EU AI Act
Der EU AI Act, Verordnung 2024/1689, ist das europäische KI-Gesetz. Es stuft KI-Systeme nach Risiko ein und gilt stufenweise seit 2025.
Der EU AI Act ist die Verordnung 2024/1689 des Europäischen Parlaments und des Rates über künstliche Intelligenz. Sie wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat am 1. August 2024 in Kraft. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzung.
Kern ist ein risikobasierter Ansatz. Bestimmte Praktiken sind verboten, etwa manipulative Systeme oder Social Scoring durch Behörden. Hochrisiko-Systeme, zum Beispiel in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur, unterliegen umfangreichen Pflichten zu Risikomanagement, Dokumentation, Aufsicht und Genauigkeit. Systeme mit begrenztem Risiko haben Transparenzpflichten, etwa die Kennzeichnung von KI-Interaktionen und KI-erzeugten Inhalten. Die große Mehrheit der Anwendungen, darunter Assistenten für Büroarbeit, fällt in keine dieser Klassen und bleibt weitgehend ohne spezifische Pflichten.
Die Pflichten gelten gestaffelt. Seit dem 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz nach Artikel 4. Seit dem 2. August 2025 gelten die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Vorschriften zu Behörden und Sanktionen. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50. Die Pflichten für Hochrisiko-Systeme wurden durch eine 2026 verabschiedete Änderungsverordnung verschoben, auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I.
Die Verordnung unterscheidet Anbieter, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreiber, die es in eigener Verantwortung nutzen. Ein Unternehmen, das eine KI-Anwendung einkauft und einsetzt, ist Betreiber. Für Betreiber sind vor allem die Kompetenzpflicht, die Transparenzpflichten und bei Hochrisiko-Systemen die Betreiberpflichten nach Artikel 26 relevant.
Was das für Ihr Unternehmen bedeutet
Für den Mittelstand bedeutet der AI Act zunächst zwei Dinge: die eigenen KI-Anwendungen einordnen, um zu wissen, ob eine der Risikoklassen betroffen ist, und die Mitarbeitenden schulen, weil die Kompetenzpflicht unabhängig von der Risikoklasse gilt. Wer KI für Recherche, Textentwürfe und Dokumentenfragen nutzt, hat in der Regel keine Hochrisiko-Anwendung, sollte die Einordnung aber dokumentieren.