Der AI Act ist die europäische Verordnung zur Regelung künstlicher Intelligenz nach Risikostufen. Er verbietet eine Reihe von Anwendungen gänzlich, stellt hohe Anforderungen an Systeme mit hohem Risiko, fordert Transparenz bei der Interaktion von Systemen mit Menschen oder der Generierung von Inhalten und lässt Systeme mit minimalem Risiko frei.
Rechtliche Grundlage
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und wird stufenweise angewendet. Die verbotenen Praktiken gelten seit dem 2. Februar 2025, die Regeln für allgemeine KI seit dem 2. August 2025 und die Transparenzpflichten gemäß Artikel 50 seit dem 2. August 2026. Die Verordnung (EU) 2026/1744, bekannt als digitale Omnibusverordnung, verschob die Hochrisikoregelung: Die Anforderungen für Anträge nach Anhang III gelten ab dem 2. Dezember 2027 und die für Anhang I ab dem 2. August 2028. Systeme, die bereits vor August 2026 im Einsatz waren, haben bis Dezember 2030 Zeit. Diese Verschiebung betrifft ausschließlich die Hochrisikoregelung; die übrigen Verpflichtungen gelten unverändert.
Wie es in der Praxis funktioniert
Die erste Frage ist nicht, welches Risikoniveau zutrifft, sondern welche Rolle Sie einnehmen. Sind Sie ein Anbieter, der ein System unter eigenem Namen vermarktet, oder ein Implementierer? Für beide Rollen gelten unterschiedliche Pflichten. Wer ein bestehendes Modell anpasst und unter eigener Marke anbietet, gilt als Anbieter. Die Klassifizierung sieht folgendermaßen aus: Rekrutierung und Auswahl, Kreditwürdigkeitsprüfung, Versicherung und Zugang zu Bildung fallen alle unter Anhang III. Unabhängig vom Risikoniveau besteht seit Februar 2025 die Pflicht, sicherzustellen, dass die mit diesen Systemen arbeitenden Mitarbeiter über ausreichende KI-Kenntnisse verfügen.
Wo es schiefgeht
Der größte Irrtum besteht darin, dass die Verschiebung alles verändert habe. Verbotene Praktiken, Transparenzvorschriften und die Regeln für allgemeine Modelle gelten weiterhin. Ein zweiter Fehler ist das Fehlen einer Bestandsaufnahme: Viele Organisationen wissen nicht, welche KI bereits über Standardsoftware in ihre Prozesse Einzug gehalten hat. Drittens wird der Bezug zur DSGVO unterschätzt; ein System, das dem Gesetz entspricht, ist dennoch rechtswidrig, wenn keine Rechtsgrundlage für die Verarbeitung besteht.
Verwandte Begriffe
Das Gesetz stellt eine Verbindung zur Datenschutz-Folgenabschätzung , zur Datenverarbeitungsvereinbarung mit Ihrem KI-Lieferanten und zum Urheberrecht in Bezug auf Trainingsdaten her.
Weiterführende Literatur
Mehr zu diesem Thema: Navigieren durch den EU-KI-Gesetz: Ein Leitfaden für Ihr Unternehmen , Der EU-KI-Gesetz: Was er erfordert und wann er gilt , Der EU-KI-Gesetz (Verordnung (EU) 2024/1689): Ein praktischer Leitfaden für 2026.
Möchten Sie Ihre KI-Anwendungen bewerten lassen? Unsere IT-Rechtsexperten ordnen Rolle, Risikoniveau und Pflichten zu.
