass sie mit einem KI-Chatbot interagieren) und die Kennzeichnung von KI-generierten Inhalten. Dabei handelt es sich in der Regel um einfachere Verpflichtungen (auf die weiter unten näher eingegangen wird).

• Wenn es ein minimales Risiko ist: Im Rahmen des Gesetzes sind keine spezifischen Maßnahmen erforderlich, aber es ist dennoch eine gute Praxis, ethische Richtlinien zu befolgen und diese Systeme zu überwachen.

Für jedes KI-System sollten Unternehmen die KI-Compliance in ihre Prozesse integrieren. Das bedeutet, dass die Checklisten für die Beschaffung, die Anforderungen der Anbieter und die internen Richtlinien aktualisiert werden müssen, um die Überlegungen des KI-Gesetzes einzubeziehen. Bereitstellung von Schulungen für Mitarbeiter in Bezug auf KI-Transparenz und -Risiken (das Gesetz führt sogar Verpflichtungen zur „KI-Kompetenz“ ein, wobei der Schwerpunkt auf der Aufklärung rund um KI liegt). Nutzen Sie die von den Aufsichtsbehörden bereitgestellten Leitfäden und Tools.

Zum Beispiel ein interaktives Compliance-Checker-Tool steht Unternehmen zur Verfügung, um herauszufinden, ob das Gesetz für ihre KI gilt und welche Verpflichtungen sie haben. Es kann Sie bei Fragen zum Zweck, zu den Nutzern und zu den Auswirkungen Ihrer KI unterstützen. Erwägen Sie abschließend, professionelle Rechtsberatung für eine gründliche Compliance-Strategie in Anspruch zu nehmen — insbesondere, wenn Sie KI in sensiblen Bereichen wie Personal, Finanzen oder Gesundheitswesen einsetzen.

‍

EU-KI-Gesetz: unterschiedliche Regeln für unterschiedliche Risikostufen

Das EU-Gesetz über künstliche Intelligenz definiert vier Stufen von KI-Systemen auf der Grundlage des Risikos: inakzeptabel, hoch, begrenzt, und minimales oder kein Risiko. Das Regulierungsniveau steigt mit dem Risiko. KI mit inakzeptablem Risiko ist vollständig verboten. KI mit hohem Risiko ist erlaubt, aber stark reguliert. KI mit begrenztem Risiko unterliegt Transparenzanforderungen, und KI mit minimalem Risiko ist größtenteils nicht reguliert. Im Folgenden erklären wir jede Kategorie:

Inakzeptables Risiko

KI-Systeme mit inakzeptablem Risiko sind völlig verboten gemäß dem Gesetz. Dabei handelt es sich um KI-Anwendungen, die als klare Bedrohung für die Sicherheit, den Lebensunterhalt oder die Rechte der Menschen angesehen werden. Das Gesetz verbietet Praktiken wie:

• Manipulative oder ausbeuterische KI das das Verhalten einer Person auf schädliche Weise erheblich verzerrt (z. B. ein Spielzeug, das Sprach-KI verwendet, um Kinder zu unsicheren Handlungen zu verleiten).

• Soziale Bewertung Systeme, die Personen anhand ihres persönlichen Verhaltens oder ihrer Merkmale einstufen (ähnlich einem „Sozialkreditsystem“).

• Biometrische Identifizierung und Überwachung im öffentlichen Raum, wie die Gesichtserkennung in Echtzeit in Menschenansammlungen sowie KI, die Menschen in sensiblen Kontexten nach biometrischen Merkmalen (z. B. nach ethnischer Zugehörigkeit oder Geschlecht) kategorisiert.

• KI, die kriminelles Verhalten oder Risiko vorhersagt (sogenanntes Predictive Policing), das ausschließlich auf Profilerstellung oder personenbezogenen Daten ohne menschliche Einschätzung basiert.

Es gibt einige enge Ausnahmen. So können beispielsweise bestimmte biometrische Fernidentifikationen (Gesichtserkennung) von den Strafverfolgungsbehörden im Nachhinein (nicht in Echtzeit) zur Untersuchung schwerer Verbrechen zugelassen werden, allerdings nur mit gerichtlicher Genehmigung und unter strengen Bedingungen. Im Allgemeinen gilt jedoch diese risikoreichen Überwachungs- und Manipulationsanwendungen von KI sind verboten direkt zum Schutz der Grundrechte.

