EU-KI-Gesetz: Wie sich das neue Gesetz zur künstlichen Intelligenz im Jahr 2025 auf Unternehmen auswirkt
Künstliche Intelligenz hat sich von einem futuristischen Versprechen zu einem Werkzeug entwickelt, das in die täglichen Prozesse Tausender Unternehmen integriert ist.
Von automatisierten Kundendienstsystemen bis hin zu Algorithmen, die Finanzdaten analysieren oder bei strategischen Entscheidungen helfen, ist KI in allen Branchen präsent.
Als Reaktion auf diese beschleunigten Fortschritte hat die Europäische Union den AI-Act , die Verordnung (EU) 2024/1689 , verabschiedet – die weltweit erste Rechtsverordnung, die sich ausschließlich mit der Regulierung künstlicher Intelligenz befasst.
Der Standard wird 2024 verabschiedet und ab 2025 schrittweise umgesetzt. Er schafft einen gemeinsamen Rechtsrahmen, um die sichere, ethische und transparente Nutzung von KI auf dem europäischen Markt zu gewährleisten.
Was bedeutet das für Unternehmen?
Daher muss jede Organisation, die innerhalb oder außerhalb der Union Systeme der künstlichen Intelligenz entwickelt, vermarktet oder nutzt, eine Reihe technischer, rechtlicher und organisatorischer Anforderungen erfüllen.
Dabei geht es nicht nur um die Tech-Giganten, sondern auch um KMU, digitale Plattformen, Dienstleistungsunternehmen und internationale Zulieferer.
In diesem Artikel analysieren wir, was der IA Act ist, wen er betrifft, welche Hauptpflichten er hat und welche Konsequenzen eine Nichteinhaltung für Unternehmen haben kann.
Wesentliche Inhalte, um der neuen Ära der technologischen Regulierung zuvorzukommen.
Was ist das IA-Gesetz?
Die EU hat sich zum Ziel gesetzt, bei der Entwicklung und Nutzung künstlicher Intelligenz weltweit führend zu sein.
Zu diesem Zweck strebt sie die Schaffung eines soliden regulatorischen und institutionellen Rahmens an, der eine effiziente und sichere Nutzung im Einklang mit europäischen Werten wie Transparenz, Rechenschaftspflicht und dem Schutz der individuellen Rechte gewährleistet.
Die Verordnung über künstliche Intelligenz (KI-Gesetz) wird als eine der ambitioniertesten Initiativen vorgestellt, die einen wesentlichen Bestandteil der europäischen Strategie zur Regulierung KI-basierter Technologien bilden.
Das Hauptmerkmal der im Jahr 2024 verabschiedeten Verordnung besteht darin, dass es sich um die erste Verordnung weltweit handelt, die eine übergreifende und präventive Regulierung der KI anstrebt, die auf einer Bewertung der mit ihrem Einsatz verbundenen Risiken basiert.
Im Gegensatz zu anderen Modellen stehen beim europäischen Ansatz Aufsicht, technologische Ethik und Bürgerschutz im Vordergrund.
Da es sich um eine Verordnung handelt, ist ihre Anwendung in allen Mitgliedstaaten unmittelbar und einheitlich , ohne dass eine Umsetzung in nationale Rechtssysteme erforderlich ist.
Darüber hinaus ist sein Geltungsbereich extraterritorial , was bedeutet, dass er jeden Lieferanten betrifft, unabhängig von seinem Herkunftsland.
Werden KI-Systeme im EU-Binnenmarkt eingesetzt, gelten für sie diese Regelungen.
Klassifizierung von KI-Systemen: Risikoschema
Der risikobasierte Ansatz klassifiziert die Risiken für die Sicherheit und die Grundrechte auf vier Ebenen:
Inakzeptables Risiko
Kapitel II des KI-Gesetzes legt eine Reihe verbotener Praktiken beim Einsatz von Systemen der künstlichen Intelligenz fest, da diese als unvereinbar mit den Grundrechten gelten.
