Was ist der EU AI Act? Der kompakte Leitfaden für Führungskräfte

Was ist der EU AI Act?

Der EU AI Act ist ein umfassendes Regelwerk für den Einsatz und die Nutzung von KI-Systemen im europäischen Markt. Ziel ist es, individuelle Rechte zu schützen sowie Sicherheit und Transparenz von KI-Technologien sicherzustellen und zugleich Innovation in der EU zu fördern. Mit strengen Standards und Compliance-Pflichten will die Verordnung die EU als führend in der globalen KI-Governance positionieren.

Die Verordnung teilt KI-Systeme in vier Risikostufen ein: inakzeptabel, hoch, begrenzt und minimal. Anwendungen mit inakzeptablem Risiko, etwa staatliches Social Scoring, sind verboten; für Hochrisikosysteme gelten strenge Auflagen. Zudem gibt es Schutzmaßnahmen für General-Purpose-KI, Einschränkungen bei biometrischer Identifizierung und Verbote für KI, die Schwachstellen von Nutzenden ausnutzt. 

Nach der Zustimmung durch Europäisches Parlament und Rat wurde die Verordnung am 1. August 2024 veröffentlicht. Die Umsetzung erfolgt gestaffelt: Verbote für "inakzeptables Risiko" greifen nach sechs Monaten, Regeln für General-Purpose-KI nach 12 Monaten. Bei Verstößen drohen Bußgelder bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes, je nachdem, was höher ist.

Warum KI reguliert werden muss

Über Regulierung in der KI haben wir im DataFramed Podcast zu Vertrauen und Regulierung in der KI mit Bruce Schneier gesprochen. In den letzten Jahren hat sich die KI-Landschaft rasant gewandelt, mit immer höherem Tempo. 

Als Gesellschaft müssen wir mit diesen Innovationen Schritt halten, um Endnutzende vor Risiken zu schützen. Ebenso wichtig ist die Ethik der KI und Rahmenwerke für einen verantwortungsvollen Einsatz. Der Fokus sollte darauf liegen, dass Organisationen, die mächtige KI-Werkzeuge entwickeln und implementieren, dies ethisch und im öffentlichen Interesse tun – nicht allein gewinngetrieben. 

Wie Bruce Schneier, Kryptograf, IT-Sicherheits- und Datenschutzexperte, erklärt,

Zentrale Bestimmungen des EU AI Act

Die wichtigsten Bausteine des EU AI Act sind:

1. Risikobasierte Einstufung

KI-Systeme werden im EU AI Act grob vier Risikokategorien zugeordnet: 

• Inakzeptables Risiko
• Hohes Risiko
• Begrenztes Risiko
• Minimales/kein Risiko

Laut Bericht der Europäischen Kommission zum AI Act erfolgt die Einstufung maßgeblich anhand von zwei Faktoren:

• Sensibilität der verarbeiteten Daten
• Konkreter KI-Einsatzfall oder die Anwendung

Die Pflichten unterscheiden sich je nach Kategorie, der Großteil der Verordnung adressiert Hochrisiko-KI.

2. Anforderungen an Hochrisiko-KI-Systeme

Für Hochrisikosysteme schreibt der EU AI Act Anforderungen vor, die Organisationen erfüllen müssen, um diese im EU-Markt bereitzustellen.

Dazu gehören:

• Ein Risikomanagementsystem über den gesamten Lebenszyklus des Systems.
• Aufbau von Data-Governance-Programmen, damit Trainings-, Validierungs- und Testdatensätze relevant und hinreichend repräsentativ sind. Die Aufbereitung soll nach bestem Wissen fehlerarm und vollständig im Hinblick auf den vorgesehenen Zweck sein.
• Technische Dokumentation, die Behörden bei der Prüfung die Compliance nachweist.
• Systemdesign, das relevante Ereignisse zur Identifizierung nationaler Risiken sowie wesentliche Änderungen automatisch protokolliert – über den gesamten Lebenszyklus.
• Bereitstellung von Nutzungshinweisen für nachgelagerte Anwender, um Compliance zu ermöglichen.
• Auslegung, die menschliche Aufsicht durch Anwender ermöglicht.
• Auslegung auf angemessene Genauigkeit, Robustheit und Cybersicherheit.
• Ein Qualitätsmanagementsystem zur Sicherstellung der Compliance.

Diese Punkte finden sich unter Einhaltung der Anforderungen (Art. 8–17).

Anforderungen an Hochrisiko-KI-Systeme – erstellt mit Napkin.ai

Zusätzlich verpflichtet die Verordnung Unternehmen sicherzustellen, dass Mitarbeitende und alle an Entwicklung oder Nutzung beteiligten Personen über ausreichende KI-Kompetenz verfügen. Dazu gehört das Verständnis der Technologie, ihrer Anwendungen und potenzieller Risiken. 

