Wenn du in der Europäischen Union lebst und KI-gestützte Produkte oder Dienstleistungen für persönliche oder geschäftliche Zwecke nutzt, wird dich das EU-KI-Gesetz wahrscheinlich auf die eine oder andere Weise betreffen.

Vielleicht hast du bereits eine seiner Auswirkungen gesehen: Kategorien oder Hinweise auf Plattformen wie Instagram oder TikTok(neues Fenster), die anzeigen, dass ein Bild, ein Video, ein Audioclip oder andere Inhalte mit KI generiert oder manipuliert wurden. Diese wurden im August 2026 im Rahmen der Transparenzvorschriften des EU-KI-Gesetzes anwendbar und sind Teil eines viel umfassenderen Gesetzes, das stufenweise eingeführt wird.

Das EU-KI-Gesetz verbietet auch bestimmte Nutzungen von KI, stellt strenge Anforderungen an Systeme, die als Hochrisiko gelten, und legt Regeln für Unternehmen fest, die KI entwickeln, bereitstellen oder nutzen, wobei verschiedene Bestimmungen zu unterschiedlichen Zeiten in Kraft treten.

Was genau ist also das EU-KI-Gesetz, welche KI-Systeme deckt es ab und was bedeutet es für dich oder dein Unternehmen? Hier ist das, was du wissen musst.

Was ist das EU-KI-Gesetz?

Das EU-KI-Gesetz ist das Gesetz der Europäischen Union zur Regulierung künstlicher Intelligenz. Formell als Verordnung (EU) 2024/1689 bekannt, ist es sein Ziel, KI sicherer, transparenter, vertrauenswürdiger und menschenzentrierter zu machen, während Grundrechte geschützt und Innovation sowie die Nutzung von KI in der EU ermöglicht werden.

Einfach ausgedrückt kannst du dir das EU-KI-Gesetz wie die GDPR für KI vorstellen, obwohl es andere Dinge regelt: Die GDPR regelt in erster Linie, wie personenbezogene Daten erhoben und verarbeitet werden, während das EU-KI-Gesetz regelt, wie KI-Systeme entwickelt, bereitgestellt und genutzt werden, insbesondere wenn sie die Rechte, die Sicherheit oder wichtige Lebensentscheidungen von Menschen betreffen könnten.

Wie KI-Risiken nach dem Gesetz über künstliche Intelligenz der EU behandelt werden

Anstatt alle KI auf die gleiche Weise zu regulieren, verfolgt das EU-KI-Gesetz einen risikobasierten Ansatz, der in vier Stufen unterteilt werden kann:

  • Unannehmbar (verboten)
  • Hohes Risiko
  • Begrenztes Risiko (Transparenzrisiko)
  • Geringes oder kein Risiko

Die ersten acht Verbote traten im Februar 2025 in Kraft, während das letzte im Dezember 2026 in Kraft tritt.

Generell gilt: Je größer der potenzielle Schaden ist, den ein KI-System verursachen kann, desto strenger sind die Regeln. Das Gesetz definiert formell keine vier „Risikostufen“, aber seine Regeln werden oft in vier breite Gruppen eingeordnet, um sie verständlicher zu machen.

Die unten stehenden Praxisbeispiele sind keine Fälle, die nach dem EU-KI-Gesetz verhandelt wurden. Stattdessen veranschaulichen sie die Arten von Schäden oder Nutzungen, die das KI-Gesetz in der EU verhindern, einschränken oder regulieren soll.

KI mit unannehmbarem Risiko

Bestimmte KI-Nutzungen gelten als von Natur aus unannehmbar und nicht als etwas, das durch Risikominderung, Dokumentation oder Überwachung verwalten werden kann. Folgendes ist verboten:

Manipulation und Täuschung

KI, die Menschen manipuliert oder täuscht, damit sie schädliche Entscheidungen treffen, die sie sonst nicht treffen würden.

Ein belgischer Mann starb 2023 durch Suizid(neues Fenster), nachdem ein KI-Chatbot ihn wochenlang ermutigte und seine Gefühle spiegelte.

Ausnutzung schutzbedürftiger Personen

KI, die Menschen aufgrund ihres Alters, einer Behinderung oder ihrer sozialen oder wirtschaftlichen Lage ausnutzt.

Die Chatbot-Plattform Character.AI und Google stimmten im Januar 2026 zu, Klagen beizulegen(neues Fenster) wegen Schäden, die Jugendlichen zugefügt wurden, darunter eine Klage einer Mutter, deren Sohn im Teenageralter durch Suizid starb, nachdem er einen tiefen emotionalen Anhang zu einem Chatbot entwickelt hatte, der ihn ermutigte, zu ihm „nach Hause zu kommen“.

