EU AI Act Übersicht

Was ist die KI-Verordnung (EU AI Act)?

Die im April 2021 von der Europäischen Kommission vorgestellte und seit August 2024 in Kraft getretene EU-Verordnung über Künstliche Intelligenz (EU AI Act) ist die erste ihrer Art und schafft einen rechtlichen Rahmen, der den Einsatz von KI-Systemen in der gesamten EU regulieren soll, um die Sicherheit, Verlässlichkeit und Transparenz von KI-Systemen zu gewährleisten. Ziel der Europäischen Union ist es, sicherzustellen, dass der Einsatz von KI im Einklang mit bestehenden Gesetzen zu Grundrechten und den Werten der Union steht.

Da verschiedene Anwendungen von KI unterschiedliche Risiken bergen, verfolgt das Gesetz einen risikobasierten Ansatz, der in eine sektorübergreifende Regulierung mündet:

• Inakzeptables Risiko: Verbotene KI-Systeme (z. B. Social Scoring, biometrische Echtzeit-Fernidentifikation oder unterschwellige Beeinflussung)
• Hohes Risiko: Hochrisiko-Systeme mit strengen Auflagen (z. B. KI in der Personalrekrutierung, Strafverfolgung, im Finanz- und Versicherungswesen, bei der biometrischen Identifikation oder als sicherheitsrelevante Komponenten in regulierten Systemen wie etwa Medizinprodukten)
• Begrenztes Risiko: Erlaubte Systeme mit geringen gesetzlichen Anforderungen (z. B. Interaktion mit einem Chatbot, Deepfakes)
• Niedriges Risiko: Erlaubte Systeme mit freiwilligen Auflagen (z. B. Spamfilter)

Je nach Risikoklasse eines KI-Systems kann dessen Einsatz verboten sein, müssen spezifische Anforderungen erfüllt werden, oder Nutzerinnen und Nutzer müssen über die Interaktion mit der KI informiert werden. Dies gilt für alle KI-Systeme, die natürliche Personen in der EU betreffen. Mehr zur Einstufung von KI-Risiken erfahren Sie in diesem Artikel.

‍

Definition von Künstlicher Intelligenz in der KI-VO

Die Definition eines KI-Systems im EU AI Act ist an die Definition der OECD angelehnt. Demnach wird ein KI-System im Sinne des EU AI Acts nun als ein maschinengestütztes System verstanden, das auf Basis von Eingaben, die es erhält, Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt, die physische oder virtuelle Umgebungen beeinflussen. Diese Systeme können sich hinsichtlich ihres Grades an Autonomie und Anpassungsfähigkeit unterscheiden.

Zuvor definierte die EU ein KI-System als eine Software, die mithilfe von maschinellem Lernen oder logik- und wissensbasierten Ansätzen entwickelt wurde und Inhalte, Vorhersagen, Empfehlungen, Entscheidungen oder ähnliche Ausgaben erzeugt, die Einfluss auf die Umgebung haben, mit der das System interagiert, einschließlich KI-Systemen, die Teil eines Hardware-Geräts sein können. Diese Definition wurde von vielen Akteuren im KI-Ökosystem stark kritisiert, da sie auch einfachere Systeme umfassen konnte, die nicht als KI im engeren Sinne gelten.

‍

Die Bedeutung der KI-VO für unsere Gesellschaft

Die EU möchte sicherstellen, dass Bürgerinnen und Bürger vor möglichen negativen Auswirkungen von KI geschützt sind. Ziel des EU AI Acts ist es daher unter anderem, sicherzustellen, dass Organisationen, die KI zur Entscheidungsfindung einsetzen, keine Diskriminierung gegenüber Menschen ausüben und dass solche Systeme keine Verzerrungen (Bias) gegenüber bestimmten Gruppen, etwa aufgrund von Ethnie, Geschlecht, Religion oder anderen Merkmalen, aufweisen.

Je nach Art und Risiko einer KI-Anwendung müssen Unternehmen, die KI-Systeme einsetzen, eine Erklärung für KI-basierte Ergebnisse sowie für den diesen Ergebnissen zugrunde liegenden Entscheidungsprozess liefern. Dies stellt Unternehmen vor erhebliche Herausforderungen, da der derzeitige KI-Entwicklungsprozess sehr fragmentiert ist und es ihm an Transparenz mangelt. Es werden Lösungen benötigt, um strukturierte und transparente Prozesse zu ermöglichen.

Der EU AI Act räumt betroffenen Personen zudem das Recht ein, algorithmisch getroffene Entscheidungen anzufechten und eine Überprüfung durch die verantwortliche Organisation zu verlangen. Das verstärkt die Konsequenzen, welche die KI-Verordnung nach sich zieht, und erhöht den Druck auf Organisationen, sich auch aus Haftungsgründen auf transparente, sichere und prüfbare KI-Systeme zu fokussieren.