Unternehmen sind in der Pflicht, passende Schulungen bereitzustellen, damit KI-Systeme verantwortungsvoll und ethisch eingesetzt werden – abgestimmt auf den jeweiligen Kontext. Später im Artikel zeigen wir, wie DataCamp for Business deine Organisation beim Aufbau von KI-Kompetenz unterstützt.

3. Verbotene KI-Praktiken

Der EU AI Act verbietet ausdrücklich Praktiken, die als inakzeptabel gelten und erhebliche Risiken für Einzelne oder die Gesellschaft bergen. Dazu gehören:

• KI-Systeme, die Schwachstellen bestimmter Gruppen ausnutzen (z. B. Kinder, Menschen mit Behinderungen)
• Social Scoring auf Basis von KI-gestützter Verhaltensanalyse
• Einsatz unterschwelliger Techniken zur Verhaltensmanipulation

Diese Verbote stehen unter Verbotene Praktiken (Art. 5).

Risikokategorien im EU AI Act

Der EU AI Act unterscheidet vier Risikoniveaus – inakzeptabel, hoch, begrenzt sowie minimal oder keines. Für jede Kategorie gelten spezifische Anforderungen und Maßnahmen. Je höher das Risiko, desto umfangreicher die Pflichten.

Quelle: Introduction to EU AI Act Course, DataCamp

1. Inakzeptables Risiko

KI-Systeme, die die Sicherheit oder Rechte von Menschen in unzumutbarer Weise gefährden, sind verboten. Beispiele sind Anwendungen, die menschliches Verhalten manipulieren, Schwachstellen ausnutzen oder staatliches Social Scoring ermöglichen.

Nach Artikel 5, Verbotene KI-Praktiken dürfen solche Systeme weder in Verkehr gebracht noch in der EU genutzt werden.

Eine Zusammenfassung der verbotenen Praktiken:

• Einsatz von KI, die Verhalten, Entscheidungen oder Meinungen durch unterschwellige Techniken beeinflusst
• Ausnutzung von Schwachstellen bestimmter Gruppen (z. B. Kinder, ältere Menschen mit Behinderungen)
• Social Scoring auf Basis von KI-gestützter Verhaltensanalyse
• KI-Modelle zur Klassifizierung natürlicher Personen oder Gruppen
• Vorhersage, ob eine natürliche Person eine Straftat begehen wird
• Ungezieltes Scraping von Gesichtern aus dem Internet oder CCTV zur Gesichtserkennung
• Gefühlserkennung am Arbeitsplatz oder in Bildungseinrichtungen
• Individuelle Kategorisierung natürlicher Personen anhand biometrischer Daten
• Einsatz von „Echtzeit“-Remote-Biometrie außerhalb der Strafverfolgung

2. Hohes Risiko

Ein Hochrisiko-KI-System liegt nach Klassifizierungsregeln für Hochrisiko-KI (Art. 6) vor, wenn die KI als Sicherheitskomponente eines Produkts gedacht ist und eine Konformitätsbewertung durch Dritte erfordert.

Zudem gelten Systeme in den folgenden Einsatzbereichen laut Anhang III als Hochrisiko-KI:

• Biometrie
• Kritische Infrastrukturen
• Bildung
• Beschäftigung
• Grundlegende Dienste
• Strafverfolgung
• Migration
• Justiz

3. Begrenztes Risiko

Als „begrenztes Risiko“ gelten Systeme mit gewissen potenziellen Risiken, die aber nicht als hoch oder inakzeptabel eingestuft werden. Diese unterliegen nicht dem strengen Aufsichtsregime für Hochrisiko-KI, müssen jedoch bestimmte Transparenzpflichten erfüllen.

Für Systeme mit begrenztem Risiko gilt meist: Anbieter müssen sicherstellen, dass Nutzende wissen, dass sie mit einer KI interagieren. So müssen etwa Chatbots klar kennzeichnen, dass kein Mensch antwortet. Diese Transparenz soll Verwechslungen vermeiden und Nutzende über die Natur der Technologie informieren.

Solche Systeme müssen diese Transparenzpflichten erfüllen, sind aber nicht zu umfangreicher Dokumentation, Risikomanagement oder verpflichtenden Assessments wie Hochrisikosysteme verpflichtet. So soll Innovation gefördert werden, ohne Entwickler und Anbieter zu überlasten.

Auch KI mit allgemeinem Zweck (GPAI) wie GPT-4, Midjourney und Metas LLaMA-Modelle wird in dieser Kategorie reguliert.

Quelle: Introduction to EU AI Act Course, DataCamp

Ein GPAI-Modell ist ein KI-Modell, das mit sehr großen Datenmengen mittels Selbstüberwachung trainiert wird, hohe Allgemeingültigkeit zeigt und vielfältige Aufgaben in verschiedenen nachgelagerten Systemen oder Anwendungen ausführen kann.