Social Scoring

KI, die Menschen basierend auf ihrem Verhalten oder ihren persönlichen Eigenschaften bewertet und diese Bewertungen nutzt, um sie ungerecht zu behandeln.

Chinas Sozialkredit-System wurde verwendet, um Bürger mit niedriger Punktzahl vom Kauf von Flug- oder Zugtickets auszuschließen. Im Jahr 2021 unterzeichnete China ein unverbindliches UN-Versprechen(neues Fenster) zur Beendigung des Social Scoring, aber seitdem hat es das System nur weiter ausgebaut, und es ist unklar, wie viel davon noch auf KI läuft.

Vorhersagende Polizeiarbeit

KI, die allein auf der Grundlage von Profiling oder Persönlichkeitsmerkmalen vorhersagt, ob jemand eine Straftat begehen wird. Andere KI-Nutzungen in der Strafverfolgung, wie die Auswertung von Beweisen oder die Risikobeurteilung auf der Grundlage überprüfbarer Fakten, gelten als Hochrisiko, sind aber nicht verboten.

Im Dezember 2025 stellte die niederländische Polizei CAS ein, einen Algorithmus, der seit 2017 verwendet wurde, um vorherzusagen, wo wahrscheinlich Kriminalität auftreten würde, nachdem eine Überprüfung verstärkte Vorurteile feststellte, die durch historische Überüberwachung bestimmter Nachbarschaften verursacht wurden.

Gesichtserkennungsdatenbanken

KI, die wahllos Bilder aus dem Internet oder von Überwachungskameras sammelt, um Gesichtserkennungsdatenbanken aufzubauen.

Das US-Unternehmen Clearview AI hat Milliarden von online verfügbaren Fotos (darunter viele von EU-Bürgern) für Strafverfolgungs- und Regierungsbehörden gesammelt und wurde von EU-Regulierungsbehörden zu Geldbußen in Höhe von mehreren Dutzend Millionen Euro verurteilt(neues Fenster).

Emotionserkennung

KI, die versucht, darauf zu schließen, wie sich Mitarbeiter oder Schüler am Arbeitsplatz oder in der Schule fühlen, außer aus echten medizinischen oder Sicherheitsgründen. Emotionserkennung außerhalb dieser beiden Einstellungen fällt unter die Hochrisikoregeln, anstatt verboten zu sein.

Im Jahr 2018 installierte eine Mittelschule in Hangzhou, China, Kameras im Klassenzimmer(neues Fenster), die das Scannen der Gesichter der Schüler durchführten, um zu messen, wie aufmerksam und fokussiert sie waren, was eine nationale Debatte über Kinderüberwachung auslöste. Dieses Programm wurde Berichten zufolge nach den Reaktionen pausieren gelassen, aber eine ähnliche Überwachung breitete sich bald auf andere Schulen aus.

Bis 2022 waren einige zu Gehirnwellen-Stirnbändern übergegangen, wobei sich die Überwachung auf das Fernlernen und die Nachverfolgung von Sommerhausaufgaben(neues Fenster) ausweitete.

Sensibles biometrisches Profiling

KI, die biometrische Daten verwendet, um auf Eigenschaften wie Rasse, politische Ansichten, Gewerkschaftszugehörigkeit, Religion, Sexualleben oder sexuelle Orientierung zu schließen. Biometrische Kategorisierung für andere Zwecke ist ein hohes Risiko, nicht verboten.

Im Jahr 2025 verklagte der Uigurische Weltkongress(neues Fenster) Hikvision, Huawei und Dahua in Frankreich mit dem Vorwurf, Gesichtserkennungstechnologie habe dabei geholfen, Uiguren zu identifizieren und zu verfolgen.

Live-Gesichtserkennung durch die Polizei

Echtzeit-Gesichtserkennung, die von der Strafverfolgung in öffentlichen Räumen verwendet wird, außer in einer kleinen Anzahl streng kontrollierter Fälle, wie dem Auffinden vermisster oder entführter Personen, der Abwehr einer unmittelbaren Bedrohung oder der Lokalisierung von Verdächtigen bei schweren Straftaten. Gesichtserkennung, die nicht in Echtzeit erfolgt, nicht im öffentlichen Raum stattfindet oder nicht von der Strafverfolgung verwendet wird, ist Hochrisiko statt verboten.