Diese Praktiken beeinträchtigen die Menschenwürde, die Privatsphäre und die Nichtdiskriminierung.
Aus diesem Grund sind sie in der Verordnung ausdrücklich verboten.
Unter ihnen sind:
- Der Einsatz von Systemen, die manipulieren oder täuschen Menschen auf eine Weise zu benachteiligen, die ihre Grundrechte verletzen kann, wie etwa Diskriminierung, Verhaltensstörungen oder Benachteiligung bestimmter Gruppen.
- Der Einsatz von KI-Systemen um Verhalten einzuschätzen oder vorherzusagen Mensch im Zusammenhang mit der Begehung von Straftaten, insbesondere wenn sie eine gerichtliche oder polizeiliche Beurteilung ersetzen.
- Erstellen von Datenbanken durch die massive und wahllose Sammlung aus automatisch gewonnenen Gesichtsbildern (zum Beispiel durch die Internet-Scraping).
- El Erkennen von Emotionen von Personen in sensiblen Kontexten wie dem Arbeitsplatz oder im Bildungsumfeld.
- El Einsatz biometrischer Echtzeit-Fernidentifizierungssysteme im öffentlichen Raum, Mit Ausnahme sehr spezifischer Ausnahmen, wie etwa der Suche nach vermissten Personen oder der Abwehr schwerwiegender Gefahren für die öffentliche Sicherheit, können die Mitgliedstaaten ihre Verwendung genehmigen, sofern sie durch spezifische Verordnungen geregelt ist.
Die Verordnung verbietet insgesamt acht Praktiken, die als besonders schädlich für die Grundrechte angesehen werden : kognitive und emotionale Manipulation, Ausnutzung von Schwächen, soziale Bewertung, vorausschauende Einschätzung des kriminellen Risikos, Massenerfassung biometrischer Daten, Emotionserkennung, biometrische Kategorisierung von Personen und biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum.
Hohes Risiko
Wie erkennt man ein KI-System mit hohem Risiko?
Dabei handelt es sich um Systeme, die in systemrelevanten Bereichen wie Gesundheit, Sicherheit oder Bildung direkt zum Einsatz kommen.
Gemäß Artikel 6 der Verordnung ist ein KI-System mit hohem Risiko ein System, das zwei Bedingungen erfüllt:
Wenn es sich um ein Produkt handelt, das durch EU-Recht geregelt ist
Jedes KI-System, das als Teil der Produktsicherheit eingesetzt werden soll, oder bei dem es sich bei dem KI-System selbst um ein Produkt handelt, das unter die Harmonisierungsrechtsvorschriften der Union in Anhang I fällt;
Wann das Produkt einer Konformitätsbewertung durch Dritte unterzogen werden muss
Damit das Produkt auf den Markt gebracht oder in Betrieb genommen werden kann, muss es gemäß den Harmonisierungsrechtsvorschriften der Union in Anhang I von einer unabhängigen Stelle und nicht nur vom Hersteller bewertet werden.
Darüber hinaus werden die in Anhang III genannten Systeme als Systeme mit hohem Risiko betrachtet, es sei denn, sie stellen kein erhebliches Risiko dar oder beeinflussen die Entscheidungsfindung nicht direkt.
Die Anhänge des IA-Gesetzes
Die Anhänge des KI-Gesetzes sind von wesentlicher Bedeutung, da sie die Sektoren, Straftaten und Produkte definieren, die das Risikoniveau und die rechtlichen Verpflichtungen bestimmen, die für Systeme künstlicher Intelligenz in der EU gelten.
Davon gibt es insgesamt drei:
- ANHANG I: Darin sind EU-Gesetze aufgeführt, die auf die Harmonisierung nationaler Standards in zahlreichen Bereichen abzielen, darunter Zivilluftfahrt, Transport, Funkgeräte, Schiffe, Fahrzeuge, Spielzeug, Kraftstoffe, medizinische Geräte, Aufzüge und mehr.