Unabhängig vom Einsatzgebiet dieser GPAI-Modelle gelten die Regelungen des EU AI Act.

Die Anforderungen sind:

• Erstellung technischer Dokumentation.
• Bereitstellung von Informationen und Unterlagen für nachgelagerte Anbieter.
• Erarbeitung einer Richtlinie zur Beachtung der Urheberrechtsrichtlinie.
• Detaillierte Zusammenfassung der zum Training verwendeten Inhalte.

Mehr dazu in Artikel 53: Pflichten für Anbieter von General-Purpose-KI-Modellen.

Wird ein GPAI-Modell als General-Purpose-KI-Modell mit systemischem Risiko eingestuft, gelten gesonderte Pflichten gemäß Artikel 55: Pflichten für Anbieter von General-Purpose-KI-Modellen mit systemischem Risiko.

4. Minimales Risiko

Die Kategorie mit minimalem Risiko ist nicht reguliert.

Beispiele hierfür sind etwa:

• KI-gestützte Videospiele
• Spamfilter

Für diese Kategorie sieht der EU AI Act derzeit keine Regelungen vor.

Gesamtauswirkungen auf den KI-Markt

Der EU AI Act wird voraussichtlich weitreichende Folgen für Einzelne und Organisationen haben. Zudem dürfte die weitere EU-Rechtssetzung und behördliche Guidance die Anwendung prägen.

Mögliche Auswirkungen der Umsetzung des EU AI Act:

Für ChatGPT/generative KI

Für bestehende Large Language Models mit großem Einfluss auf Internetinhalte und Nutzungsverhalten wie OpenAI's ChatGPT, Google's Gemini, Meta's Llama 3.1 und Claude AI könnten strengere Compliance-Maßnahmen nötig werden, um einen ethischen Einsatz sicherzustellen. Das kann zu mehr Aufsicht und Einschränkungen führen und damit Beliebtheit und Profitabilität beeinflussen.

Zudem könnte OpenAI sein ChatGPT-Modell anpassen müssen, um Praktiken zu vermeiden, die in Artikel 5 verboten sind – falls eine entsprechende Nutzung vorliegt.

Für Unternehmen

Die Verordnung betrifft nicht nur LLMs.

Unternehmen, die Hochrisiko-KI entwickeln oder nutzen, müssen strenge Anforderungen erfüllen und Prüfungen durchlaufen – das kann Compliance-Kosten erhöhen. Es braucht mehr juristische und technische Expertise. In der Folge zögern Startups womöglich, risikoreichere KI-Anwendungen zu verfolgen, weil die Compliance die Kommerzialisierung verteuert.

Diese hohen Skalierungskosten könnten zu Marktkonzentration bei „Big Tech“ führen und den Wettbewerb verzerren.

Ein weiterer Aspekt ist der Schutz von Geschäftsgeheimnissen bei KI-getriebenen Firmen. Die Verordnung verlangt Transparenz über Trainingsdaten – oft zentral für das Geschäftsmodell.

Strikte Regeln können außerdem Innovation und Markteintritt neuer Technologien in Europa bremsen. So hat Meta sein neuestes multimodales KI-Modell in der EU vorerst zurückgehalten – ein Hinweis auf mögliche Innovationshemmnisse.

Trotzdem eröffnet die Verordnung auch Chancen: Klare Standards schaffen faire Bedingungen, um KI zu entwickeln, die ethischen und sicherheitstechnischen Maßstäben entspricht.

Organisationen, die Compliance und ethische KI priorisieren, können sich abheben, Vertrauen aufbauen und als Vorreiter gelten. Das zieht bewusste Konsumentinnen und Investoren an und stärkt Marke und Marktanteil.

Mit diesen Veränderungen wird KI-Kompetenz noch wichtiger – mehr dazu weiter unten.

Für Verbraucher

Für Verbraucher bringt die Verordnung vor allem Vorteile bei:

• Mehr Transparenz und Erklärbarkeit von KI-Systemen
• Größerem Vertrauen in zugelassene KI-Produkte
• Zuverlässigem Schutz vor diskriminierenden KI-Praktiken
• Klare Beschwerde- und Ansprechpartner

Künftig können Verbraucher von Unternehmen, die Hochrisiko-KI entwickeln oder nutzen, die Einhaltung des EU AI Act einfordern – zum Schutz ihrer Daten und gegen unethische Nutzung persönlicher Informationen.

Für EU-Mitgliedstaaten

Mitgliedstaaten müssen ihre nationalen Regelwerke an den EU AI Act anpassen. Die EU-Kommission kann zudem spezifische Leitlinien und Vorgaben veröffentlichen. 