Im Jahr 2025 verbot Ungarn LGBTQ-Pride-Termine und verabschiedete ein Gesetz, das es der Polizei erlaubte, Live-Gesichtserkennung zur Identifizierung von Teilnehmern einzusetzen. Bürgerrechtsgruppen fochten das Gesetz an(neues Fenster) mit der Begründung, es verstoße direkt gegen Artikel 5 des EU-KI-Gesetzes. Im April 2026 entschied das höchste Gericht der EU, dass Ungarn die Grundrechte von LGBTQ-Personen verletzt hatte; die Anklagen gegen die Pride-Organisatoren wurden fallen gelassen, und ein Regierungswechsel im selben Monat widerrufen das Verbot.

Sexueller Missbrauch und intime Inhalte ohne Einverständnis

KI-Systeme, die Material über sexuellen Kindesmissbrauch (CSAM) generieren oder sexuell explizite oder intime Darstellungen realer, identifizierbarer Personen ohne deren Zustimmung generieren oder manipulieren.

Grok, der in X integrierte KI-Chatbot, verfügte über einen „Spicy-Modus“, der sexualisierte Deepfakes realer Personen, einschließlich Kindern, generierte und in etwas mehr als 9 Tagen über 4,4 Millionen Bilder erstellte. Im Januar 2026 forderten die US-Generalstaatsanwälte, dass xAI die Funktion entfernt, und mehrere Klagen folgten(neues Fenster).

Hochrisiko-KI

Hochrisiko-KI-Systeme sind auf dem EU-Markt zugelassen, solange der Anbieter eine Reihe anspruchsvoller Pflichten erfüllt. Ein KI-System gilt auf eine von zwei Arten als Hochrisiko:

  1. Es ist ein Produkt oder die Sicherheitskomponente eines Produkts, das bereits unter das EU-Produktsicherheitsrecht fällt und einer Konformitätsbewertung durch Drittanbieter unterliegt, wie z. B. Medizinprodukte, Maschinen, Aufzüge oder Spielzeug. Diese Systeme werden nach Artikel 6(1) und Anhang I als Hochrisiko eingestuft und unterliegen ab August 2028 den Hochrisiko-Pflichten.
  2. Es fällt in eine der in Artikel 6(2) und Anhang III aufgeführten spezifischen Anwendungsfallkategorien. Die Pflichten für diese Gruppe beginnen im Dezember 2027 und umfassen Folgendes:

Biometrie

Dies umfasst die biometrische Fernidentifizierung, die nicht in Echtzeit, nicht in einem öffentlich zugänglichen Raum oder nicht durch Strafverfolgungsbehörden erfolgt, die biometrische Kategorisierung zu anderen Zwecken als den oben verbotenen sensiblen Eigenschaften sowie die Emotionserkennung außerhalb des Arbeitsplatzes oder des Bildungskontexts (dies schließt die einfache biometrische Verifizierung, wie das Entsperren deines Telefons mit deinem Gesicht, aus).

Eine Highschool in Schweden testete 2019 Gesichtserkennung zur Erfassung der Anwesenheit von Schülern. Schwedens Datenschutzbehörde verhängte eine Geldstrafe gegen die Schule(neues Fenster) und entschied, dass die Schüler aufgrund ihrer Abhängigkeit von der Schule keine wirksame Einwilligung erteilen konnten.

Kritische Infrastruktur

KI, die digitale Infrastruktur, den Straßenverkehr oder die Versorgung mit Wasser, Gas, Wärme oder Elektrizität verwalten soll, gilt als Hochrisiko.

Im August 2024 hat Prag ein KI-Verkehrssteuerungssystem(neues Fenster) bereitgestellt, das die Ampelschaltungen in Echtzeit basierend auf den aktuellen Bedingungen anpasst und den öffentlichen Nahverkehr sowie Einsatzfahrzeuge bevorzugt. Es ist einer der ersten großflächigen Einsätze dieser Art in Europa.

Aus- und Weiterbildung

KI, die entscheidet, wer in eine Schule oder ein Ausbildungsprogramm aufgenommen wird, die Noten vergibt, das richtige Bildungsniveau für jemanden bewertet oder die Überwachung von Schülern während Prüfungen durchführt, gilt als Hochrisiko.

Englands Prüfungsaufsicht nutzte einen Algorithmus zur Vergabe der Noten für 2020, nachdem die COVID-Pandemie Prüfungen ausfallen ließ, was viele Schüler zurückstufte(neues Fenster) und diejenigen an historisch leistungsschwächeren Schulen benachteiligte. Dies löste Proteste und ein Einlenken der Regierung aus.