Hohes Risiko

KI-Systeme mit hohem Risiko sind solche, die die Sicherheit der Menschen oder die Grundrechte erheblich beeinträchtigen könnten, wenn sie nicht ordnungsgemäß funktionieren oder missbraucht werden. Das Gesetz sieht zwei Hauptkategorien mit hohem Risiko vor:

KI als Sicherheitskomponenten regulierter Produkte: Wenn KI in Produkten eingesetzt wird, die bereits den EU-Sicherheitsstandards unterliegen — wie KI in Autos, der Luftfahrt, medizinischen Geräten, Spielzeug oder Industriemaschinen — und das Produkt einer Konformitätsbewertung bedarf, ist die KI mit einem hohen Risiko verbunden. Zum Beispiel wäre eine KI, die das Bremsen in einem autonomen Auto steuert, mit einem hohen Risiko verbunden.

KI in kritischen Bereichen mit großen Auswirkungen auf Einzelpersonen: Verwendete KI-Systeme in bestimmten Bereichen, die im Gesetz aufgeführt sind sind mit einem hohen Risiko verbunden und müssen vor dem Einsatz in einer EU-Datenbank registriert werden. Zu diesen Bereichen gehören:

• Management kritischer Infrastrukturen (z. B. KI, die die Strom- oder Wasserversorgung verwaltet)

• Allgemeine und berufliche Bildung (z. B. KI-Benotung von Prüfungen oder Feststellung von Schulzulassungen)

• Beschäftigung und Personalwesen (z. B. KI zur Rekrutierung, Beförderung oder Leistungsüberwachung von Mitarbeitern)

• Grundlegende private/öffentliche Dienstleistungen (z. B. Bonitätsprüfung, die über Kredite entscheidet, oder Anspruch auf Sozialleistungen)

• Strafverfolgung (z. B. KI zur Beweisauswertung oder zur Vorhersage krimineller Rückfälle, mit Ausnahme der vollautomatischen Profilerstellung)

• Migration und Grenzkontrolle (z. B. Lügenerkennung an Grenzen, Überprüfung von Visumanträgen)

• Rechtspflege (z. B. Unterstützung von Richtern durch KI oder bei der Vorhersage von Rechtsergebnissen)

Da diese KI-Systeme mit hohem Risiko ernsthafte Bedenken aufwerfen, sind sie mit strengen Verpflichtungen verbunden. Anbieter müssen Risiken bewerten und mindern, bevor sie eine solche KI auf den Markt bringen, und zwar während ihres gesamten Lebenszyklus. Für KI mit hohem Risiko gibt es detaillierte Anforderungen. Dazu gehören die Sicherstellung qualitativ hochwertiger Trainingsdaten (zur Verringerung von Verzerrungen), die Protokollierung von KI-Vorgängen zur Rückverfolgbarkeit, die Bereitstellung umfangreicher technischer Unterlagen, die Implementierung menschlicher Aufsicht und die Gewährleistung einer angemessenen Genauigkeit, Robustheit und Cybersicherheit.

KI-Systeme mit hohem Risiko erfordern außerdem eine Konformitätsbewertung (eine Bewertung, um sicherzustellen, dass sie alle Anforderungen erfüllen), bevor sie kommerziell eingesetzt werden können. Sobald sie in Betrieb sind, können sie laufenden Audits oder Überwachungen unterzogen werden. Wichtig ist, dass Menschen das Recht haben, bei nationalen Behörden Beschwerden über KI mit hohem Risiko einzureichen, wenn sie den Verdacht haben, dass die KI nicht den Vorschriften entspricht oder Schaden anrichtet. All dies stellt sicher, dass KI mit hohem Risiko streng kontrolliert wird, um Unfälle oder Missbrauch zu verhindern.

Eingeschränktes Risiko

KI-Systeme mit begrenztem Risiko sind solche, die weitgehend zulässig sind, aber die Transparenzanforderungen erfüllen müssen. Die Idee ist, sicherzustellen, dass die Menschen wissen, wann KI bei bestimmten Interaktionen eingesetzt wird, um Vertrauen und Entscheidungsfreiheit zu wahren. Zu den wichtigsten Verpflichtungen für KI mit begrenztem Risiko gehören:

• Offenlegung der KI-Beteiligung: Wenn eine Person mit einem KI-System interagiert, das mit einem Menschen verwechselt werden könnte, sollte sie informiert werden. Beispielsweise müssen Chatbots oder KI-Assistenten den Benutzern klar und deutlich sagen, dass sie KI und keine Menschen sind. Auf diese Weise können Benutzer fundierte Entscheidungen treffen (z. B. wenn sie wissen, dass ein Kundenservice-Chat automatisiert ist).

