EU AI Act

Verordnung der Europäischen Union zur risikobasierten Regulierung von KI-Systemen, die Pflichten entlang von Risikoklassen festlegt und ab 2024 schrittweise in Kraft tritt.

Definition

Der EU AI Act ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz. Sie wurde am 13. Juni 2024 unterzeichnet, im Amtsblatt der EU vom 12. Juli 2024 veröffentlicht und trat am 1. August 2024 in Kraft. Der AI Act ist die erste umfassende horizontale KI-Regulierung weltweit und gilt unmittelbar in allen Mitgliedstaaten.

Die Verordnung verfolgt einen risikobasierten Ansatz: Pflichten richten sich nach dem Schadenspotenzial des Systems, nicht nach der zugrunde liegenden Technologie. Ziel ist ein einheitlicher Binnenmarkt für vertrauenswürdige KI, der Grundrechte schützt, ohne Innovation zu verhindern. Der AI Act ergänzt bestehende sektorale Regelungen (Medizinprodukte, Maschinen, Fahrzeuge) und steht neben der DSGVO.

Geschichte

Erste Vorschläge zur KI-Regulierung skizzierte die EU-Kommission 2018 in ihrer Mitteilung zur KI-Strategie. 2020 folgte das Weissbuch zur KI, 2021 der Entwurf der Verordnung. Nach intensiven Trilog-Verhandlungen zwischen Rat, Parlament und Kommission, die ab Ende 2023 vor allem um die Regulierung generativer Modelle kreisten, einigten sich die Institutionen am 8. Dezember 2023 politisch. Das Parlament stimmte dem Text am 13. März 2024 zu, der Rat billigte ihn am 21. Mai 2024, und am 13. Juni 2024 wurde der Rechtsakt unterzeichnet.

Die Verordnung tritt gestaffelt in Kraft. Verbotene Praktiken gelten ab dem 2. Februar 2025, Pflichten für General-Purpose-AI-Modelle ab dem 2. August 2025, der Grossteil der Hochrisiko-Regeln ab dem 2. August 2026. Bestimmte Hochrisiko-Komponenten in Produkten mit eigenen Zulassungspflichten (etwa Medizinprodukte) folgen bis zum 2. August 2027. Parallel etabliert die Kommission das AI Office und einen Code of Practice für General-Purpose-AI.

Praxis und Anwendung

Der AI Act ordnet Anwendungen in vier Stufen, an die sich Pflichten knüpfen:

Verbotene Praktiken (Artikel 5): Social Scoring durch Behörden, manipulative oder ausbeuterische Systeme, biometrische Echtzeit-Identifikation in öffentlichen Räumen mit engen Ausnahmen, Emotionserkennung am Arbeitsplatz oder in Bildung, ungezieltes Scraping biometrischer Daten.
Hochrisiko (Anhang III und sektorale Anhänge): Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu privaten und öffentlichen Diensten, Strafverfolgung, Migration, Justiz.
Transparenzpflichten (Artikel 50): Kennzeichnung von KI-generierten Inhalten, Deepfakes, Chatbots; Offenlegung, wenn Personen mit KI interagieren.
Allgemeines Risiko: keine spezifischen Pflichten, freiwillige Codes of Conduct.

General-Purpose-AI-Modelle (GPAI) haben einen eigenen Pflichtenkatalog: Modellprofil, technische Dokumentation, Trainingsdaten-Zusammenfassung, Urheberrechtskonformität. Für Modelle mit systemischem Risiko (Schwelle: 10^25 FLOPs Training oder Designation durch das AI Office) kommen Evaluations, Adversarial Testing, Incident Reporting und Cybersicherheitsmassnahmen hinzu. Anbieter wie OpenAI, Anthropic, Google, Meta und Mistral sind direkt adressiert.

Die Praxis erfordert ein KI-Governance-System: Inventar aller eingesetzten KI-Systeme, Risikoklassifikation, Verträge mit Anbietern, technische Dokumentation, Logging, Mitarbeitendenschulung und Konformitätsbewertung. Betreiber von Hochrisiko-Systemen führen eine Folgenabschätzung für Grundrechte (FRIA) durch.

Häufige Fehler

Risikoklasse falsch bestimmt: Wer Hochrisiko-Anwendungen als allgemein einstuft, erfüllt die Pflichten nicht und riskiert Bussgelder.
Anbieter- und Betreiberrolle vermischt: Pflichten unterscheiden sich. Wer ein GPAI-Modell finetuned und veröffentlicht, kann selbst zum Anbieter werden.
GPAI-Pflichten ignoriert: Auch Open-Source-Anbieter haben Pflichten, mit Ausnahmen für nicht-systemische Modelle ohne Monetarisierung.
Nur DSGVO erfüllt: AI Act und DSGVO gelten kumulativ, beide brauchen eigene Prozesse.
Logging vergessen: Hochrisiko-Systeme müssen automatisierte Logs vorhalten; ohne Logs ist die Konformitätsbewertung kaum möglich.