Beschäftigung und Mitarbeiterverwaltung

Dies betrifft KI, die zur Überprüfung oder Bewertung von Bewerbern eingesetzt wird oder die Beförderungen, Aufgabenverteilung oder Leistungsüberwachung am Arbeitsplatz beeinflusst.

Ein italienisches Gericht erklärte den Rider-Ranking-Algorithmus von Deliveroo für(neues Fenster) diskriminierend(neues Fenster), da er Essenslieferanten für geringe Verfügbarkeit bestrafte, ohne berechtigte Gründe wie Krankheit oder Streiks zu berücksichtigen. Deliveroo wurde zur Zahlung von Schadenersatz verurteilt.

Finanzdienstleistungen und Grundversorgungen

KI, die über den Anspruch auf Sozialleistungen oder Gesundheitsversorgung entscheidet, die Kreditwürdigkeit prüft, Preise für Lebens- oder Krankenversicherungen festlegt oder Notrufe priorisiert, gilt als Hochrisiko.

Die niederländischen Steuerbehörden nutzten ein algorithmisches Betrugsrisikosystem, das fälschlicherweise rund 26.000 Eltern markierte(neues Fenster), wobei überproportional Personen mit doppelter Staatsbürgerschaft für die Rückzahlung von Leistungen ins Visier genommen wurden. Der Skandal brachte im Januar 2021 das niederländische Kabinett zu Fall.

Strafverfolgungsbehörden

KI, die das Risiko eines Opfers oder Täters bewertet, die Zuverlässigkeit von Beweisen evaluiert oder Personen bei Ermittlungen im Strafverfahren profiliert, gilt als Hochrisiko.

England und Wales nutzen OASys, um das Rückfallrisiko für über 7 Millionen Menschen zu bewerten(neues Fenster), was in Entscheidungen über Kautionszahlungen, Strafmaß und Bewährung einfließt. Offizielle Bewertungen ergaben, dass es für schwarze, asiatische und gemischtethnische Personen weniger genau ist als für weiße Täter, und Gefangene haben nur begrenzte Möglichkeiten, ungenaue Daten anzufechten, die für ihre Bewertung verwendet wurden. Ein Ersatzsystem (ARNS) wird entwickelt, mit einer landesweiten Einführung im Jahr 2026.

Migration, Asyl und Grenzkontrolle

Dies betrifft KI, die das Sicherheits- oder Migrationsrisiko bewertet, Asylanträge prüft oder Personen an der Grenze identifiziert.

Das britische Innenministerium lehnte den Asylantrag einer marokkanischen Frau und ihres Kindes ab(neues Fenster) unter Berufung auf ein Sicherheitsdokument, das sich als nicht existent herausstellte. In der Berufung deutete ein hochrangiger Richter an, dass das Ablehnungsschreiben Anzeichen einer KI-Halluzination Anzeigen, und nannte es „analog zum Verlass auf gefälschte Beweise“.

Justiz und demokratische Prozesse

KI, die Richter bei der Auslegung von Tatsachen oder Gesetzen unterstützt, oder Systeme, die Wahlergebnisse oder die Stimmabgabe von Menschen beeinflussen könnten, gelten als Hochrisiko.

Das vielleicht bekannteste Beispiel: Cambridge Analytica sammelte Daten von bis zu 87 Millionen Facebook-Benutzer ohne Einwilligung, um psychografische Profile für zielgerichtete politische Werbung(neues Fenster) zu erstellen, insbesondere für die Trump-Kampagne 2016 und das Brexit-Referendum.

Anforderungen an Hochrisiko-KI-Systeme

Nach dem EU-KI-Gesetz müssen Hochrisiko-KI-Systeme strenge Anforderungen erfüllen, bevor sie auf den Markt gebracht oder in Betrieb genommen werden können. Dazu gehören:

Risikomanagement: Anbieter müssen potenzielle Risiken während des gesamten Lebenszyklus des Systems identifizieren, bewerten und reduzieren.

Datenqualität: Trainings-, Überprüfungs- und Testdaten müssen angemessen sein und verwalten werden, um Fehler und diskriminierende Ergebnisse zu reduzieren.

Protokollierung und Rückverfolgbarkeit: Systeme müssen Aufzeichnungen über ihre Aktivitäten führen, damit ihr Betrieb und ihre Ergebnisse zurückverfolgt werden können.