- ANHANG II: listet eine Reihe schwerer Straftaten auf, um den Einsatz von KI-Systemen durch Behörden auf die Vorhersage oder Aufdeckung dieser Straftaten zu beschränken.
- ANHANG III: Es legt die Anwendungsbereiche fest, in denen der Einsatz eines künstlichen Intelligenzsystems als risikoreich eingestuft werden kann. Zu diesen Bereichen gehören:
- biometrische Systeme;
- kritische Infrastrukturen;
- Allgemeine und berufliche Bildung; Humanressourcen (einschließlich Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit);
- Zugang zu wesentlichen Dienstleistungen (wie Krankenversicherung, Notdiensten, Bankkrediten oder öffentlichen Leistungen);
- Sicherheitskräfte und -organe;
- Migrationsmanagement, Asyl und Grenzkontrolle;
- die Rechtspflege und demokratische Prozesse.
Kontrollen für Hochrisikosysteme
Kurz gesagt: Der Einsatz von KI-Systemen in den genannten Bereichen ist nicht verboten, muss aber aufgrund der möglichen Auswirkungen einer vorherigen Kontrolle unterzogen werden, um Transparenz, Produktzuverlässigkeit und die Achtung der Grundrechte zu gewährleisten.
Daher bestehen die Anforderungen an Hochrisikosysteme in Überwachungskontrollen, die unter Berücksichtigung ihres Zwecks Folgendes umfassen müssen:
- Risikomanagementsysteme.
- Automatische Aktivitätsprotokolle und Datenverwaltung auf Vorgänge, die ihre Rückverfolgbarkeit gewährleisten und ihre Überwachung erleichtern.
- Detaillierte technische Dokumentation zum Betrieb, der Entwicklung und dem Design des KI-Systems (Daten, Trainingsprozesse, Validierung).
- Klare und detaillierte Informationen das Transparenz und verständliche Informationen gewährleistet und eine verantwortungsvolle Nutzung durch den Benutzer ermöglicht.
- Menschliche Überwachungsmaßnahmen, und gegebenenfalls die Möglichkeit, in den Betrieb des Systems einzugreifen, einschließlich der Möglichkeit, seinen Betrieb anzuhalten.
- Grad an Präzision, Robustheit und Cybersicherheit die vor unberechtigtem Zugriff und Manipulation schützen.
- Kalibrierungsmanagementsysteme um die Einhaltung sicherzustellen.
Allzweck-KI-Modelle (GPAI)
Darüber hinaus sieht das KI-Gesetz allgemeine Modelle für künstliche Intelligenz (GPAI) vor, wie in Artikel 3 Absatz 63 definiert.
Dabei handelt es sich um mit großen Datenmengen trainierte Systeme, die nicht für eine bestimmte Aufgabe konzipiert sind, sondern für mehrere Zwecke und in mehreren Kontexten eingesetzt werden können, was sie zu potenziell risikoreichen Systemen macht.
Einige Beispiele für GPAI sind Tools zum Verfassen von Texten, Inhaltserstellung, Datenanalyse und Kundenservice.
Das heißt, Tools wie GPT-4 von OpenIA oder Gemini könnten innerhalb der EU einer verstärkten Regulierung unterliegen.
Diese Modelle zeichnen sich durch ein umfangreiches Training, eine bemerkenswerte Fähigkeit zur Durchführung einer breiten Palette von Aufgaben und eine hohe Wiederverwendbarkeit für verschiedene Produkte oder Dienstleistungen aus.
Ihre Relevanz liegt in ihrer Vielseitigkeit und ihrem Umfang , da sie neuartige, unvorhersehbare oder schwer zu kontrollierende Risiken erzeugen können.
