EU-Vorgaben für Künstliche Intelligenz: Was Unternehmen wissen müssen

Künstliche Intelligenz hat in den letzten Jahren eine Geschwindigkeit der Verbreitung erreicht, die Gesetzgeber weltweit in Bedrängnis gebracht hat. Während Tech-Konzerne KI-Systeme in Rekordzeit in Produkte und Prozesse integrierten, fehlte ein rechtlicher Rahmen, der die Rechte der betroffenen Menschen schützt. Mit dem EU Artificial Intelligence Act – kurz EU AI Act – schließt die Europäische Union diese Lücke als erste Regulierungsbehörde der Welt. Was das für Unternehmen, Entwickler und Nutzer bedeutet, wie die Regulierung aufgebaut ist und was konkret zu tun ist, erklärt dieser umfassende Leitfaden.

Was ist der EU AI Act? Entstehung und Grundprinzipien

Der EU AI Act (Verordnung (EU) 2024/1689) wurde nach mehrjährigen Beratungen am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist am 1. August 2024 in Kraft getreten. Es handelt sich um eine EU-Verordnung – also geltendes Recht in allen 27 Mitgliedstaaten, ohne nationale Umsetzungsgesetze zu erfordern.

Das Grundprinzip ist risikobasiert: Nicht jede KI-Anwendung unterliegt denselben Anforderungen. Je größer das potenzielle Schadenspotenzial eines KI-Systems für Menschen, desto strenger sind die Anforderungen. Diese Proportionalität unterscheidet den EU AI Act von früheren Entwürfen, die eine einheitliche Regulierung für alle KI-Anwendungen vorsahen – ein Ansatz, der innovation-hemmend gewirkt hätte.

Die vier Risikostufen im Detail

Stufe 1: Verbotene KI-Praktiken (Art. 5 EU AI Act)

Am oberen Ende der Risikoskala stehen KI-Anwendungen, die ein so fundamentales Bedrohungspotenzial für Grundrechte darstellen, dass sie vollständig verboten sind. Diese Verbote gelten ab dem 2. Februar 2025. Zu den verbotenen Praktiken zählen:

Unterschwellige Manipulation: KI-Systeme, die Personen durch Techniken manipulieren, denen sie sich nicht bewusst sind (z.B. unterschwellige Bilder), um Verhalten zu beeinflussen, das dem Betroffenen oder anderen schaden kann.

Ausnutzung von Schwächen: KI, die Schwächen spezifischer Personengruppen ausnutzt – etwa von Kindern, älteren Menschen oder Personen mit Behinderungen – um ihr Verhalten so zu beeinflussen, dass es für sie schädlich ist.

Social-Scoring durch Behörden: Staatliche Bewertungs- und Klassifizierungssysteme, die das Sozialverhalten natürlicher Personen basierend auf KI bewerten und daraus Konsequenzen ziehen – das chinesische Social-Credit-Modell als Blaupause für das Verbotene.

Echtzeitfernidentifikation in öffentlichen Räumen: Mit wenigen eng definierten Ausnahmen für Strafverfolgung bei terroristischen Bedrohungen.

Stufe 2: Hochrisiko-KI-Systeme (Art. 6, Anhang I und III)

Hochrisiko-KI-Systeme dürfen eingesetzt werden, unterliegen aber strengen Anforderungen. Der EU AI Act definiert zwei Kategorien von Hochrisiko-Systemen:

Erstens: KI-Systeme als Sicherheitskomponenten in Produkten, die bereits unter bestehende Produktsicherheitsvorschriften fallen – etwa Medizinprodukte, Kraftfahrzeuge, Aufzüge oder Spielzeug.

Zweitens: KI-Systeme in acht spezifischen Anwendungsbereichen, die im Anhang III des Gesetzes aufgeführt sind: biometrische Identifikation und Kategorisierung, Verwaltung kritischer Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalmanagement (inkl. Bewerbungsauswahl), grundlegende private und öffentliche Dienste (Kreditwürdigkeitsprüfung, Sozialleistungen), Strafverfolgung, Migrationsmanagement sowie Justiz und demokratische Prozesse.

Für diese Systeme gelten folgende Kernpflichten: Einrichtung eines Risikomanagementsystems, Qualität der Trainingsdaten sicherstellen, technische Dokumentation führen, Protokollierungs- und Aufzeichnungspflichten erfüllen, Transparenzpflichten gegenüber Nutzern, menschliche Aufsicht gewährleisten, Genauigkeit und Robustheit sicherstellen sowie Registrierung in der EU-Datenbank für Hochrisiko-KI-Systeme.