Technische Dokumentation: Anbieter müssen dokumentieren, wie das System funktioniert, wofür es entwickelt wurde und wie es das KI-Gesetz einhält.

Informationen für Betreiber: Personen und Organisationen, die das System nutzen, müssen klaren Anweisungen zu seinen Fähigkeiten, Einschränkungen und der ordnungsgemäßen Verwendung erhalten.

Menschliche Aufsicht: Systeme müssen so konzipiert sein, dass qualifizierte Personen ihren Betrieb verstehen, überwachen und bei Bedarf eingreifen können.

Genauigkeit, Robustheit und Cybersicherheit: Systeme müssen angemessene Standards für Genauigkeit, Zuverlässigkeit, Belastbarkeit und Schutz vor Sicherheitsbedrohungen erfüllen.

Artikel 6(3) sieht jedoch bestimmte Ausnahmen für in Anhang III aufgeführte KI-Systeme vor. Sie sollten nicht als Hochrisiko gelten, wenn sie „kein erhebliches Risiko für die Gesundheit, Sicherheit oder die Grundrechte natürlicher Personen darstellen, auch indem sie das Ergebnis von Entscheidungsfindungen nicht materiell beeinflussen“. Artikel 6(3) enthält weitere Details dazu, wie zu definieren ist, ob ein KI-System unter diese Ausnahme fällt.

KI mit Transparenzrisiko (begrenztem Risiko)

Beim Transparenzrisiko konzentriert sich Artikel 50 auf KI, die es Menschen erschweren kann, zwischen KI-generierten und von Menschen erstellten Inhalten zu unterscheiden. Die Sorge gilt vor allem Täuschung, Identitätsdiebstahl, Fehlinformationen, Manipulation und Verbraucherbetrug. Diese Systeme sind generell erlaubt, aber Anbieter und Betreiber müssen die Nutzung von KI ausreichend transparent machen. Die Transparenzpflichten von Artikel 50 traten im August 2026 in Kraft.

Es gibt vier Hauptsituationen, die von den KI-Transparenzregeln abgedeckt werden:

KI-Interaktionen

Wenn ein KI-System direkt mit einer Person interagiert, muss der Anbieter klarstellen, dass sie mit einer KI und nicht mit einem Menschen interagiert. Dies könnte für interaktive Systeme anwenden, die dialogorientierte KI oder Kundendienst-Agenten umfassen.

Ein KI-Hinweis muss von Beginn der ersten Interaktion an und in einer zugänglichen, klaren und unterscheidbaren Weise bereitgestellt werden. KI, die nur im Hintergrund läuft oder von Maschine zu Maschine kommuniziert, fällt nicht unter diese spezielle Anforderung.

Standardmäßige KI-generierte Inhalte

Anbieter von KI-Systemen, die Text, Bilder, Audio oder Video generieren oder manipulieren, müssen die Ausgabe technisch als KI-generiert oder manipuliert erkennbar machen, beispielsweise durch maschinenlesbare Metadaten.

Dies bedeutet nicht zwangsläufig das Hinzufügen einer sichtbaren Kategorie für die Person, die den Inhalt betrachtet. Einfache Bearbeitungswerkzeuge, die die Eingabedaten oder deren Bedeutung nicht wesentlich verändern, sind ausgenommen.

Deepfakes und bestimmte Inhalte von öffentlichem Interesse

Wenn eine Organisation Deepfake-Bilder, -Audio oder -Video erstellt oder manipuliert, reicht eine maschinenlesbare Markierung allein nicht aus. Sie muss dies der Öffentlichkeit in einer leicht wahrnehmbaren Weise klar offenlegen, etwa durch eine sichtbare Kategorie oder einen hörbaren Hinweis.

Der gleiche Standard gilt für KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie sinnvoll überprüft und die redaktionelle Verantwortung dafür übernommen.

Emotionserkennung und biometrische Kategorisierung

Personen müssen darüber informiert werden, wenn KI verwendet wird, um ihre Emotionen zu erkennen oder sie mithilfe biometrischer Daten zu kategorisieren; dies gilt unabhängig davon, ob das System auch als Hochrisiko eingestuft ist.

KI mit geringem oder ohne Risiko

Die meisten KI-Systeme fallen in diese Kategorie und unterliegen keinen zusätzlichen verbindlichen Anforderungen nach dem KI-Gesetz. Beispiele hierfür sind Spamfilter und KI, die in Videospielen verwendet wird. Anbieter können weiterhin freiwillig Best Practices und Verhaltenskodizes befolgen.

Was sind GPAI-Modelle und welche Pflichten haben sie?

