AI Act in Kraft: Die KI-Verordnung gilt ab 1. August 2024 in Stufen

Heute tritt die Verordnung (EU) 2024/1689 über künstliche Intelligenz in Kraft, kurz AI Act oder KI-Verordnung. Sie wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist das erste horizontale KI-Gesetz eines großen Wirtschaftsraums. Die Pflichten greifen nicht sofort, sondern gestaffelt bis 2027. Für Unternehmen beginnt damit die Umsetzungsphase.

Für wen die KI-Verordnung gilt

Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich einsetzen. Er gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme hier in Verkehr gebracht werden oder ihre Ergebnisse in der EU verwendet werden. Rein private Nutzung ist ausgenommen.

Der risikobasierte Ansatz

• Verbotene Praktiken: etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern aus dem Internet für Gesichtserkennungsdatenbanken
• Hochrisiko-KI: Sicherheitsbauteile regulierter Produkte sowie Systeme in sensiblen Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung und kritische Infrastruktur
• Transparenzpflichten: Hinweis bei Chatbots, Kennzeichnung von Deepfakes und maschinenlesbare Markierung KI-generierter Inhalte
• Minimales Risiko: keine besonderen Pflichten, freiwillige Verhaltenskodizes

Eigene Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprach- und Bildmodelle.

Die Fristen im Überblick

• 2. Februar 2025: Verbote nach Art. 5 und Pflicht zur KI-Kompetenz nach Art. 4
• 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen
• 2. August 2026: die meisten übrigen Vorschriften, insbesondere für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten
• 2. August 2027: Hochrisiko-Systeme, die Sicherheitsbauteil eines Produkts nach Anhang I sind

KI-Kompetenz: Pflicht für fast alle Unternehmen

Leicht übersehen wird Art. 4. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das gilt unabhängig vom Risiko des Systems. Wer seinen Beschäftigten Chatbots, Übersetzungstools oder KI-Assistenten im Office-Paket zur Verfügung stellt, ist Betreiber und muss ab Februar 2025 tätig werden.

Sanktionen

Verstöße gegen die Verbote können mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, andere Verstöße mit bis zu 15 Mio. Euro oder 3 Prozent. Für KMU gelten niedrigere Obergrenzen.

Was jetzt zu tun ist

Wir empfehlen, bis Ende 2024 drei Schritte zu gehen:

• Inventar aller KI-Systeme, die das Unternehmen entwickelt, vertreibt oder einsetzt, einschließlich KI-Funktionen in bestehender Software
• Einordnung der eigenen Rolle und der Risikoklasse je System, Prüfung auf verbotene Praktiken
• Schulungskonzept für die KI-Kompetenz und interne KI-Richtlinie

Hochrisiko-Anbieter sollten zusätzlich mit Risikomanagement, technischer Dokumentation und Konformitätsbewertung beginnen. Die harmonisierten Normen und Leitlinien der Kommission stehen noch aus.

Fragen dazu? Wir begleiten Sie bei der Umsetzung der KI-Verordnung. Nutzen Sie unsere Onlineberatung. Mehr unter AI Act, KI im Unternehmen und KI-Kompetenz.