Gleichzeitig zeigt ein aktueller Reuters-Bericht:

„Die beschleunigte KI-Nutzung im vergangenen Jahr hat Europa auf Kurs gebracht, seine Digital Decade-Ziele zu erreichen.“ – Tanuja Randery, Managing Director bei AWS

Für Länder weltweit

Der EU AI Act dürfte als globaler Referenzrahmen für KI-Regulierung dienen. Als eines der ersten umfassenden Regelwerke setzt er Maßstäbe, denen andere Regionen folgen könnten. International tätige Unternehmen müssen die Entwicklungen im Blick behalten, um wettbewerbsfähig zu bleiben.

Ab wann gilt der EU AI Act? Zeitplan der Umsetzung

Der vorläufige Umsetzungsfahrplan des EU AI Act:

• 1. August 2024: Inkrafttreten der Verordnung
• 2. Februar 2025: Verbote bestimmter KI-Systeme treten in Kraft (Kapitel 1 und Kapitel 2). Ab hier gelten auch die Anforderungen an KI-Kompetenz.
• 2. August 2025: Folgende Regelungen greifen: Benannte Stellen (Kapitel III, Abschnitt 4), GPAI-Modelle (Kapitel V), Governance (Kapitel VII), Vertraulichkeit (Artikel 78), Sanktionen (Artikel 99 und 100)
• 2. August 2026: Der restliche Teil der Verordnung gilt, mit Ausnahme von Artikel 6(1).
• 2. August 2027: Artikel 6(1) sowie die entsprechenden Pflichten der Verordnung gelten.

Kurzum: Vollständig umgesetzt ist die Verordnung 2027 – Unternehmen und Mitgliedstaaten haben Zeit, sich anzupassen.

Den vollständigen Zeitplan findest du in der EU AI Act Implementation Timeline.

EU AI Act: Anforderungen an KI-Kompetenz

Neben der Entwicklung von KI-Modellen legt der EU AI Act großen Wert auf die Schulung von Mitarbeitenden in KI-Kompetenz.

Laut Kapitel I: Allgemeine Bestimmungen, Artikel 4: KI-Kompetenz:

„Anbieter und Anwender von KI-Systemen treffen Maßnahmen, um nach bestem Vermögen ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal und anderen Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind – unter Berücksichtigung von Fachwissen, Erfahrung, Ausbildung, Schulungen sowie des Nutzungskontexts und der betroffenen Personen(-gruppen).“

Kurz gesagt: Unternehmen müssen sicherstellen, dass Mitarbeitende und alle an Entwicklung oder Nutzung Beteiligten angemessen geschult sind – in Technologieverständnis, Anwendungen und Risiken.

Das bestätigt auch unser State of Data & AI Literacy Report 2024: 62% der befragten Führungskräfte halten KI-Kompetenz für wichtig für die täglichen Aufgaben ihrer Teams. 70% sehen ein grundlegendes Verständnis von KI-Konzepten als wichtigste Anforderung – Teams sollen die zentralen Prinzipien der KI verstehen.

Gleichzeitig steckt Daten- und KI-Training in vielen Organisationen noch in den Kinderschuhen: 26% der Führungskräfte bieten keinerlei KI-Schulungen an. Weitere 26% beschränken Schulungen auf technische Rollen, nur 18% beziehen Nicht-Techniker ein. 

Besorgniserregend: Nur 25% der Führungskräfte berichten von unternehmensweiten, umfassenden KI-Kompetenzprogrammen.

Mit DataCamp For Business kannst du ein KI-Kompetenzprogramm aufbauen, das alle nötigen Daten- und KI-Fähigkeiten abdeckt, um den EU AI Act zu erfüllen – egal ob für 2 oder 10.000+ Lernende. Neben dem praktischen Arbeiten mit und Bauen von KI-Tools lässt sich ein umfassendes Trainingsprogramm inklusive KI-Ethik, Risikomanagement und Deployment von KI-Modellen gestalten – idealer Einstieg: unser EU AI Act Fundamentals Lernpfad.

Fazit

Der EU AI Act markiert einen wichtigen Meilenstein in der Regulierung von Künstlicher Intelligenz. Er schafft den Spagat zwischen Innovationsförderung und dem ethisch sicheren Einsatz von KI.

Für Unternehmen bedeutet das zwar Herausforderungen, aber auch Chancen für Wachstum und Differenzierung. Verbraucher erhalten einen Rahmen, um Unternehmen an ihrem KI-Einsatz zu messen und ihnen zu vertrauen. Global setzt die EU einen Standard, dem andere Regionen folgen könnten.

Du willst dein Team noch besser mit dem EU AI Act vertraut machen? Erfahre mehr in unserem umfassenden Understanding the EU AI Act Kurs und erlange ein vollständiges Verständnis, wie du Regulierungen navigierst und mit verantwortungsvoller KI Vertrauen schaffst – mit unserem EU AI Act Fundamentals Lernpfad.