Aus diesem Grund stellt das KI-Gesetz besondere Anforderungen, wenn von GPAIs ein systemisches Risiko ausgeht.
Insbesondere im Hinblick auf Transparenz, technische Dokumentation, Risikomanagement und im Falle systemischer Auswirkungsmodelle verstärkte Aufsichts- und Sicherheitsmaßnahmen (Artikel 55 der Verordnung).
begrenztes Risiko
Bei diesen KI-Systemen wird ein begrenztes Risiko angenommen, da sie bestimmte Transparenzpflichten erfordern.
Dies liegt daran, dass sie direkt mit realen Personen interagieren oder synthetische Inhalte wie Texte, Audio, Bilder oder Videos erzeugen, einschließlich solcher, die reale Personen, Objekte, Orte oder Entitäten realistisch imitieren (bekannt als „ Deepfake “- oder „Ultra-Impersonation“-Inhalte ).
In diesen Fällen verlangt die Verordnung, dass die Nutzer klar und verständlich darüber informiert werden, dass sie mit einem System künstlicher Intelligenz interagieren oder dass die Inhalte künstlich generiert oder manipuliert wurden.
Diese Verpflichtung soll Transparenz gewährleisten, Menschen vor Täuschung schützen und das Vertrauen in den Einsatz künstlicher Intelligenz stärken.
Minimales oder kein Risiko
Diese sind in den Verordnungen nicht explizit geregelt.
Die überwiegende Mehrheit der EU-Systeme fällt in diese Kategorie.
Pflichten für Unternehmen
Das KI-Gesetz legt einen differenzierten Rahmen von Verantwortlichkeiten für Unternehmen fest, abhängig von ihrer Rolle in Bezug auf ein künstliches Intelligenzsystem.
Die Verpflichtungen variieren auch je nach Risikograd des Systems: hoch, begrenzt oder minimal.
Für Anbieter
Die Verantwortung für die Entwicklung, Vermarktung oder Inbetriebnahme eines KI-Systems liegt bei den Anbietern.
Wenn das System ein hohes Risiko darstellt, müssen die oben genannten technischen und rechtlichen Anforderungen eingehalten werden.
GPAI-Anbieter können die Einhaltung der Vorschriften nachweisen, indem sie sich freiwillig an einen Verhaltenskodex halten.
Doch wer übernimmt die Verantwortung als Lieferant?
Nun, es ist nicht immer der Systementwickler.
Der Begriff „Anbieter“ ist im IA-Gesetz weit gefasst.
Als Lieferant gilt, wer:
- Setzen Sie Ihren Namen oder Ihre Marke auf ein bereits vermarktetes oder eingesetztes KI-System (ohne es direkt zu entwickeln).
- Ein bereits auf dem Markt befindliches System erheblich modifizieren;
- Ändern Sie den Zweck eines KI-Systems in einer Weise, die es aufgrund dieser Änderung zu einem Hochrisikosystem gemäß dieser Verordnung macht.
Für die Benutzer
Auch für Nutzer, also Unternehmen, Organisationen oder öffentliche Einrichtungen, die im Rahmen ihrer beruflichen Tätigkeit ein KI-System einsetzen, gelten eine Reihe von Pflichten, insbesondere wenn sie risikoreiche Systeme einsetzen.
Nutzer von KI-Systemen im Rahmen der Verordnung müssen:
- Verwenden Sie sie gemäß den Anweisungen des Lieferanten.
- Beauftragen Sie kompetentes Personal mit der entsprechenden menschlichen Betreuung.
- Stellen Sie die Qualität der Eingabedaten sicher.
- Bewahren Sie Aktivitätsprotokolle mindestens 6 Monate lang auf.
- Melden Sie schwerwiegende Vorfälle (erhebliche Schäden an Personen, Sachen oder Rechten) unverzüglich dem Lieferanten.
- Informieren Sie Betroffene klar und verständlich über die unmittelbaren Auswirkungen der Anwendung.