GPAI-Modelle (General-Purpose AI) sind KI-Modelle, die dafür entwickelt wurden, viele verschiedene Aufgaben zu verarbeiten, anstatt nur einen spezifischen und engen Zweck zu erfüllen. Beispiele für GPAI-Modelle sind die großen Sprachmodelle (LLMs), die ChatGPT, Gemini, Claude und Meta AI antreiben. Sie können Inhalte generieren oder analysieren und in andere KI-Systeme und Anwendungen integriert werden.

GPAI-Modelle unterliegen im Rahmen des KI-Gesetzes eigenen Anforderungen. Anbieter müssen eine technische Dokumentation führen, nachgelagerten Entwicklern Informationen über die Fähigkeiten und Einschränkungen des Modells bereitstellen, die EU-Urheberrechtsregeln einhalten und eine öffentliche Zusammenfassung veröffentlichen, in der die Datentypen (wie Text, Bilder, Audio oder Video) und Quellen (z. B. öffentliche Datensätze, private Datensätze, gecrawlte Websites, Benutzerdaten oder synthetische Daten) beschrieben werden, die zum Trainieren des Modells verwendet wurden.

GPAI-Modelle, die ein systemisches Risiko darstellen – weil sie so leistungsfähig oder weit verbreitet sind, dass Probleme mit ihnen in der gesamten EU zu großflächigen Schäden führen könnten –, stehen vor zusätzlichen Anforderungen, darunter Modellbewertungen und Tests durch Gegenspieler, laufendes Risikomanagement, Berichterstattung über Vorfälle und ein stärkere Cybersicherheitsschutz.

Verbietet das EU-KI-Gesetz KI-Systemen, die Daten von Personen für das KI-Training zu verwenden?

Nein. Das EU-KI-Gesetz verbietet die Verwendung von Daten von Personen für das KI-Training nicht. Es fordert zwar, dass Hochrisikosysteme qualitativ hochwertige Daten verwenden und dass Anbieter von Allzweck-KI transparent darüber informieren, worauf sie trainiert wurden, aber ob personenbezogene Daten legal zum Trainieren von KI verwendet werden dürfen, wird in erster Linie durch die GDPR geregelt. Unternehmen müssen eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten haben und die geltenden Datenschutzrechte und -schutzmaßnahmen respektieren.

Schützt das EU-KI-Gesetz geistiges Eigentum?

Ja, aber nur in begrenzter und indirekter Weise. Das EU-KI-Gesetz schafft keine neuen Rechte an geistigem Eigentum und ersetzt auch nicht das bestehende Urheberrecht. Es verpflichtet GPAI-Anbieter jedoch, die EU-Urheberrechtsregeln einzuhalten, die Opt-outs von Rechteinhabern für Text- und Data-Mining zu respektieren und eine Zusammenfassung der für das Training ihrer Modelle verwendeten Inhalte zu veröffentlichen.

Zeitplan für die Umsetzung des EU-KI-Gesetzes

Hier sind wichtige Termine, die du kennen musst:

1. August 2024: Das EU-KI-Gesetz ist in Kraft getreten.

2. Februar 2025: Die allgemeinen Bestimmungen und Definitionen des Gesetzes wurden anwendbar, zusammen mit den ersten acht Verboten verbotener KI-Praktiken. Auch die Anforderungen an Anbieter und Betreiber zur Förderung der KI-Kompetenz der Mitarbeiter traten in Kraft.

2. August 2025: Die Regeln für GPAI-Modelle traten in Kraft, zusammen mit Bestimmungen zu KI-Governance und Strafen.

27. Juli 2026: Der AI Omnibus ist in Kraft getreten. Formell als Verordnung (EU) 2026/1744 bekannt, ist der AI Omnibus eine Änderung des EU-KI-Gesetzes aus dem Jahr 2026, die darauf abzielt, dessen Umsetzung zu vereinfachen, Compliance-Belastungen zu reduzieren und Unternehmen sowie Regulierungsbehörden mehr Zeit zur Vorbereitung zu geben, während die Kernschutzmaßnahmen des Gesetzes für Sicherheit und Grundrechte erhalten bleiben.

2. August 2026: Der Großteil des verbleibenden KI-Gesetzes wurde anwendbar, einschließlich der Transparenzregeln, die Offenlegung oder technische Kennzeichnung für bestimmte KI-Systeme und KI-generierte Inhalte vorschreiben.