Stufe 3: KI mit begrenztem Risiko (Transparenzpflichten)

KI-Systeme mit begrenztem Risiko unterliegen primär Transparenzpflichten. Das wichtigste Beispiel: Wenn Sie mit einem Chatbot oder einem KI-generierten Avatar interagieren, muss Ihnen offenbart werden, dass Sie es mit einer KI zu tun haben – nicht mit einem Menschen. Gleiches gilt für KI-generierte Bilder, Audio und Video (Deepfakes): Sie müssen als KI-generiert gekennzeichnet sein.

Diese Pflichten klingen einfach, haben aber erhebliche praktische Konsequenzen: Sprachassistenten, Kundenservice-Bots, KI-gestützte Empfehlungssysteme und Content-Generierungstools fallen in diese Kategorie. Wer solche Systeme einsetzt, ohne die Transparenzpflichten zu erfüllen, riskiert Bußgelder. Die Verbindung zum Thema Marketing-Automatisierung mit KI ist hier direkt: Automatisierte Marketing-E-Mails und Chatbots können unter diese Kategorie fallen.

Stufe 4: Minimales Risiko (keine spezifischen Anforderungen)

Die große Mehrheit aller KI-Anwendungen fällt in die Kategorie mit minimalem Risiko: KI-basierte Spam-Filter, KI in Videospielen, KI-gestützte Produktionsoptimierung ohne Personenbezug. Für diese Systeme gelten keine spezifischen Anforderungen des EU AI Act. Freiwillige Verhaltenskodizes und Selbstverpflichtungen werden jedoch empfohlen.

Zeitplan der Anwendung: Was wann gilt

Der EU AI Act tritt schrittweise in Kraft, um Unternehmen ausreichend Anpassungszeit zu geben. Der Zeitplan:

August 2024: Inkrafttreten der Verordnung

Februar 2025 (6 Monate nach Inkrafttreten): Verbote für inakzeptable Risiken gelten; Geltung der KI-Kompetenzanforderungen (Art. 4); Verhaltenskodizes für General Purpose AI beginnen

August 2025 (12 Monate): Regeln für General-Purpose-AI-Modelle (GPAI) gelten, einschließlich der Anforderungen für hochleistungsfähige Basismodelle wie GPT-4 oder Gemini

August 2026 (24 Monate): Hauptteil der Verordnung gilt, einschließlich Hochrisiko-Anforderungen für neue Systeme

August 2027 (36 Monate): Vollständige Anwendung, einschließlich Hochrisiko-KI als Sicherheitskomponenten in bestehenden Produkten

Sonderregeln für General-Purpose-AI (GPAI)

Eine besonders relevante Neuerung des EU AI Act betrifft sogenannte Allzweck-KI-Modelle (General Purpose AI Models, GPAI) – Basismodelle wie GPT, Gemini oder Llama, die für eine breite Palette von Aufgaben eingesetzt werden können. Für diese Modelle gelten ab August 2025 eigene Anforderungen:

Alle GPAI-Anbieter müssen technische Dokumentation bereitstellen, Urheberrechtsrichtlinien für Trainingsdaten veröffentlichen und eine Zusammenfassung der verwendeten Trainingsdaten zur Verfügung stellen. Für hochleistungsfähige GPAI-Modelle (definiert durch einen Rechenaufwand von mehr als 10^25 FLOPs beim Training, was derzeit Systemen wie GPT-4 entspricht) gelten zusätzliche Anforderungen: Modellbewertungen, Adversarial-Tests, Cybersicherheitsstandards und Meldepflichten bei schwerwiegenden Vorfällen.

Compliance-Anforderungen für Unternehmen: Was ist zu tun?

KI-Inventar erstellen

Als ersten Schritt sollten alle Unternehmen ein vollständiges Inventar aller eingesetzten KI-Systeme erstellen – ob selbst entwickelt oder als Drittanbieter-Lösung zugekauft. Für jedes System ist zu bestimmen: Welche Risikoklasse trifft zu? Wer ist im Sinne des EU AI Act Anbieter, Importeur, Händler oder Betreiber? Welche spezifischen Anforderungen gelten?