‍

Aktueller Stand und Zeitplan der KI-VO

Die KI-Verordnung trat am 1. August 2024 in Kraft. Für die einzelnen Bestimmungen gelten unterschiedliche Zeitpläne. Die Vorschriften zu verbotenen KI-Praktiken und die Anforderung an die KI-Kompetenz gelten seit dem 2. Februar 2025. Die Verpflichtungen für Anbieter von Allzweck-KI-Modellen (GPAI-Modellen) gelten seit dem 2. August 2025. Die Verordnung gilt allgemein, einschließlich der Transparenzpflichten, seit dem 2. August 2026.

Die Anforderungen für Systeme mit hohem Risiko wurden durch das „Digital Omnibus“-Paket zur KI, Verordnung (EU) 2026/1744, das seit dem 27. Juli 2026 in Kraft ist, aufgeschoben. Kapitel III gilt nun ab dem 2. Dezember 2027 für Systeme, die gemäß Anhang III als risikoreich eingestuft sind, und ab dem 2. August 2028 für Systeme, die gemäß Anhang I eingestuft sind – Produkte, die bereits durch andere Gesetze geregelt sind, wie beispielsweise Medizinprodukte, Fahrzeuge oder Maschinen. Zwei neue Verbote, die sich auf nicht einvernehmlich aufgenommene intime Darstellungen und Material über sexuellen Kindesmissbrauch beziehen, gelten ab dem 2. Dezember 2026.

‍

Hochrisiko-Anwendungen im EU AI Act

KI-Systeme, die als hochriskant eingestuft werden, dürfen weiterhin entwickelt und eingesetzt werden – vorausgesetzt, sie erfüllen die vorgeschriebenen Anforderungen. Dazu gehört insbesondere eine sogenannte „Konformitätsbewertung“ (Audit), mit der sichergestellt wird, dass das entwickelte KI-System den Vorgaben des EU AI Acts entspricht. Diese Bewertung muss bei wesentlichen Änderungen am System erneut durchgeführt werden.

Darüber hinaus ist es verpflichtend, die Risiken und die Qualität des Systems während des Betriebs fortlaufend zu überwachen. Dies umfasst unter anderem:

• Risikomanagementsystem
• Technische Dokumentation und Aufzeichnungspflichten
• Menschliche Aufsicht
• Daten-Governance
• Präzise, robuste und sichere Modelle
• Transparenz in Bezug auf das Modell und seine Ausgaben.

Zwar gelten die Verpflichtungen in erster Linie für Anbieter solcher KI-Systeme mit hohem Risiko, doch bestehen auch Verpflichtungen für andere Akteure in der Wertschöpfungskette, wie beispielsweise Betreiber, Importeure oder Vertreiber. Je nach Verwendung oder Änderung könnten die Verantwortlichkeiten für die Einhaltung der Vorschriften sogar vollständig auf diese anderen Akteure übergehen.

Bei Nichteinhaltung der Vorgaben der KI-VO können Bußgelder in Höhe von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes der Organisation verhängt werden. Wer falsche oder unvollständige Informationen an Behörden übermittelt, riskiert Strafen von bis zu 7,5 Millionen Euro oder 1% des weltweiten Jahresumsatzes. Für KMU, Start-ups und kleine Midcap-Unternehmen (SMCs) gelten niedrigere Höchstbeträge.

Weitere Informationen zu den konkreten Anforderungen finden Sie in diesem Artikel.

‍

Was Unternehmen jetzt tun können

Auch wenn die Auswirkungen der KI-Verordnung für manche Organisationen drastisch und kostenintensiv sein werden, gibt es eine gute Nachricht: Durch die Verschiebung der Hochrisiko-Anforderungen bleibt Zeit für die Vorbereitung. Entscheidend ist dennoch, so früh wie möglich zu beginnen – die Verbote und die Pflicht zur KI-Kompetenz sowie die Transparenzpflichten gelten bereits. Andernfalls besteht das Risiko, dass Systeme abgeschaltet werden müssen oder hohe Bußgelder drohen. Andernfalls besteht das Risiko, dass sie abgeschaltet werden müssen oder es drohen hohe Bußgelder.

Wie bereits erwähnt, verfolgt die EU mit ihrer KI-Strategie das Ziel, vertrauenswürdige KI zu schaffen. Ein zentrales Element dabei ist Transparenz in allen Phasen der Entwicklung. Das erleichtert nicht nur die Einhaltung der gesetzlichen Vorgaben, sondern sorgt auch dafür, dass alle Beteiligten im Entwicklungsprozess ein gemeinsames Verständnis haben.

Wir bei trail möchten, dass Sie weiterhin innovative und vertrauenswürdige KI-Lösungen entwickeln und nutzen. Deshalb bieten wir moderne KI-Governance-Lösungen an, mit denen Sie den Compliance-Verwaltungsaufwand automatisieren und sich auf die besonders komplexen Anwendungsfälle konzentrieren können. Informieren Sie sich hier, wie wir Ihnen dabei helfen können, den Überblick über Ihre KI zu behalten, die Einhaltung von Vorschriften zu automatisieren und Ihnen mit spezifischen Inhalten zum EU AI Act einen Vorsprung zu verschaffen.