EU AI Act ist die weltweit erste umfassende gesetzliche Regulierung für Künstliche Intelligenz, verabschiedet 2024 von der Europäischen Union, die KI-Systeme anhand ihres Risikopotenzials in vier Kategorien einteilt und reguliert.
Rubrik: GenAI & Content Creation · Unterrubrik: KI-Ethik & Gesellschaft · Niveau: Einsteiger Synonyme / Auch bekannt als: Artificial Intelligence Act, AI Act, KI-Verordnung, EU-KI-Gesetz, Verordnung (EU) 2024/1689
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste verbindliche und umfassende Gesetzeswerk zur Regulierung Künstlicher Intelligenz weltweit. Er wurde im Mai 2024 vom Europäischen Parlament mit großer Mehrheit verabschiedet, im Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht und trat im August 2024 in Kraft. Die Verordnung gilt für alle KI-Systeme, die innerhalb der EU eingesetzt werden oder deren Ergebnisse EU-Bürgerinnen und -Bürgern betreffen – unabhängig davon, wo der Anbieter sitzt. Damit hat die EU ähnlich wie mit der Datenschutz-Grundverordnung (DSGVO) 2018 einen globalen Regulierungsstandard gesetzt, der auch außereuropäische Unternehmen wie OpenAI, Google oder Meta bindet.
Erklärung
Entstehungsgeschichte und Ziele
Die Europäische Kommission legte im April 2021 ihren ersten Verordnungsentwurf vor. Nach intensiven Verhandlungen – besonders der Einigung auf Regeln für Allzweck-KI (GPAI) wie ChatGPT, die ursprünglich nicht Teil des Entwurfs waren – einigte sich das Europäische Parlament Anfang 2024 auf den finalen Text. Das Ziel des EU AI Act ist dreifach: Schutz von Grundrechten und Sicherheit, Förderung von Vertrauen in KI-Technologien und Stärkung der europäischen KI-Wirtschaft durch klare Regeln. Die Verordnung folgt dabei einem risikobasierten Ansatz: Je mehr Schaden ein KI-System anrichten kann, desto strenger ist die Regulierung.
Das Vier-Stufen-Risikomodell
Das Herzstück des EU AI Act ist die Einteilung aller KI-Systeme in vier Risikoklassen:
Stufe 1 – Unzulässige KI (verboten ab Februar 2025): Eine Reihe von KI-Anwendungen ist vollständig verboten, weil sie fundamentale Grundrechte verletzen. Dazu gehören biometrische Massenüberwachung öffentlicher Räume, Social-Scoring-Systeme staatlicher Stellen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, prädiktive Polizeiarbeit auf Basis von Persönlichkeitsprofilen sowie Manipulationstechniken, die Menschen unbewusst beeinflussen.
Stufe 2 – Hochrisiko-KI: KI in kritischer Infrastruktur, Bildung, Beschäftigung, Kreditvergabe, biometrischer Identifizierung, Strafverfolgung und Justiz unterliegt strengen Anforderungen: Risikomanagement, technische Dokumentation, menschliche Aufsicht und Transparenz gegenüber Behörden.
Stufe 3 – KI mit begrenztem Risiko: Hier stehen Transparenzpflichten im Vordergrund. Chatbots müssen sich als KI zu erkennen geben; KI-generierte Texte, Bilder, Videos und Audioinhalte müssen entsprechend gekennzeichnet sein.
Stufe 4 – Minimales Risiko: Spam-Filter, KI in Videospielen oder Empfehlungsalgorithmen unterliegen keinen besonderen Pflichten; freiwillige Verhaltenskodizes werden empfohlen.
General Purpose AI (GPAI) – Regeln für Basismodelle
Eine wichtige Neuerung des finalen Gesetzestextes sind die GPAI-Regeln (Art. 51–56 EU AI Act): Anbieter großer Allzweck-KI-Modelle wie GPT-4, Gemini oder Claude müssen technische Dokumentation bereitstellen, urheberrechtliche Compliance sicherstellen und Zusammenfassungen der verwendeten Trainingsdaten veröffentlichen. Modelle mit systemischen Risiken – gemessen an ihrer Rechenkapazität (Schwelle: 10²⁵ FLOPS) – haben zusätzliche Pflichten: Adversarial Testing (Red Teaming), Meldepflicht bei schwerwiegenden Zwischenfällen und erhöhte Cybersicherheitsanforderungen.
Umsetzungszeitplan (2024–2027)
- August 2024: Inkrafttreten der Verordnung
- Februar 2025: Verbotene KI-Anwendungen sind unzulässig; Anforderungen an KI-Kompetenz
- August 2025: GPAI-Regeln treten in Kraft
- August 2026: Vollständige Geltung der Hochrisiko-KI-Anforderungen
- August 2027: Vollständige Anwendung aller Bestimmungen
Durchsetzung und Bußgelder
Die Durchsetzung obliegt nationalen Marktaufsichtsbehörden, koordiniert durch das EU AI Office (bei der Europäischen Kommission angesiedelt). Bußgelder:
- Verbotene KI: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
- Hochrisiko-Verstöße: bis zu 15 Millionen Euro oder 3 %
- Falschinformationen gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1,5 %
Bedeutung für Medienproduktion und Content Creation
Für Kreativschaffende sind vor allem die Transparenzpflichten relevant: KI-generierte oder KI-bearbeitete Bilder, Videos, Audioinhalte und Texte müssen als solche erkennbar gemacht werden. Besonders bei Deepfakes – also synthetischen Darstellungen realer Personen – ist die Kennzeichnung verpflichtend. Für Werbeagenturen bedeutet dies: Alle KI-generierten Werbematerialien, die realitätsnah wirken, brauchen eine deutliche KI-Kennzeichnung. Manipulatives Targeting auf Basis psychografischer Profile fällt in die verbotene Kategorie.