2. Dezember 2026: Das neunte Verbot von KI-generiertem CSAM und sexuellen expliziten oder intimen Darstellungen ohne Einverständnis tritt in Kraft. Anbieter von KI-Systemen, die vor dem 2. August 2026 auf den Markt gebracht wurden und synthetischen Text, Bilder, Audio oder Video generieren, müssen bis zu diesem Datum auch die Anforderungen des Gesetzes zur maschinenlesbaren Kennzeichnung einhalten.

2. August 2027: Die EU-Mitgliedstaaten müssen bis zu diesem Datum mindestens ein nationales KI-Reallabor zur Verfügung stellen, damit Unternehmen KI-Systeme unter behördlicher Aufsicht entwickeln und testen können.

2. Dezember 2027: Die Regeln für Hochrisiko-KI gelten ab sofort für Systeme, die in sensiblen Bereichen wie Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, wesentlichen Dienstleistungen, Strafverfolgung, Migration und der Rechtspflege eingesetzt werden.

2. August 2028: Die Hochrisiko-Anforderungen gelten für KI-Systeme, die Teil oder Sicherheitskomponente von regulierten Produkten sind, die unter das EU-Produktrecht fallen, wie etwa bestimmte Maschinen, Medizinprodukte, Spielzeug und Aufzüge.

So bereitest du dein Unternehmen auf die Einhaltung des EU-KI-Gesetzes vor

Für Unternehmen besteht die größte praktische Änderung darin, dass Compliance damit beginnt, herauszufinden, welche Rolle das Unternehmen spielt und welche Art von KI es verwendet. Ein Unternehmen, das lediglich einen KI-Schreibassistenten nutzt, hat weit weniger Pflichten als eines, das einen Einstellungsalgorithmus entwickelt, ein KI-gestütztes Medizinprodukt verkauft oder ein GPAI-Modell bereitstellt. Das Gesetz kann auch für Unternehmen außerhalb der EU gelten, wenn sie KI-Systeme oder GPAI-Modelle auf dem EU-Markt platzieren oder wenn die Ausgabe ihres KI-Systems in der EU verwendet wird.

Um dich auf die Einhaltung des EU-KI-Gesetzes vorzubereiten und diese aufrechtzuerhalten, sollte dein Unternehmen:

Wisse, welche KI du nutzt: Behalte den Überblick über die in deinen Teams verwendeten KI-Systeme (einschließlich Tools von Drittanbietern) und verstehe, wofür sie eingesetzt werden. Dies kann KI umfassen, die in den Bereichen HR, Kundenservice, Marketing, Sicherheit, Analytik und anderen Geschäftsprozessen eingesetzt wird.

Bestimme deine Rolle: Stelle fest, ob dein Unternehmen ein Anbieter ist, der ein KI-System entwickelt oder verkauft, ein Betreiber, der eines nutzt, oder ein Importeur oder Händler. Für jede Rolle gelten unterschiedliche Pflichten.

Klassifiziere KI nach Risiko: Überprüfe, ob eine KI-Nutzung verboten ist, ein hohes Risiko birgt, Transparenzanforderungen unterliegt oder ein minimales Risiko darstellt. Wenn du beispielsweise KI zur Überprüfung von Bewerbern einsetzt, sind die Regeln erheblich strenger als bei KI-Spamfiltern.

Beende verbotene KI-Nutzungen: Überprüfe deine KI-Tools und Workflows auf verbotene Praktiken und deaktivieren oder ersetze Systeme, die die Grenze überschreiten. Konzentriere dich besonders auf KI, die zur Überwachung von Mitarbeitern, zur Profilerstellung von Personen, zur Analyse biometrischer Daten, zur Verhaltensmanipulation oder für sensible Bewertungen von Einzelpersonen eingesetzt wird.

Schule Mitarbeiter, die KI nutzen: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz von Mitarbeitern und anderen, die KI-Systeme in ihrem Auftrag bedienen, zu fördern. Schulungen sollten widerspiegeln, wie KI tatsächlich genutzt wird und welche Risiken damit verbunden sind.

Erfülle die KI-Transparenzanforderungen: Möglicherweise musst du Personen mitteilen, wenn sie mit KI interagieren, bestimmte KI-generierte oder manipulierte Inhalte mit einer Kategorie kennzeichnen oder Personen informieren, wenn zulässige Systeme zur Emotionserkennung oder biometrischen Kategorisierung verwendet werden.

