EU-KI-Verordnung: Verordnung über künstliche Intelligenz (EU 2024/1689)

Die EU-KI-Verordnung ist der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Sie wurde 2024 verabschiedet und verfolgt einen risikobasierten Ansatz für die KI-Governance, indem sie KI-Systeme in vier Risikoklassen einteilt: unannehmbares Risiko (verboten), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend unreguliert). Die Verordnung gilt für Anbieter, Betreiber, Einführer und Händler von KI-Systemen, die in der EU in Verkehr gebracht werden oder deren Ergebnisse in der EU verwendet werden. Sie führt verbindliche Anforderungen für Hochrisiko-KI-Systeme ein, darunter Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht sowie Standards für Genauigkeit und Robustheit. Die Verordnung regelt außerdem KI-Modelle mit allgemeinem Verwendungszweck, einschließlich Basismodellen und generativer KI, mit besonderen Pflichten für Modelle mit systemischem Risiko.

1. Anbieter von KI-Systemen, die KI-Systeme entwickeln oder entwickeln lassen, um sie in der EU in Verkehr zu bringen, unabhängig davon, ob sie in der EU niedergelassen sind.
2. Betreiber (Nutzer) von KI-Systemen in der EU, einschließlich Unternehmen und Behörden, die KI-Systeme in ihrer Tätigkeit einsetzen.
3. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, einschließlich Basismodellen und großer Sprachmodelle, mit verschärften Pflichten für Modelle mit systemischen Risiken.
4. Einführer und Händler von KI-Systemen auf dem EU-Markt, die die Konformität sicherstellen müssen, bevor sie Systeme bereitstellen.

1. 01

   Risikoeinstufung

   Organisationen müssen ihre KI-Systeme nach den Risikoklassen der Verordnung einstufen. Zu den Hochrisiko-KI-Systemen gehören Systeme, die in kritischer Infrastruktur, Bildung, Beschäftigung, Strafverfolgung, Migration und Rechtspflege eingesetzt werden.

2. 02

   Risikomanagementsystem

   Anbieter von Hochrisiko-KI müssen während des gesamten Lebenszyklus des KI-Systems ein kontinuierliches Risikomanagementsystem betreiben, das Risiken ermittelt, analysiert, abschätzt und bewertet und geeignete Maßnahmen zu ihrer Minderung trifft.

3. 03

   Daten-Governance

   Trainings-, Validierungs- und Testdatensätze für Hochrisiko-KI müssen Qualitätskriterien wie Relevanz, Repräsentativität, Fehlerfreiheit und Vollständigkeit erfüllen, mit besonderen Bestimmungen zur Erkennung und Minderung von Verzerrungen.

4. 04

   Transparenz und menschliche Aufsicht

   Hochrisiko-KI-Systeme müssen so konzipiert sein, dass eine wirksame menschliche Aufsicht möglich ist, und klare Gebrauchsanweisungen bereitstellen. In bestimmten Kontexten müssen Nutzer darüber informiert werden, dass sie mit KI-Systemen interagieren.

5. 05

   Technische Dokumentation

   Anbieter von Hochrisiko-KI-Systemen müssen eine umfassende technische Dokumentation erstellen, die die Konformität belegt, einschließlich Systemarchitektur, Entwicklungsmethodik, Trainingsverfahren und Testergebnissen.

6. 06

   Konformitätsbewertung

   Hochrisiko-KI-Systeme müssen vor dem Inverkehrbringen ein Konformitätsbewertungsverfahren durchlaufen; für einige Kategorien ist eine Bewertung durch notifizierte Stellen erforderlich.

Die EU-KI-Verordnung sieht ein gestaffeltes Sanktionssystem vor. Verstöße im Zusammenhang mit verbotenen KI-Praktiken können Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes nach sich ziehen. Bei Nichteinhaltung der Pflichten für Hochrisiko-KI drohen Bußgelder von bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes. Die Übermittlung falscher oder irreführender Informationen an Behörden kann Bußgelder von bis zu 7,5 Mio. € oder 1 % des weltweiten Umsatzes zur Folge haben. Für KMU und Start-ups gelten verhältnismäßige Obergrenzen. Die Mitgliedstaaten müssen zudem Sanktionsvorschriften für andere Verstöße erlassen und sicherstellen, dass die Durchsetzungsmechanismen wirksam, verhältnismäßig und abschreckend sind.

1. Juli 2024

   Die KI-Verordnung wird am 12. Juli 2024 im Amtsblatt veröffentlicht; in Kraft seit 1. August 2024.

2. Feb. 2025

   Die Verbote von KI-Praktiken mit unannehmbarem Risiko werden anwendbar.

3. Aug. 2025

   Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck werden anwendbar.

4. Juli 2026

   Der digitale Omnibus zur KI (Verordnung (EU) 2026/1744) wird angenommen und verschiebt die Hochrisiko-Fristen.

5. Aug. 2026

   Allgemeine Anwendung der Verordnung, einschließlich der Transparenzpflichten nach Artikel 50.

6. Dez. 2026

   Neue Verbote gelten für KI, die intime Bilder ohne Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugt.

7. Dez. 2027

   Die Hochrisiko-Pflichten gelten für Systeme nach Anhang III.

8. Aug. 2028

   Die Hochrisiko-Pflichten gelten für Produkte nach Anhang I.