KI-Verordnung (EU AI Act)

Die KI-Verordnung – Verordnung (EU) 2024/1689, im allgemeinen Sprachgebrauch EU AI Act – ist am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten. Sie folgt einem risikobasierten Ansatz: Praktiken mit unannehmbarem Risiko sind nach Art. 5 verboten, etwa Social Scoring, die ungezielte Auswertung von Gesichtsbildern aus dem Internet zum Aufbau von Gesichtserkennungsdatenbanken oder – von engen Ausnahmen abgesehen – Emotionserkennung am Arbeitsplatz. Hochrisiko-KI-Systeme im Sinne von Art. 6 in Verbindung mit Anhang III, darunter typische Anwendungen im Recruiting, in der Personalbewertung, bei der Kreditwürdigkeitsprüfung oder im Zugang zu wesentlichen Dienstleistungen, unterliegen einem umfangreichen Pflichtenprogramm. Für bestimmte Systeme mit Interaktions- oder Erzeugungsfunktion gelten Transparenzpflichten nach Art. 50, für KI-Modelle mit allgemeinem Verwendungszweck eigene Regeln nach Kapitel V.

Die Pflichten verteilen sich entlang der Wertschöpfungskette. Anbieter, die ein KI-System entwickeln und unter eigenem Namen in Verkehr bringen, tragen die Hauptlast: Risikomanagementsystem (Art. 9), Daten-Governance und Qualitätsanforderungen an Trainings-, Validierungs- und Testdaten (Art. 10), technische Dokumentation (Art. 11), automatische Protokollierung (Art. 12), Transparenz gegenüber Betreibern (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15) sowie Qualitätsmanagement, Konformitätsbewertung und CE-Kennzeichnung. Betreiber – also Unternehmen, die ein KI-System in eigener Verantwortung einsetzen – haben nach Art. 26 vor allem den bestimmungsgemäßen Betrieb sicherzustellen, geeignete Eingabedaten zu wählen, den Betrieb zu überwachen, Protokolle aufzubewahren und betroffene Beschäftigte zu informieren; öffentliche Stellen und einzelne private Betreiber müssen zusätzlich nach Art. 27 eine Grundrechte-Folgenabschätzung durchführen. Art. 4 verpflichtet Anbieter und Betreiber übergreifend, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Der Sanktionsrahmen des Art. 99 reicht bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis zu 15 Mio. Euro oder 3 % bei Verstößen gegen die übrigen Pflichten.

Die KI-Verordnung ersetzt das Datenschutzrecht nicht, sondern tritt neben es: Wer personenbezogene Daten in oder mit einem KI-System verarbeitet, braucht weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO, muss Zweckbindung und Datenminimierung wahren, Betroffenenrechte erfüllen und regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen – Art. 26 Abs. 9 KI-VO stellt ausdrücklich klar, dass die Informationen des Anbieters dafür genutzt werden dürfen. Führt der Einsatz zu einer automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, greift zusätzlich Art. 22 DSGVO. Die Anwendungszeitpunkte sind gestaffelt: Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, der Großteil der Verordnung seit dem 2. August 2026; für Hochrisiko-Systeme, die als Sicherheitsbauteil regulierter Produkte eingebettet sind, ist ein späterer Zeitpunkt vorgesehen. Der Zeitplan für Teile des Hochrisiko-Regimes ist politisch umstritten und Gegenstand der Digital-Omnibus-Vorschläge der Kommission; Unternehmen sollten den Stand des Gesetzgebungsverfahrens verfolgen, statt sich auf ein einzelnes Datum zu verlassen.