• Kennzeichnung von „Deepfakes“ und KI-generierten Inhalten: Alle Inhalte (Bilder, Video, Audio oder Text), die von KI generiert oder erheblich verändert werden, sollten deutlich als solche gekennzeichnet sein, insbesondere Inhalte im Deepfake-Stil. Wenn KI ein realistisches Video von jemandem erstellt oder einen Artikel schreibt, sollten die Zuschauer/Leser darauf hingewiesen werden, dass es sich um KI-generierte Inhalte handelt. Diese Transparenz hilft, Fehlinformationen und Manipulationen zu bekämpfen.

• Generative KI-Transparenz: Anbieter generativer KI-Systeme (wie große Sprachmodelle oder Bildgeneratoren) müssen sicherstellen, dass von KI erzeugte Ergebnisse als von KI erstellt identifiziert werden können. Sie müssen auch eingebaut werden angemessene Schutzmaßnahmen, um zu verhindern, dass die KI illegale Inhalte produziert (z. B. das Verbieten von Aufforderungen, die zu Hassreden oder explizit illegalem Material führen würden) und veröffentlichen eine Zusammenfassung aller urheberrechtlich geschützten Daten, die beim Training ihrer Models verwendet wurden. Diese letzte Anforderung, die an das EU-Urheberrecht gebunden ist, bedeutet, dass, wenn eine KI an urheberrechtlich geschützten Werken geschult wurde, der Anbieter diese Informationen in zusammengefasster Form offenlegen sollte.

Abgesehen von diesen transparenzorientierten Pflichten unterliegt KI mit begrenztem Risiko nicht der strengen Aufsicht wie KI mit hohem Risiko. Das Ziel besteht einfach darin, die Benutzer auf dem Laufenden zu halten und zu schützen, wenn KI hinter den Kulissen arbeitet. Für Unternehmen bedeutet die Einhaltung von Regeln mit begrenztem Risiko oft, dass sie ihren KI-gesteuerten Diensten die richtigen Benachrichtigungen oder Bezeichnungen hinzufügen müssen.

Minimales oder kein Risiko

Die überwiegende Mehrheit der KI-Systeme fällt heute in die Kategorie mit minimalem oder keinem Risiko. Da es sich um KI-Anwendungen handelt, die keine nennenswerten Risiken für die Rechte oder die Sicherheit der Nutzer darstellen, werden ihnen durch das Gesetz keine neuen Regeln auferlegt. Beispiele hierfür sind KI in Spamfiltern, KI, die E-Mails automatisch kategorisiert, oder KI-Funktionen in Videospielen. Solche alltäglichen KI-Tools können weiterhin frei verwendet werden.

Natürlich muss auch KI mit minimalem Risiko die bestehenden Gesetze (wie allgemeine Verbraucherschutz- oder Datenschutzgesetze) einhalten, aber das KI-Gesetz selbst sieht keine zusätzlichen Verpflichtungen für sie vor. Unternehmen sollten diese Systeme dennoch im Auge behalten, falls sich ihr Risikoniveau ändert (zum Beispiel könnte ein KI-Update neue Funktionen einführen, die sie in eine höhere Risikokategorie heben).

‍

Verwaltung und Umsetzung

Die Umsetzung eines bahnbrechenden Gesetzes wie des AI Act erfordert neue Führungsstrukturen und Leitlinien für Unternehmen. Die EU richtet Gremien und Verfahren ein, um das Gesetz durchzusetzen, und unterstützt Organisationen dabei, sich an die Vorschriften zu halten.

Umsetzung

Die Durchsetzung des KI-Gesetzes wird eine gemeinsame Anstrengung der EU-Behörden und der nationalen Behörden sein. Ein neues europäisches KI-Büro wird koordinieren Sie die Durchsetzung und Überwachung in der gesamten EU. Dieses Büro wird mit den Regulierungsbehörden in den einzelnen Mitgliedstaaten (häufig den bestehenden Marktüberwachungs- oder Digitalbehörden) zusammenarbeiten, um zu überwachen, wie KI-Anbieter und Nutzer die Regeln einhalten.

Ein EU-Ausschuss für künstliche Intelligenz und ein Wissenschaftliches Expertengremium wird auch eingerichtet, um in Fragen der KI-Governance und zu technischen Standards zu beraten. Diese Gremien werden dazu beitragen, die einheitliche Anwendung des Rechts in allen Ländern sicherzustellen.