- Überprüfen Sie vor der Verwendung die Einhaltung gesetzlicher Vorschriften (CE-Kennzeichnung und Registrierungen).
- Informieren Sie Benutzer in Systemen mit begrenztem Risiko.
Allgemeine Fragen zum IA-Gesetz der Europäischen Union
Betrifft mich das EU-KI-Gesetz mit KI-Systemen mit geringem oder keinem Risiko?
Nein, das KI-Gesetz betrifft jedes Unternehmen, das KI in der EU entwickelt, nutzt oder vermarktet, unabhängig davon, ob es dort ansässig ist oder nicht.
Die Verpflichtungen variieren jedoch je nach Rolle des Unternehmens und Risikograd des Systems: Systeme mit hohem Risiko unterliegen strengen Anforderungen; Systeme mit begrenztem Risiko müssen Transparenz gegenüber den Nutzern gewährleisten; und Systeme mit minimalem oder Nullrisiko unterliegen keinen rechtlichen Verpflichtungen, obwohl die Anwendung freiwilliger bewährter Verfahren empfohlen wird.
Woher weiß ich, ob ich ein KI-Benutzer mit hohem Risiko bin?
Ein Nutzer eines KI-Systems mit hohem Risiko ist jemand, der ein System verwendet, das Entscheidungen, die Grundrechte betreffen (wie Bildung, Gesundheit, Beschäftigung, Zugang zu wesentlichen Dienstleistungen oder Justiz), direkt beeinflusst.
Integriert ein Unternehmen beispielsweise GPT-4 in einen Chatbot für Rekrutierungsprozesse und beeinflusst dieser Entscheidungen über die Einstellung oder Ablehnung von Kandidaten, muss es prüfen, ob dieser Einsatz in die in Anhang III des KI-Gesetzes festgelegten Hochrisikobereiche fällt.
In diesem Fall sollten Sie die Verpflichtungen erfüllen, die mit der Nutzung von Hochrisikosystemen einhergehen, wie etwa die Gewährleistung menschlicher Aufsicht, der Datenqualität und der Führung von Nutzungsprotokollen.
Was passiert, wenn die Voraussetzungen nicht erfüllt werden?
Die Nichteinhaltung des KI-Gesetzes kann Folgendes zur Folge haben:
- Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes (je nach Verstoß).
- Rücknahme vom Markt oder Aussetzung der Verwendung.
- Untersuchungen und Verwaltungssanktionen durch nationale Behörden.
- Reputations- und Rechtsrisiken durch die Verletzung grundlegender Rechte.
Ab wann gilt es?
Das KI-Gesetz wird gemäß Artikel 113 schrittweise umgesetzt. Zu den wichtigsten Terminen gehören:
2. Februar 2025:
Die Verbote für KI-Systeme mit inakzeptablem Risiko (Kapitel I und II) werden umgesetzt.
2. Mai 2025:
Die Europäische Kommission bereitet Verhaltenskodizes für Anbieter von GPAI-Modellen vor.
2. August 2025:
Folgendes tritt in Kraft:
- Standards für Bewertungsstellen für Hochrisikosysteme.
- Die Benennung der zuständigen nationalen Behörden in jedem Mitgliedstaat (Artikel 70).
- Pflichten für GPAI-Modellanbieter.
- Überprüfung des Governance- und Sanktionsregimes (Art. 112).
2. August 2026:
Die Kommission wird praktische Leitlinien für die Klassifizierung von Hochrisikosystemen und deren Überwachung nach der Markteinführung veröffentlichen.
August 2 2027
Frist für:
- Die Anbieter der vermarkteten GPAI-Modelle halten sich vollständig an das Gesetz.
- Die Mitgliedstaaten müssen Sanktionsregeln umsetzen und eine umfassende Regulierungsstruktur schaffen.
- Die Kommission führt jährlich eine Überprüfung der Verordnungen durch.
