EU AI Act
Englisch: EU AI Act (Artificial Intelligence Act)
EU AI Act ist die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz. Die Verordnung verfolgt einen risikobasierten Ansatz und unterscheidet vier Risikostufen: unannehmbares, hohes, begrenztes und minimales Risiko. Artikel 5 verbietet bestimmte KI-Praktiken wie Social Scoring durch öffentliche Stellen oder manipulative Techniken. Artikel 6 definiert Hochrisiko-KI-Systeme, für die nach Artikel 9 ein Risikomanagementsystem über den gesamten Lebenszyklus einzurichten ist. Für Allzweck-KI-Modelle enthält Kapitel V eigene Pflichten. Der EU AI Act trat am 1. August 2024 in Kraft und wird gestaffelt bis zum 2. August 2027 vollständig anwendbar.
Normative Grundlage: Verordnung (EU) 2024/1689 Artikel 1 und 3
Hintergrund und normative Einordnung
Der EU AI Act ist das erste umfassende Gesetzeswerk weltweit zur Regulierung Künstlicher Intelligenz. Rechtsgrundlage ist Artikel 114 AEUV zur Harmonisierung des Binnenmarkts. Die Verordnung wurde am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat nach Artikel 113 am 1. August 2024 in Kraft. Ziel ist laut Artikel 1 die Förderung einer vertrauenswürdigen, menschenzentrierten KI bei gleichzeitigem Schutz von Gesundheit, Sicherheit und Grundrechten. Der Anwendungsbereich nach Artikel 2 umfasst Anbieter, Betreiber, Einführer und Händler von KI-Systemen, sofern diese in der Union in Verkehr gebracht, in Betrieb genommen oder ihre Ergebnisse in der Union genutzt werden.
Für deutsche Unternehmen entsteht eine neue Compliance-Ebene, die sich mit bestehenden Rahmen wie der DSGVO, der NIS-2-Richtlinie und branchenspezifischen Vorgaben verzahnt. Die Bundesnetzagentur wird voraussichtlich die nationale Marktüberwachungsbehörde, das Bundesamt für Sicherheit in der Informationstechnik liefert bereits flankierende Leitfäden zu sicherer und nachvollziehbarer KI. Als strukturelle Antwort empfiehlt sich ein KI-Managementsystem nach ISO/IEC 42001, das die Pflichten aus Artikel 9, Artikel 17 und Artikel 72 organisatorisch abbildet. SECURAM begleitet Unternehmen bei der Betroffenheitsanalyse, der Klassifizierung ihrer KI-Systeme und dem Aufbau eines revisionssicheren AIMS im Rahmen der EU-AI-Act-Beratung.
Normative Bezüge:
Vorgehen in der Praxis
Die Umsetzung des EU AI Act folgt in der Praxis einem vierstufigen Vorgehen. Es orientiert sich an den Pflichten für Anbieter und Betreiber aus Kapitel III sowie an den Governance-Funktionen des NIST AI Risk Management Framework, die sich methodisch gut mit ISO/IEC 42001 verbinden lassen.
Die Betroffenheitsanalyse nach Artikel 2 und die Klassifizierung nach Artikel 6 sind die wirtschaftlich entscheidenden Schritte, weil sie den Umfang aller nachgelagerten Pflichten vorgeben.