Das Europäische Parlament hat geschaffen eine spezielle Arbeitsgruppe zur Umsetzung des KI-Gesetzes ebenso. Diese Gruppe von Abgeordneten überwacht, wie die Regeln eingeführt werden, und arbeitet mit der Kommission und dem KI-Büro zusammen, um sicherzustellen, dass die Durchsetzung des Gesetzes planmäßig bleibt und Innovationen im digitalen Sektor Europas tatsächlich unterstützt werden.

In der Praxis bedeutet dies für Organisationen, dass es auf nationaler und EU-Ebene Leitlinien und Ansprechpartner für Fragen der KI-Regulierung geben wird. Wenn wir uns der vollständigen Durchsetzung nähern, sollten Sie damit rechnen, dass Ihre nationalen Regulierungsbehörden detailliertere Anweisungen zu Compliance-Verfahren, Konformitätsbewertungen und zur Registrierung von Systemen mit hohem Risiko herausgeben.

Unterstützung der Einhaltung von Vorschriften

In der Erkenntnis, dass diese Regeln neu und komplex sind, hat die EU Maßnahmen eingeführt, um Unternehmen bei der Einhaltung der Vorschriften zu unterstützen. Eine frühe Initiative war der KI-Pakt, ein freiwilliges Programm, das von der Europäischen Kommission ins Leben gerufen wurde, um Unternehmen zu ermutigen, sich an die wichtigsten Prinzipien des KI-Gesetzes zu halten vor Das Gesetz tritt voll in Kraft. Unternehmen, die den KI-Pakt unterzeichnet haben, verpflichten sich im Voraus zu Dingen wie Transparenz und Risikomanagement, was sie nicht nur auf die zukünftige Einhaltung der Vorschriften vorbereitet, sondern auch den Aufsichtsbehörden hilft, Feedback zur Umsetzung des Gesetzes einzuholen.

Mitte 2025 führte die Kommission spezifische Instrumente ein, die sich auf Allzweck-KI (GPAI), die großen KI-Modelle, die Dienste wie Chatbots und Bildgeneratoren unterstützen. Drei bemerkenswerte Instrumente wurden eingeführt:

• Richtlinien für GPAI-Anbieter: In diesen wird genau geklärt, welche Verpflichtungen für Anbieter von Allzweck-KI-Modellen gemäß dem Gesetz gelten. Sie unterteilen die Zuständigkeiten, sodass auch kleinere Unternehmen nachvollziehen können, ob sie unter die Regeln fallen.

• Ein Verhaltenskodex für KI: Das ist ein freiwillig Eine Reihe von Best Practices, die mit der Industrie und Experten entwickelt wurden und Bereiche wie Transparenz, Achtung des Urheberrechts und Sicherheit von KI-Modellen abdecken. Anbieter, die sich an den Verhaltenskodex halten, können die Erwartungen des Gesetzes leichter erfüllen (und der Nachweis der Einhaltung kann dazu beitragen, den Aufsichtsbehörden zu zeigen, dass Sie in gutem Glauben handeln).

• Eine Vorlage für Transparenz und Risikoaufklärung: Das Gesetz schreibt vor, dass Anbieter großer KI-Modelle eine Zusammenfassung der Trainingsdaten veröffentlichen (insbesondere unter Hinweis auf alle großen Datensätze und verwendeten Quellen). Eine Standardvorlage wurde bereitgestellt um das einfacher zu machen. Mithilfe dieser Vorlage können Unternehmen die benötigten Informationen (z. B. die Art der Daten und die in der Schulung verwendeten Verarbeitungstechniken) auf klare und konsistente Weise offenlegen.

All diese Maßnahmen zielen darauf ab Verringerung des Verwaltungsaufwands über Unternehmen und sorgen für Klarheit. Wenn Sie beispielsweise eine vorgefertigte Vorlage oder Richtlinie haben, müssen Sie nicht raten, was die Aufsichtsbehörden erwarten — es ist für Sie genau formuliert.

Es wird auch erwartet, dass das Europäische KI-Büro und die nationalen Behörden weitere Leitlinien und häufig gestellte Fragen herausgeben und möglicherweise Öffentlichkeitsarbeit oder Schulungen durchführen (einige EU-Länder richten möglicherweise „KI-Sandboxen“ ein, wie später beschrieben, die gleichzeitig als Compliance-Lernumgebungen dienen). Die allgemeine Botschaft lautet, dass die Regulierungsbehörden arbeiten wollen mit Unternehmen müssen das Gesetz umsetzen und ihnen nicht nur Regeln auferlegen — vor allem in den ersten Jahren.

