Der EU AI Act ist endlich da! Am 12. Juli im Amtsblatt der EU veröffentlicht, tritt diese wegweisende Verordnung heute, am 1. August 2024, in Kraft. Keine Sorge, die Änderungen treffen Sie nicht auf einen Schlag. Ein detaillierter Zeitplan legt fest, wer was bis wann einhalten muss.
Das Wichtigste in Kürze
1.Unmittelbare Wirkung in der gesamten EU: Der EU AI Act gilt direkt in allen EU-Mitgliedstaaten und reguliert jedes KI-System und jedes KI-Modell, das es gibt. Einheitliche Pflichten für alle bringt er aber nicht: Sie richten sich nach dem Risiko des jeweiligen KI-Systems.
2.Besonderes Augenmerk auf generative KI: Mit dem Aufstieg von Technologien wie ChatGPT führt der AI Act eigene Regeln für KI mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) ein. Diese Regeln kamen wegen der rasanten Entwicklung generativer KI erst später im Entwurfsprozess dazu.
Die Risikoklassen im Einzelnen
Verbotene KI-Anwendungen
Tragen Sie sich das Datum in den Kalender ein: Am 2. Februar 2025 wird die erste Gruppe von Hochrisiko-KI-Anwendungen verboten. Dazu gehören die umstrittenen Social-Scoring-Systeme und die biometrische Echtzeit-Identifizierung im öffentlichen Raum durch Strafverfolgungsbehörden. Es gibt allerdings einige Ausnahmen, und die haben Kritik von Bürgerrechtsorganisationen ausgelöst. So darf auf Daten aus Predictive Policing nicht reagiert werden, und Emotionserkennung ist am Arbeitsplatz und in Schulen verboten, außer in bestimmten Fällen wie der Erkennung von Übermüdung bei Piloten. Auch die Analyse von Gesichtsbildern ohne Einwilligung ist tabu.
Hochrisiko-Anwendungen
KI-Anwendungen, die die Sicherheit von Menschen oder ihre Grundrechte gefährden könnten, gelten als hochriskant. Diese Systeme müssen strenge Anforderungen an die Robustheit der Daten, die Dokumentation, die Transparenz und die menschliche Aufsicht erfüllen. Die Regeln greifen ab dem 2. August 2026. Um ein Hochrisiko-KI-System zu verkaufen, brauchen Sie eine Konformitätsbewertung, die die Einhaltung aller Standards belegt, und dazu einen soliden Plan für Qualitäts- und Risikomanagement.
Anwendungen mit minimalem Risiko
Gute Nachricht für die meisten Entwickler: Rund 80 % der KI-Systeme fallen in diese Kategorie und dürfen ohne besondere Auflagen entwickelt und genutzt werden. Denken Sie an Spamfilter und Suchalgorithmen. Sie laufen weiterhin uneingeschränkt.
Im Fokus: KI mit allgemeinem Verwendungszweck (GPAI)
GPAI, etwa die leistungsfähigen Sprachmodelle hinter ChatGPT, kann erhebliche Risiken bergen, darunter schwere Unfälle oder großangelegte Cyberangriffe. Die EU-Kommission warnt vor diesen „systemischen Risiken“. Ab dem 2. August 2025 gelten für GPAI strenge Regeln, darunter Transparenzpflichten. Nutzer müssen erfahren, wenn sie mit KI-Anwendungen wie Chatbots interagieren. Außerdem müssen Anbieter großer KI-Modelle alle nötigen Informationen bereitstellen, damit nachgelagerte Nutzer das Gesetz einhalten.
KI-Anbieter
KI-Anbieter wird man schnell, aber das bringt Pflichten mit sich. Wenn Sie Modelle von Anbietern wie OpenAI oder Google nutzen und verändern, werden Sie zum KI-Anbieter und müssen den EU AI Act einhalten. Das heißt:
•Nutzer informieren, wenn sie mit KI interagieren.
•Detaillierte Aufzeichnungen führen, um die Einhaltung sicherzustellen.
•Maßnahmen umsetzen, die Verzerrungen (Bias) minimieren.
•Den Energieverbrauch Ihrer KI-Modelle offenlegen.
Geistiges Eigentum und Trainingsdaten
GPAI-Anbieter dürfen beim Training ihrer Modelle keine Urheberrechte verletzen. Das bleibt allerdings eine Grauzone, denn die Meinungen darüber, was als Verstoß gilt, gehen auseinander.
KI-Anwendungen einstufen
KI-Systeme werden nach ihrem Zweck eingestuft, dazu kommen eigene Vorschriften zur Produktsicherheit. Die Kommission führt eine Liste, anhand derer sich bestimmen lässt, wo eine Anwendung hingehört. Für GPAI-Modelle gilt eine umstrittene Schwelle: Modelle, die mit einer Rechenleistung von mehr als 10^25 FLOPs trainiert wurden, gelten als systemisches Risiko. Das betrifft derzeit Modelle wie GPT-4 und wahrscheinlich Gemini.
Anforderungen an Modelle mit systemischem Risiko
Anbieter dieser Modelle müssen Risiken bewerten, schwerwiegende Vorfälle melden, gründliche Evaluierungen durchführen, die Cybersicherheit gewährleisten und den Energieverbrauch offenlegen. Für Unternehmen wie OpenAI und Google ist das ein heikles Thema, denn KI-Entwicklung ist äußerst ressourcenintensiv.
Schwerpunkt Nachhaltigkeit
Der EU AI Act schreibt hohe Umweltschutzstandards vor und verpflichtet Anbieter, ihre Ressourceneffizienz zu verbessern. Die Kommission prüft, ob genug geschieht. Anbieter von Modellen mit systemischem Risiko müssen ihren Energiebedarf offenlegen.
Ausnahmen für die biometrische Fernidentifizierung
Für die Strafverfolgung ist sie grundsätzlich verboten, es gibt aber Ausnahmen für 16 bestimmte Straftaten, darunter Entführung, Menschenhandel und Terrorismus. Solche Einsätze brauchen eine vorherige Genehmigung und eine Grundrechte-Folgenabschätzung.
Durchsetzung und Strafen
Jeder EU-Mitgliedstaat muss eine nationale Behörde benennen, die den AI Act durchsetzt. Deutschland erwägt dafür seine Datenschutzbehörden oder die Bundesnetzagentur. Ein AI Office in Brüssel, angesiedelt bei der DG Connect, beaufsichtigt die GPAI-Modelle und wird dabei von einem wissenschaftlichen Gremium unabhängiger Fachleute unterstützt.
Die Strafen bei Verstößen sind hoch: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes bei schweren Verstößen. Auch leichtere Verstöße können Bußgelder von bis zu 15 Millionen Euro oder 3 % des Umsatzes nach sich ziehen, und selbst irreführende Angaben können bis zu 7,5 Millionen Euro oder 1,5 % kosten. Beschwerden bei den nationalen Behörden kann jede Person einreichen.
Die wichtigsten Termine
•2. Februar 2025: Verbot bestimmter Hochrisiko-KI-Anwendungen.
•2. August 2025: Die Regulierung von GPAI beginnt.
•2. August 2026: Hochrisiko-KI-Anwendungen müssen die Vorgaben vollständig erfüllen, wobei eine Verlängerung um 36 Monate möglich ist, damit sich die Industrie anpassen kann.
Aus dem Englischen übersetzt: zum Originalbeitrag