Abgrenzung zu verwandten Begriffen
| Begriff | Fokus | Verhältnis zu EU AI Act |
|---|---|---|
| DSGVO (Verordnung (EU) 2016/679) | Schutz personenbezogener Daten | Die DSGVO regelt die Verarbeitung personenbezogener Daten unabhängig vom eingesetzten Werkzeug. Der EU AI Act regelt das KI-System als Produkt. Beide Regelwerke gelten nebeneinander. Artikel 26 Absatz 9 EU AI Act verpflichtet Betreiber zu einer Grundrechte-Folgenabschätzung, die eng mit der Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO verzahnt ist. |
| ISO/IEC 42001:2023 | AI-Management-System nach internationalem Standard | ISO/IEC 42001 liefert das organisatorische Rahmenwerk, mit dem die Pflichten des EU AI Act revisionssicher umgesetzt werden. Die Norm ist ein freiwilliger Standard, der EU AI Act ist verbindliches Unionsrecht. ISO/IEC 42001 ist das Wie, der EU AI Act das Was. |
| NIS-2-Richtlinie (EU) 2022/2555 | Cybersicherheit für wesentliche und wichtige Einrichtungen | Die NIS-2-Richtlinie adressiert die Cybersicherheit von Netz- und Informationssystemen. Der EU AI Act adressiert Sicherheit und Grundrechte beim Einsatz von KI. Für NIS-2-Adressaten, die Hochrisiko-KI einsetzen, überlappen sich die Pflichten aus Artikel 21 NIS-2 und Artikel 15 EU AI Act im Bereich Cybersicherheit. |
Typische Fehler und wie ihr sie vermeidet
- KI-Inventar fehlt oder ist unvollständig: Ohne ein vollständiges Verzeichnis aller eingesetzten KI-Systeme lässt sich die Betroffenheit nach Artikel 2 nicht belastbar feststellen. Fehlendes Inventar ist in der Praxis die häufigste Ursache für verspätete Compliance-Programme.
- Rolle Anbieter versus Betreiber falsch eingeordnet: Wer ein vortrainiertes Modell einkauft, wesentlich verändert oder unter eigener Marke anbietet, kann nach Artikel 25 zum Anbieter werden. Die Folge sind alle Pflichten aus Artikel 16. Die Rollenprüfung nach Artikel 3 Nr. 3 und 4 wird oft unterschätzt.
- Transparenzpflichten nach Artikel 50 ignoriert: Für Chatbots, Emotionserkennung, biometrische Kategorisierung und synthetische Inhalte gelten Transparenzpflichten nach Artikel 50 unabhängig von der Hochrisiko-Einstufung. Auch Systeme mit begrenztem Risiko benötigen eine klare Kennzeichnung.
- Grundrechte-Folgenabschätzung nicht durchgeführt: Betreiber, die unter Artikel 26 Absatz 9 und Artikel 27 fallen, müssen vor der erstmaligen Nutzung eines Hochrisiko-Systems eine Grundrechte-Folgenabschätzung durchführen. Das Versäumnis führt zu Bußgeldern nach Artikel 99.
Relevanz im regulatorischen Kontext
Die Geltung des EU AI Act ist nach Artikel 113 gestaffelt. Ab dem 2. Februar 2025 gelten Kapitel I mit den allgemeinen Bestimmungen und Kapitel II mit den verbotenen Praktiken nach Artikel 5. Ab dem 2. August 2025 greifen die Pflichten für Allzweck-KI-Modelle nach Kapitel V, die Governance-Struktur nach Kapitel VII und die Sanktionsvorschriften nach Artikel 99 und 100. Ab dem 2. August 2026 wird der Hauptteil der Verordnung einschließlich der Pflichten für Hochrisiko-Systeme nach Anhang III anwendbar. Der 2. August 2027 markiert die Anwendung von Artikel 6 Absatz 1 und Anhang I für in Produkte eingebettete Hochrisiko-KI.
Sanktionen sind in Artikel 99 gestaffelt. Für Verstöße gegen die verbotenen Praktiken nach Artikel 5 drohen die höchsten Bußgelder im Verhältnis zum weltweiten Jahresumsatz, gefolgt von Verstößen gegen die Pflichten für Hochrisiko-Systeme und falschen oder unvollständigen Angaben an Behörden. Die Marktüberwachung erfolgt nach Artikel 74 durch national benannte Stellen. Auf Unionsebene koordiniert das AI Office die Aufsicht über Allzweck-KI-Modelle und erlässt nach Artikel 96 Leitlinien zur Durchführung.
Häufige Fragen
Was ist der EU AI Act in einem Satz?
Ab wann gilt der EU AI Act für mein Unternehmen?
Welche Rolle spielt ISO/IEC 42001 beim EU AI Act?
Quellen & weiterführende Literatur
- Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für Künstliche Intelligenz (eur-lex.europa.eu)
- Verordnung (EU) 2024/1689 Konsolidierte Fassung im Amtsblatt L vom 12. Juli 2024 (eur-lex.europa.eu)
- Europäische Kommission AI Act Regulatory Framework on Artificial Intelligence (digital-strategy.ec.europa.eu)
- ISO/IEC 42001:2023 Information technology Artificial intelligence Management system (iso.org)