Konformitätsprüfer

Um Organisationen bei der Klärung ihrer Verpflichtungen zu unterstützen, haben unabhängige Gruppen benutzerfreundliche Tools entwickelt. Ein bemerkenswertes Beispiel ist der Konformitätsprüfer für die Einhaltung des EU-KI-Gesetzes, ein interaktiver Fragebogen und ein Flussdiagramm, die online verfügbar sind. Sie können Details zu Ihrem KI-System eingeben — z. B. was es tut, wer es verwendet und wie es Entscheidungen trifft — und das Tool hilft Ihnen dabei, festzustellen, ob es unter das Gesetz fällt und welche Risikokategorien und Anforderungen gelten könnten.

Diese Art von Tool ist besonders hilfreich für Compliance-Teams in der frühen Analysephase. Anstatt sich durch den Rechtstext zu wühlen, können Sie sich schnell und maßgeschneidert die Verpflichtungen durchlesen (z. B. könnte es Ihnen sagen, dass „Ihr System ein hohes Risiko darstellt, sodass Sie X-, Y- und Z-Kontrollen implementieren und es bei den Behörden registrieren müssen“).

Natürlich ist es kein Ersatz für Rechtsberatung, aber es bietet eine nützliche Roadmap. Der Compliance Checker bleibt ebenfalls auf dem neuesten Stand — sobald das Gesetz fertiggestellt und präzisiert wird, wird die Logik des Tools verfeinert (in den Änderungsprotokollen werden Aktualisierungen in den Jahren 2024-2025 vermerkt, die dem endgültigen Gesetz entsprechen).

Für ein Compliance- oder HR-Team kann der Einsatz eines solchen Checkers den KI Act entmystifizieren. Es ist ein guter Ausgangspunkt, um dann mit Ihrem Rechtsberater oder Ihren technischen Teams zu besprechen, welche Schritte als Nächstes zu unternehmen sind.

Anforderungen an die Transparenz

Transparenz ist ein Kernthema des Governance-Ansatzes des EU AI Act. Abgesehen von den risikobasierten Stufen schreibt das Gesetz ausdrücklich Transparenz für bestimmte KI-Ergebnisse und Interaktionen vor. Einige davon haben wir unter „begrenztes Risiko“ angesprochen, aber lassen Sie uns die wichtigsten Transparenzanforderungen zusammenfassen, auf die sich Unternehmen vorbereiten müssen:

• Offenlegung von KI-generierten Inhalten: Wenn Ihre Organisation Inhalte (Text, Bilder, Videos, Audio) veröffentlicht oder verwendet, die von KI generiert oder erheblich verändert wurden, müssen Sie sie deutlich als solche kennzeichnen. Wenn Sie beispielsweise ein KI-Tool verwenden, um ein realistisches Marketingvideo mit KI-generierten Schauspielern oder Stimmen zu erstellen, sollte das Publikum darüber informiert werden, dass es von KI generiert wurde. Dies hilft, Täuschungen vorzubeugen und Vertrauen bei Verbrauchern und der Öffentlichkeit aufzubauen.

• Generative KI-Systeme (z. B. Chatbots wie ChatGPT): Diese stellen zwar nicht automatisch ein „hohes Risiko“ dar, das Gesetz schreibt ihnen jedoch spezifische Transparenzregeln vor. Anbieter müssen die Nutzer darüber informieren, dass sie mit KI und nicht mit einem Menschen interagieren, wann immer dies nicht offensichtlich ist. Sie müssen auch Zusammenfassungen der urheberrechtlich geschützten Daten veröffentlichen, die für das Training ihrer Modelle verwendet werden. In der Praxis bedeutet dies, dass, wenn ein KI-Modell beispielsweise an Nachrichtenartikeln oder Büchern trainiert wurde, der Anbieter eine Zusammenfassung veröffentlichen sollte, in der diese Quellen aufgeführt sind (um das EU-Urheberrecht einzuhalten und Künstlern oder Verlegern die Möglichkeit zu geben, zu erfahren, dass ihre Werke verwendet wurden).

• Sicherheits- und Missbrauchswarnungen: Von Anbietern generativer KI wird erwartet, dass sie Schutzmaßnahmen gegen die illegale Generierung von Inhalten einbauen. Dies ist auch eine Form der Transparenz — es bedeutet, die Grenzen des Modells und die Maßnahmen zur Vermeidung von Missbrauch transparent zu machen. Die Nutzer sollten beispielsweise darüber informiert werden, ob die KI über Inhaltsfilter verfügt und welche Inhalte sie abdecken.