Abgrenzung

DSGVO: schützt personenbezogene Daten. Der AI Act regelt Produktsicherheit und Marktzugang von KI-Systemen.
Digital Services Act (DSA): regelt Plattformpflichten zu Inhalten. Der AI Act regelt die zugrunde liegenden KI-Systeme.
Digital Markets Act (DMA): regelt Marktmacht digitaler Gatekeeper. Der AI Act ist technologie-, nicht marktbezogen.
Produkthaftungsrichtlinie und KI-Haftungs-Initiative: ergänzen den AI Act um zivilrechtliche Haftungsregeln.
NIST AI Risk Management Framework (USA): freiwilliger Standard. Der AI Act ist verbindliches Recht mit Bussgeldern.

Weiter im KI-Lexikon

← Zurück zum Lexikon

Häufige Fragen

Was ist der EU AI Act?+

Der EU AI Act ist die Verordnung (EU) 2024/1689 der Europäischen Union, die KI-Systeme risikobasiert reguliert. Sie definiert verbotene Praktiken, Hochrisiko-Anwendungen, Transparenzpflichten für generative Systeme sowie Regeln für General-Purpose-AI-Modelle. Die Verordnung ist seit dem 1. August 2024 in Kraft und entfaltet ihre Wirkung in mehreren Stufen bis 2027.

Welche Risikoklassen kennt der AI Act?+

Vier Stufen: verbotene Praktiken (z. B. Social Scoring durch Behörden, manipulative Systeme), Hochrisiko-Systeme (z. B. Biometrie, kritische Infrastruktur, Bildung, Beschäftigung), Systeme mit Transparenzpflichten (z. B. Chatbots, Deepfakes) und Systeme mit minimalem Risiko ohne spezifische Pflichten. Hinzu kommen separate Regeln für General-Purpose-AI-Modelle.

Wann gelten die einzelnen Pflichten?+

Die verbotenen Praktiken gelten seit dem 2. Februar 2025. Pflichten für General-Purpose-AI-Modelle gelten seit dem 2. August 2025. Die meisten Hochrisiko-Pflichten greifen ab dem 2. August 2026, einige weitere bis 2027. Anbieter und Betreiber sollten sich entlang der Stichdaten organisieren.

Wer ist Adressat der Vorschriften?+

Adressiert werden Anbieter (Provider), Betreiber (Deployer), Importeure und Distributoren von KI-Systemen, die in der EU in Verkehr gebracht oder genutzt werden. Auch Anbieter ausserhalb der EU sind betroffen, wenn ihre Ausgaben in der EU verwendet werden. Bevollmächtigte in der EU sind in solchen Fällen Pflicht.

Was sind die Pflichten für Hochrisiko-Systeme?+

Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz gegenüber Nutzern, menschliche Aufsicht, Robustheit, Cybersicherheit, Konformitätsbewertung sowie Registrierung in der EU-Datenbank. Betreiber haben zusätzlich Pflichten zur sachgemässen Verwendung und Überwachung.

Was gilt für General-Purpose-AI-Modelle?+

Anbieter müssen technische Dokumentation, ein Modellprofil, Trainingsdaten-Zusammenfassungen und Massnahmen zum Urheberrecht bereitstellen. Für Modelle mit systemischem Risiko (Trainingsrechenaufwand über 10^25 FLOPs oder Designation durch die Kommission) gelten verschärfte Pflichten: Evaluations, Incident Reporting, Cybersicherheit.

Welche Sanktionen drohen bei Verstössen?+

Bussgelder bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstoss gegen verbotene Praktiken, bis 15 Mio. Euro oder 3 Prozent für andere Pflichten, bis 7,5 Mio. Euro oder 1 Prozent für falsche Angaben. Die Höhe orientiert sich an Schwere, Dauer und Vorsatz. Nationale Marktüberwachungsbehörden setzen die Verordnung durch.

Wie verhält sich der AI Act zur DSGVO?+

Beide Verordnungen gelten kumulativ. Der AI Act regelt Produktsicherheit und Marktzugang von KI-Systemen, die DSGVO den Schutz personenbezogener Daten. Wer ein KI-System mit Personendaten betreibt, muss beide Regimes erfüllen. Hochrisiko-Systeme verlangen in der Regel eine Datenschutz-Folgenabschätzung zusätzlich zur AI-Act-Konformität.

Quellen

Verordnung (EU) 2024/1689 (AI Act), Amtsblatt der EU
Europäische Kommission, AI Act FAQ und Leitlinien
EU AI Office, Code of Practice for General-Purpose AI

Wikidata: Q108456694 · Zuletzt geprüft: 2026-07-02