Beispiele
- YouTube-Kennzeichnung (2024): Google führte in Reaktion auf den EU AI Act verpflichtende KI-Labels für YouTube-Uploads ein: Creators müssen angeben, wenn ihr Inhalt KI-generiert oder realistisch KI-verändert ist.
- OpenAI und GPAI-Compliance: Als einer der ersten großen GPAI-Anbieter veröffentlichte OpenAI 2024 eine umfangreichere Dokumentation zu Trainingsdaten und Sicherheitstests für GPT-4, um EU-Anforderungen zu antizipieren.
- Meta Transparency Center: Meta startete 2024 ein umfassendes KI-Transparenzprogramm für seine Werbe-KI-Systeme, das den EU AI Act-Anforderungen entsprechen soll.
- Bertelsmann Compliance-Programm: Der Medienkonzern Bertelsmann richtete 2024 eine interne KI-Compliance-Taskforce ein, um den EU AI Act umzusetzen und alle eingesetzten KI-Systeme zu kategorisieren.
- Verbot emotionaler KI im Klassenzimmer (2025): Mit Inkrafttreten des Verbots im Februar 2025 mussten mehrere europäische EdTech-Startups ihre emotionserkennenden Lern-Apps vom Markt nehmen oder grundlegend umbauen.
In der Praxis
Für Freelancer und kleine Kreativunternehmen: Die Transparenzpflichten gelten für alle – auch für Einzelpersonen, die KI-generierte Inhalte veröffentlichen. KI-generierte Bilder in Portfolios oder auf Social Media sollten als solche gekennzeichnet sein. Formulierungen wie „Erstellt mit generativer KI" oder das C2PA-Label schaffen Rechtssicherheit. Kleine Unternehmen (unter 10 Mitarbeitende, unter 2 Mio. Euro Jahresumsatz) haben vereinfachte Pflichten bei Hochrisiko-KI, aber keine Ausnahmen bei den Verboten oder Transparenzpflichten.
Für Agenturen und Medienhäuser: Eine KI-Bestandsaufnahme (AI Inventory) aller eingesetzten Tools ist empfehlenswert. Je nachdem, ob der Einsatz unter Hochrisiko oder begrenztes Risiko fällt, sind unterschiedliche Compliance-Schritte notwendig. Die nationalen Aufsichtsbehörden (in Deutschland die Bundesnetzagentur) werden Leitlinien für einzelne Branchen veröffentlichen.
Vergleich & Abgrenzung
Der EU AI Act ist kein Datenschutzgesetz – das bleibt die DSGVO. Er ist auch kein Urheberrechtsgesetz – das bleibt das UrhG und die DSM-Richtlinie. Der EU AI Act reguliert spezifisch die Sicherheit, Transparenz und Zuverlässigkeit von KI-Systemen. In den USA existiert kein vergleichbares Bundesgesetz; der Executive Order on AI (Oktober 2023) ist ein Präsidialerlass ohne Gesetzeskraft. In China gibt es sektorale KI-Regeln, aber kein vergleichendes Gesamtgesetz.
Häufige Fragen (FAQ)
Gilt der EU AI Act auch für außereuropäische KI-Anbieter? Ja. Das sogenannte Marktortprinzip gilt: Wer KI-Systeme in der EU anbietet oder deren Ergebnisse in der EU nutzt, fällt unter den AI Act – unabhängig vom Unternehmenssitz. OpenAI, Midjourney, Stability AI und alle anderen großen KI-Anbieter sind betroffen.
Wie unterscheidet sich der EU AI Act von der DSGVO in der Praxis? Die DSGVO regelt den Umgang mit personenbezogenen Daten; der EU AI Act regelt den Einsatz von KI-Systemen. Beide können gleichzeitig anwendbar sein: Eine KI, die personenbezogene Daten verarbeitet, muss sowohl die DSGVO als auch den EU AI Act einhalten. Viele Unternehmen bauen ihre KI-Governance-Strukturen daher auf bestehenden DSGVO-Compliance-Prozessen auf.
Verwandte Einträge
Weiterführend
- Europäisches Parlament (2024): Verordnung (EU) 2024/1689 – Artificial Intelligence Act. eur-lex.europa.eu
- EU AI Office (2024): General-Purpose AI Code of Practice. digital-strategy.ec.europa.eu
- Hacker, P. / Engel, A. (2024): Der EU AI Act – Ein Überblick. NJW, Heft 30/2024
- Future of Life Institute (2024): EU AI Act: A Practitioner's Summary. futureoflife.org
- Netzpolitik.org (2024): Alles zum EU AI Act. netzpolitik.org/eu-ai-act