• Öffentliche Datenbank für KI mit hohem Risiko: Obwohl es sich nicht um ein „Etikett“ für Inhalte handelt, ist es aus Gründen der Transparenz erwähnenswert, dass die EU eine Datenbank unterhalten wird, in der alle KI-Systeme mit hohem Risiko müssen vor dem Einsatz registriert werden. Diese Datenbank wird der Öffentlichkeit zugänglich sein und wichtige Informationen über jedes Hochrisikosystem (wie Zweck, Anbieter, Konformitätsbewertungsstatus usw.) auflisten. Für Unternehmen bedeutet das, dass, wenn Sie eine KI mit hohem Risiko einsetzen, einige Details darüber öffentlich bekannt werden. Es soll die Rechenschaftspflicht fördern und der Zivilgesellschaft und den betroffenen Personen die Kontrolle ermöglichen.

Zusammenfassend stellen Transparenzanforderungen sicher, dass KI nicht hinterhältig oder unverantwortlich arbeitet. Compliance-Teams sollten daher planen, an geeigneten Stellen klare Angaben zu machen — sei es ein Hinweis auf einer Website („Dieser Chatbot ist KI-unterstützt“), Wasserzeichen oder Bildunterschriften auf KI-generierten Medien oder eine auf Ihrer Website veröffentlichte Dokumentation über Ihre KI-Systeme und Trainingsdaten.

Zeitplan für die Einhaltung des EU-KI-Gesetzes

Zeitplan für die Bewerbung

Das EU-KI-Gesetz war Mitte 2024 offiziell verabschiedet, und die Bestimmungen werden nach einem gestaffelten Zeitplan eingeführt, um den Organisationen Zeit zu geben, sich anzupassen. Hier ist der Zeitplan, wann die verschiedenen Teile des Gesetzes in Kraft treten:

• August 2024: Das Gesetz trat in Kraft (wurde Gesetz). Damit begann das Zeitfenster für die Umsetzung.

• 2. Februar 2025: Die ersten wichtigen Bestimmungen traten sechs Monate nach ihrem Inkrafttreten in Kraft. Dazu gehört auch das Verbot von KI-Systemen mit inakzeptablem Risiko, das ab diesem Datum rechtlich durchsetzbar wurde. Außerdem traten ab diesem Datum neue Verpflichtungen zur KI-Kompetenz in Kraft (Maßnahmen zur Aufklärung oder Information über KI, die sich wahrscheinlich an den öffentlichen Sektor und Anbieter richten).

• Mai 2025 (ca.): Nach etwa neun Monaten fördert die EU die Einführung von Verhaltenskodizes. (Im Kontext wären dies Branchenkodizes oder freiwillige Leitlinien, die zur Anpassung an das Gesetz entwickelt wurden. Im Gesetz selbst wird darauf hingewiesen, dass einige Verhaltenskodizes innerhalb von 9 Monaten fertig sein sollten, um als Richtschnur für die Umsetzung dienen zu können.)

• 2. August 2025: Regeln für Allzweck-KI (GPAI) — insbesondere Transparenzverpflichtungen im Bereich der generativen KI — treten 12 Monate nach Inkrafttreten in Kraft. Ab diesem Zeitpunkt müssen Anbieter großer KI-Modelle diese spezifischen Anforderungen (wie die Transparenz der Trainingsdaten und Schutzmaßnahmen) erfüllen.

• 2. August 2026: Der Großteil der Anforderungen des KI-Gesetzes tritt 24 Monate nach Inkrafttreten in Kraft. Dies ist das Datum, bis zu dem die meisten Anbieter und Nutzer von KI die in den Geltungsbereich fallenden Systeme vollständig einhalten müssen. Stellen Sie sich das als generelle Frist für das „AI Act is now live“ vor.

• 2. August 2027: Bestimmte KI-Systeme mit hohem Risiko, die in Produkte integriert sind, haben eine verlängerte Frist von 36 Monaten, wodurch ihre Konformitätsfrist bis 2027 verschoben wird. In diesem zusätzlichen Jahr (nach 2026) wird eingeräumt, dass Branchen wie Medizinprodukte oder die Automobilindustrie möglicherweise länger benötigen, um komplexe KI-Systeme, die sich bereits in der Entwicklung oder im Einsatz befinden, auf den neuesten Stand zu bringen. Bis zu diesem Datum müssen jedoch alle KI-Anlagen mit hohem Risiko die Anforderungen erfüllen. Das Europäische Parlament wies ausdrücklich darauf hin, dass Systeme mit hohem Risiko mehr Zeit haben, sich anzupassen, jedoch nicht später als 36 Monate nach Inkrafttreten des Gesetzes.

