Grundlagen, Zeitplan & Sanktionen

Das erste umfassende KI-Gesetz der Welt

Mit der Verordnung (EU) 2024/1689 – dem „AI Act“ – hat die Europäische Union erstmals einen umfassenden Rechtsrahmen für Künstliche Intelligenz geschaffen. Ziel ist „vertrauenswürdige KI“: Innovation soll möglich bleiben, während Grundrechte, Gesundheit und Sicherheit geschützt werden. Die Verordnung trat am 1. August 2024 in Kraft und gilt – anders als eine Richtlinie – unmittelbar in allen Mitgliedstaaten.

Der AI Act gilt für alle Unternehmen, die KI in der EU anbieten oder einsetzen oder deren KI-Ergebnisse in der EU verwendet werden – unabhängig vom Firmensitz. Ausgenommen sind im Wesentlichen rein private Nutzung sowie militärische und nationale Sicherheitszwecke.

Der gestaffelte Zeitplan – das gilt bereits

Die Pflichten greifen nicht auf einen Schlag, sondern in Stufen:

• Seit 2. Februar 2025: Verbotene Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4) gelten – Unternehmen müssen ihre Mitarbeitenden im Umgang mit KI schulen.
• Seit 2. August 2025: Pflichten für Modelle mit allgemeinem Verwendungszweck (GPAI), Benennung nationaler Behörden und der Sanktionsrahmen.
• Ab 2. August 2026 (Anhang III): Die meisten Anforderungen an Hochrisiko-Systeme treten in Kraft. Durch das sogenannte „Digital Omnibus“-Paket (vorläufige Einigung Mai 2026) wurde dieser Termin für Anhang-III-Systeme auf den 2. Dezember 2027 verschoben.
• Ab 2. August 2027: Volle Anwendung, inkl. KI in regulierten Produkten (Anhang I).

Was gilt überhaupt als „KI-System“?

Bevor man Pflichten ableitet, muss klar sein, worauf sie sich beziehen. Art. 3 des AI Act definiert ein „KI-System“ als ein maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet, aus Eingaben Ableitungen trifft und daraus Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt, die ihre Umgebung beeinflussen. Entscheidend ist das Wort „Ableitung“ (Inferenz): Das System lernt aus Daten oder folgt erlernten Mustern – es führt nicht nur starr vorgegebene Regeln aus.

Diese Abgrenzung ist praktisch wichtig: Klassische, deterministische Software – etwa eine Excel-Formel, ein fester Buchhaltungsalgorithmus oder eine einfache Wenn-Dann-Automatisierung – fällt in der Regel nicht unter den AI Act. Sobald ein System aber auf maschinellem Lernen beruht oder eigenständig Schlussfolgerungen zieht, sollten Sie von einem KI-System ausgehen und die Einstufung prüfen.

• KI-System: lernt aus Daten oder zieht eigenständig Schlüsse (z. B. Sprachmodell, Bilderkennung, Prognosemodell).
• Keine KI im Sinne des Gesetzes: rein regelbasierte, deterministische Software ohne Lern- oder Inferenzkomponente.
• Im Zweifel einstufen: Die Definition ist bewusst weit gefasst – eine dokumentierte Bewertung schützt vor Fehleinschätzungen.

Sanktionen – höher als die DSGVO

Der AI Act ist mit empfindlichen Bußgeldern bewehrt, gestaffelt nach Schwere des Verstoßes:

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes – bei Einsatz verbotener Praktiken.
• Bis zu 15 Mio. € oder 3 % – bei Verstoß gegen die meisten anderen Pflichten (z. B. Hochrisiko-Anforderungen).
• Bis zu 7,5 Mio. € oder 1,5 % – bei Falschauskünften gegenüber Behörden.

Die Ziele dahinter

• Diskriminierung durch KI verhindern.
• Transparenz in KI-Entscheidungen schaffen.
• Grundrechte und Sicherheit der Menschen schützen.