Governance-Strukturen aufbauen

Hochrisiko-KI-Systeme erfordern formale Governance: Einen benannten Verantwortlichen für KI-Compliance, ein dokumentiertes Risikomanagementsystem, regelmäßige Überprüfungen und ein Incident-Response-Verfahren. Für viele Unternehmen bedeutet das die Schaffung einer neuen Rolle – dem AI Compliance Officer, analog zum Datenschutzbeauftragten nach DSGVO.

Dokumentations- und Aufzeichnungspflichten

Der EU AI Act ist ein dokumentationsschweres Gesetz. Für Hochrisiko-Systeme sind unter anderem erforderlich: technische Dokumentation des KI-Systems, Beschreibung des Entwicklungsprozesses, Informationen zu Trainingsdaten und Validierungsverfahren, Überwachungs- und Protokollierungsmaßnahmen sowie Beschreibungen zur menschlichen Aufsicht. Diese Dokumentation muss für mindestens 10 Jahre nach dem letzten Inverkehrbringen aufbewahrt werden. Für umfassendere Compliance-Strategien ist ein Blick auf flexible Unternehmensstrukturen hilfreich, da Compliance-Anforderungen agile Organisationsformen erfordern.

Sanktionen und Durchsetzung

Der EU AI Act sieht ein gestuftes Sanktionssystem vor, das in seiner Strenge mit der DSGVO vergleichbar ist. Bußgelder für Verstöße gegen die verbotenen Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Verstöße gegen sonstige Anforderungen: bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes. Falsche Informationen gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes.

Für KMU und Startups gelten reduzierte Obergrenzen. Die Durchsetzung erfolgt über nationale Marktüberwachungsbehörden und ein zentrales EU-KI-Büro, das speziell für die Überwachung hochleistungsfähiger GPAI-Modelle zuständig ist.

Fazit: EU AI Act als Chance und Rahmen

Der EU AI Act ist zweifellos ein erheblicher Compliance-Aufwand – aber er ist auch eine Chance. Unternehmen, die KI verantwortungsvoll, transparent und menschzentriert einsetzen, differenzieren sich positiv. Das Vertrauen von Kunden, Partnern und der Öffentlichkeit in KI-Systeme, die nachweislich regulatorischen Standards entsprechen, ist ein echter Wettbewerbsvorteil. Nutzen Sie die Übergangsfristen, um strukturiert vorzugehen – und betrachten Sie KI-Compliance nicht als Bürokratie, sondern als Investition in nachhaltiges digitales Vertrauen.

Häufig gestellte Fragen

Gilt der EU AI Act auch für Unternehmen außerhalb der EU?

Ja, ähnlich wie die DSGVO hat der EU AI Act extraterritoriale Wirkung. Er gilt für jeden Anbieter, der KI-Systeme in der EU in Verkehr bringt oder in Betrieb nimmt, sowie für Betreiber von KI-Systemen mit Sitz in der EU. Auch wenn das Unternehmen außerhalb der EU sitzt, gilt das Gesetz, sobald die KI-Systeme EU-Bürger betreffen. US- und asiatische Tech-Unternehmen, die in Europa tätig sind, müssen vollständig comply.

Wie unterscheidet sich der EU AI Act von der DSGVO?

Beide Gesetze schützen Grundrechte, haben aber unterschiedliche Schutzgegenstände: Die DSGVO schützt personenbezogene Daten; der EU AI Act schützt vor den Risiken von KI-Entscheidungen und -Systemen. KI-Systeme können beide Regularien gleichzeitig berühren – etwa ein KI-Bewerbungsauswahlsystem, das Personendaten verarbeitet und eine Hochrisiko-Anwendung darstellt. In solchen Fällen müssen beide Gesetze parallel eingehalten werden.

Was müssen KMU bis Februar 2025 konkret getan haben?

Bis Februar 2025 müssen alle Unternehmen sicherstellen, dass sie keine der verbotenen KI-Praktiken einsetzen. Praktisch bedeutet das: KI-Inventar erstellen, alle Marketing-, HR- und Kundenservice-KI-Tools auf verbotene Manipulationstechniken prüfen und Social-Scoring-Elemente identifizieren und abschalten. Alle weiteren Anforderungen (Hochrisiko-Dokumentation etc.) haben bis August 2026 Zeit – aber frühzeitige Vorbereitung zahlt sich aus.