Es ist wichtig, diese Daten im Auge zu behalten. Was die Compliance-Planung anbelangt, so beginnen 2025 die ersten Verpflichtungen (wie die Einstellung aller verbotenen KI-Praktiken und die Erfüllung der Transparenzpflichten für generative KI) wirklich.

2026 ist das große Jahr für die meisten Verpflichtungen, und 2027 ist der letzte Grenzwert für die verbleibenden Anwendungsfälle mit hohem Risiko. Der gestaffelte Ansatz soll den Übergang reibungsloser gestalten — die Regulierungsbehörden werden in diesen Phasen wahrscheinlich mehr Leitlinien herausgeben. Stellen Sie sicher, dass Ihre Organisation alle Ankündigungen oder Aktualisierungen der EU-Behörden verfolgt, wenn sich diese Meilensteine nähern.

‍

Förderung von KI-Innovationen und Start-ups in Europa

Ein Hauptziel des AI Act ist es, ein Gleichgewicht zwischen Regulierung und Innovation herzustellen. Die EU will Unterstützung von KI-Entwicklern, insbesondere Start-ups und kleinen Unternehmen, sodass die Einhaltung der Vorschriften kein Marktzutrittsschranken darstellt. Tatsächlich werden kleine und mittlere Unternehmen (KMU) in dem Gesetz Dutzende Male ausdrücklich erwähnt und Bestimmungen enthalten, die ihnen helfen sollen.

Leitfaden für kleine Unternehmen

Für Start-ups und KMUs Das EU-Gesetz über künstliche Intelligenz sieht maßgeschneiderte Maßnahmen vor, um die Einhaltung der Vorschriften zu erleichtern und Innovationen zu fördern:

• Regulatorische Sandboxen für KI: Jeder EU-Mitgliedstaat wird mindestens einen einrichten KI-Sandbox — eine Testumgebung, in der Unternehmen unter Aufsicht der Aufsichtsbehörden KI-Systeme entwickeln und mit ihnen experimentieren können. In diesen Sandboxen werden die normalen regulatorischen Anforderungen gelockert oder vorübergehend aufgehoben. KMU erhalten vorrangigen Zugang zu Sandboxen, die nach einfachen, optimierten Verfahren kostenlos zur Verfügung gestellt werden. Auf diese Weise können Start-ups KI-Lösungen unter realen Bedingungen testen, ohne sofort Strafen befürchten zu müssen, und gleichzeitig lernen, wie sie die Anforderungen des Gesetzes erfüllen können. Jede Konformitätsdokumentation, die bei Sandbox-Experimenten erstellt wurde, kann später verwendet werden, um den Aufsichtsbehörden zu zeigen, dass die KI die Regeln erfüllt.

• Reduzierte Compliance-Kosten und Gebühren: Das Gesetz schreibt vor, dass die Konformitätsbewertung und andere behördliche Gebühren in einem angemessenen Verhältnis zur Größe des Unternehmens stehen. Die Aufsichtsbehörden werden die Konformitätskosten für kleinere Anbieter regelmäßig überprüfen und daran arbeiten, sie zu senken. Kurz gesagt, ein KMU sollte nicht mit den gleichen Compliance-Kosten konfrontiert werden wie ein Technologieriese. Dazu gehören möglicherweise geringere Zertifizierungsgebühren und vereinfachte Verfahren, um die finanzielle Belastung von Start-ups zu verringern.

• Vereinfachte Dokumentation und Schulung: Angesichts der Tatsache, dass kleine Unternehmen nur über begrenzte Ressourcen verfügen, wird die Europäische Kommission vereinfachte Vorlagen für technische Dokumentationen für KMU entwickeln. Diese Vorlagen werden von den Behörden als Nachweis der Konformität akzeptiert, sodass KMU keine komplexen Dokumente von Grund auf neu erstellen müssen. Darüber hinaus werden speziell auf KMU zugeschnittene Schulungsprogramme angeboten, die ihnen helfen sollen, die Verpflichtungen des KI-Gesetzes zu verstehen und zu erfüllen. Dies kann Online-Tutorials, Workshops oder Helpdesk-Support beinhalten.