Wende strengere Kontrollen auf Hochrisiko-KI an: Anbieter müssen Risiken verwalten, angemessene Daten verwenden, Dokumentationen und Protokolle führen, eine menschliche Aufsicht gewährleisten und Anforderungen an Genauigkeit, Sicherheit und Zuverlässigkeit erfüllen. Möglicherweise müssen sie auch Konformitätsbewertungen durchführen und das System registrieren. Unternehmen, die Hochrisiko-KI einsetzen, müssen den Anweisungen des Anbieters folgen, die Leistung überwachen und die erforderlichen Aufzeichnungen führen.

Prüfe die GPAI-Pflichten: Wenn du GPAI-Modelle bereitstellst, hast du separate Anforderungen an die technische Dokumentation, Informationen für nachgelagerte Entwickler, die Einhaltung des Urheberrechts und Zusammenfassungen von Trainingsinhalten. Modelle, die ein systemisches Risiko darstellen, unterliegen zusätzlichen Sicherheits- und Cybersicherheitsanforderungen.

Überprüfe KI-Lieferanten: Wenn du KI von Drittanbietern nutzt, überprüfe die von Anbietern bereitgestellten Systeme, wie sie klassifiziert sind, welche Dokumentation verfügbar ist und wer für die Einhaltung der einzelnen Teile des EU-KI-Gesetzes verantwortlich ist. Das Ändern oder Rebranding bestimmter KI-Systeme kann auch die Verantwortung des Anbieters auf dein Unternehmen übertragen.

Halte die KI-Governance auf dem neuesten Stand: KI-Systeme, ihre Nutzung und die Gesetze können sich ändern. Unternehmen sollten dokumentieren, wie KI genutzt wird, Systeme auf neue Risiken oder Vorfälle überwachen und die Compliance neu bewerten, wenn ein KI-System wesentlich geändert oder umzweckmäßig angepasst wird.

Die Einhaltung des KI-Gesetzes ersetzt keine anderen rechtlichen Verpflichtungen. Unternehmen, die personenbezogene Daten, urheberrechtlich geschütztes Material oder KI in regulierten Sektoren nutzen, müssen möglicherweise auch Gesetze wie die GDPR, EU-Urheberrechtsregeln, Verbraucherschutzgesetze und sektorspezifische Vorschriften einhalten.

Entwickle einen datenschutzorientierten Ansatz für KI

Das EU-KI-Gesetz verfolgt einen risikobasierten Ansatz für KI, und du musst KI nicht zwingend selbst nutzen, um davon betroffen zu sein. Wenn du in der EU lebst, kann KI die Inhalte, die du siehst, die Dienste, mit denen du interagierst, oder Entscheidungen, die über dich getroffen werden – wie etwa, ob du bestimmte Dinge kaufen kannst –, beeinflussen. Dich mit dem Gesetz vertraut zu machen, kann dir daher helfen zu verstehen, wann KI offengelegt werden muss, welche Schutzmaßnahmen gelten und wann du möglicherweise hinterfragen oder anfechten kannst, wie ein KI-System genutzt wird.

Für Unternehmen hängen die Pflichten von der Rolle ab, die die Organisation spielt, wie ihre KI-Systeme genutzt werden und welches Risikoniveau damit verbunden ist.

Für Menschen, die sich für die Nutzung von KI entscheiden, bietet Lumo eine datenschutzorientierte, europäische KI-Alternative. Unser KI-Assistent protokolliert deine Chats niemals und trainiert nicht mit deinen Daten. Deine Daten sind mit Zero-Access-Verschlüsselung geschützt, sodass nur du sie gelesen kannst. Nicht einmal Proton kann deine Daten sehen.

Die gleichen Schutzmaßnahmen gelten für Lumo for Business, unseren KI-Assistenten für Teams, mit dem Organisationen ihren Mitarbeitern ein zugelassenes KI-Tool zur Verfügung stellen und gleichzeitig dazu beitragen können, vertrauliche Unternehmens-, Kunden- und andere sensible Daten privat zu halten. Die Nutzung von Lumo macht ein Unternehmen nicht von selbst konform mit dem EU-KI-Gesetz, kann aber einen datenschutzbewussteren Ansatz bei der Einführung und Verwaltung von KI in einer Organisation unterstützen.

Mit Lumo chatten(neues Fenster) Lumo for Business holen

Wenn du neu im Bereich KI bist oder die Technologie hinter diesen Regeln verstehen möchtest, sieh dir unseren Leitfaden zu KI an, um mehr über KI-Privatsphäre, Überwachung, Sicherheitsrisiken und einen Überblick über die oft irreführenden Praktiken einiger der beliebtesten KI-Anbieter zu erfahren.