• Engagierter Support und Kommunikation: KMU werden Zugang zu speziellen Kanälen haben, in denen sie sich zum KI-Gesetz beraten lassen können. Die Idee ist, dass kleine Unternehmen in der Lage sein sollten, schnelle Antworten darauf zu erhalten, wie das Gesetz für sie gilt. Ob über einen offiziellen Helpdesk oder eine Kontaktstelle des KI-Büros, es wird jemanden geben, der bei Compliance-Fragen hilft, die es nur bei kleineren Akteuren gibt.

• Einbindung von KMU in die Regelsetzung: Die EU ist auch inEinbeziehung von KMU in die laufende Steuerung der KI-Regulierung. KMU und Start-ups werden eingeladen, sich an den Bemühungen zur Festlegung von Normen und den im Gesetz vorgesehenen Beratungsgremien zu beteiligen. Dadurch wird gewährleistet, dass Standards (z. B. technische Standards für KI-Sicherheit oder Transparenz) die Perspektive kleinerer Akteure berücksichtigen und große Unternehmen nicht übermäßig bevorzugen. Gemäß dem Gesetz KI-Beirat, es wird wahrscheinlich Sitze oder Konsultationsmöglichkeiten für KMU-Vertreter geben.

• Verhältnismäßige Verpflichtungen für Anbieter von Allzweck-KI: Wenn ein KMU ein Allzweck-KI-Modell anbietet, sollten die Verpflichtungen laut Gesetz entsprechend seiner Kapazität angepasst werden. So enthält beispielsweise der freiwillige Verhaltenskodex für KI separate Leistungsindikatoren (KPIs), die speziell auf KMU-Anbieter zugeschnitten sind. Damit wird eingeräumt, dass von einem Start-up aus zwei Personen nicht erwartet werden kann, dass es dieselben Benchmarks erfüllt wie ein multinationales Unternehmen. Durch diesen Grundsatz der Verhältnismäßigkeit soll verhindert werden, dass das Gesetz kleine Innovatoren im Keim erstickt.

Insgesamt legt das EU-Gesetz über künstliche Intelligenz nicht nur Regeln fest und überlässt es KMU, für sich selbst zu sorgen, sondern es fördert aktiv Innovationen, indem es einen sichereren Raum für Experimente schafft und Hindernisse für die Einhaltung der Vorschriften abbaut.

Wenn Sie ein Start-up-Gründer oder Teil eines kleinen Technologieunternehmens sind, sollten Sie diese Unterstützung in Anspruch nehmen: Treten Sie nach Möglichkeit einer regulatorischen Sandbox bei, verwenden Sie die vereinfachten Vorlagen und nehmen Sie an den bereitgestellten Schulungen und Foren teil. Dies trägt nicht nur dazu bei, dass Sie die Gesetze einhalten, sondern kann auch Ihr KI-Produkt tatsächlich verbessern (durch Feedback von Aufsichtsbehörden und frühzeitige Risikominderung) und das Vertrauen von Investoren und Kunden stärken (die sehen, dass Ihre KI innerhalb des EU-Rahmens verantwortungsbewusst entwickelt wird).

Nachdem sie die Anforderungen und den Zeitplan des EU-Gesetzes über künstliche Intelligenz verstanden haben, können Compliance-, Rechts- und Personalabteilungen jetzt mit den Vorbereitungen beginnen. Ganz gleich, ob es darum geht, Ihre aktuellen KI-Tools zu prüfen, Richtlinien zu aktualisieren oder Ihre Mitarbeiter zu schulen, mit proaktiven Maßnahmen sind Sie der Konkurrenz immer einen Schritt voraus.

Das Gesetz ist sicherlich detailliert, aber seine Kernaussage ist einfach: KI in Europa sollte von Natur aus rechtmäßig, ethisch und transparent sein.

Angesichts der neuen Ressourcen und Richtlinien können Unternehmen jeder Größe ihre KI-Praktiken an diesen Werten ausrichten und so nicht nur die Einhaltung gesetzlicher Vorschriften, sondern auch vertrauenswürdigere KI-Ergebnisse für alle Beteiligten sicherstellen.

Quellen

‍Die Informationen in diesem Artikel basieren auf dem Text des EU-KI-Gesetzes und offiziellen Zusammenfassungen, einschließlich der Veröffentlichung der Europäischen Kommission und des Europäischen Parlaments, sowie auf Analysen aus Ressourcen zur Einhaltung des EU-KI-Gesetzes. Diese Quellen bieten weitere Einzelheiten und können für einen tieferen Einblick in bestimmte Bestimmungen konsultiert werden.

‍