Verordnung über künstliche Intelligenz

Risikoeinstufung

Die KI-Verordnung folgt einem weitgehend risikobasierten Ansatz. KI-Technologien, darunter auch generative KI (GenAI), werden in 4 verschiedene Risikoklassen eingeordnet:

1. KI-Systemen mit inakzeptablem Risiko
2. KI-Systeme mit hohem Risiko (Hochrisiko-KI-Systeme)
3. KI-Systeme mit begrenztem Risiko
4. KI-Systemen ohne Risiko.

Während KI-Systeme mit inakzeptablem Risiko nicht erlaubt sind (verbotene Praktiken, Art. 5 KI-VO), unterliegt der Betrieb von Hochrisiko-KI-Systemen besonderen rechtlichen Anforderungen (Art. 6ff KI-VO).

KI-Systeme ohne hohes Risiko sind grundsätzlich erlaubt. Bei bestimmten Einsatzarten und Interaktionsmöglichkeiten mit Endnutzern geht die KI-Verordnung jedoch von einem begrenzten und dennoch bestehenden Risiko aus, das durch entsprechende Informationen an die Nutzenden gemindert werden kann und soll. Um diese Risiken zu bewältigen, definiert die KI-VO bestimmte Transparenzpflichten, die sich an Anbieter und Betreiber richten (Art. 50 KI-VO).

KI-Systeme, die sich außerhalb der vorgenannten Risikoklassen bewegen (KI-Systeme ohne Risiko), unterliegen keiner gesonderten Beschränkung und können frei genutzt werden.

Definition der Hochrisiko-Systeme

Zu den Hochrisiko-Systemen gehören:^[7][8]

• Systeme, die biometrische Daten verarbeiten
• Systeme, die in der kritischen Infrastruktur zum Einsatz kommen
• Bewertung von Lernprozessen in Bildungseinrichtungen
• Zugangsprüfungen zur Universität
• Bewerberauswahl, Beförderungen und Kündigungen im Arbeitsleben
• Anspruch auf Sozialhilfe
• Prüfung der Kreditwürdigkeit
• Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen
• Prognose von Rückfälligkeit bei Straftaten
• Einflussmöglichkeit auf Wahlen
• Einschätzung von Sicherheitsrisiken oder eines von Einzelnen ausgehenden Gesundheitsrisikos bei Migration, Asyl sowie Grenzkontrolle.

Darüber hinaus sieht die KI-Verordnung Regeln speziell für leistungsfähige Sprachmodelle vor, vor allem für multimodale Modelle (in der KI-Verordnung auch „General Purpose AI“, GPAI genannt) und solche, die besonders hohe Rechenleistungen haben.^[9] Darunter fallen bspw. besonders leistungsfähige GenAI-Modelle wie ChatGPT.^[10] Diese Sonderregelung, die von der Risikokategorisierung abweicht, ist eine Reaktion auf das schnelle Aufkommen generativer KI im Jahr 2023.^[11]

Anforderungen an den Betrieb

Anbieter von Hochrisiko-KI-Systemen müssen verschiedene Anforderungen erfüllen. Dazu zählt es u. a., ein Risikomanagementsystem einzurichten, Anforderungen an die Datenqualität zu erfüllen und menschliche Aufsicht über die KI sicherzustellen.^[12] Ferner hat ein Konformitätsbewertungsverfahren nachzuweisen, dass die Anforderungen erfüllt werden. Nach Artikel 6 der EU-KI-Verordnung^[13] gelten KI-Systeme im medizinischen Bereich, insbesondere in der Geburtshilfe und Pränataldiagnostik, als Hochrisiko-KI-Systeme. Betreiber müssen eine dauerhafte menschliche Aufsicht sicherstellen und über nachweisbare KI-Kompetenz verfügen. In der medizinrechtlichen Diskussion wird betont, dass Ärzte und Kliniken trotz automatisierter Entscheidungen weiterhin verantwortlich bleiben („Arzt als ultima ratio“).^[14] Ist das Produkt nicht nur Hochrisiko-KI-System, sondern etwa auch Medizinprodukt, sind die Anforderungen an Hochrisiko-KI-Systeme im medizinprodukterechtlichen Konformitätsbewertungsverfahren mitzuprüfen.^[15]

Betreiber von KI-Modellen mit allgemeinem Verwendungszweck müssen unter anderem offenlegen, mit welchen Daten die KI trainiert wurde, ob Internetseiten automatisch ausgelesen wurden und welche Maßnahmen zum Schutz von Urheberrechten ergriffen wurden.^[16][17]

Artikel 4 verpflichtet Unternehmen zur Qualifizierung: „Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach bestem Wissen und Gewissen sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende KI-Kenntnisse verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Weiterbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, berücksichtigt werden.“

Kennzeichnungspflichten

Weitere Transparenzpflichten

Ebenso muss Nutzern stets klar sein, dass sie mit einem KI-System interagieren.^[18] Mittels der Kennzeichnungs- und Transparenzpflicht soll laut dem österreichischen Rechtswissenschaftler Marlon Possard unter anderem eine Risikominimierung von Wahlbeeinflussung erzielt werden.^[19]

Verbote

Technologien mit einem inakzeptablen Risiko wie Social Scoring oder Teile von biometrischer Videoüberwachung bzw. Gesichtserkennung sowie automatisierter Emotionserkennung und subtiler Verhaltensbeeinflussung sollen komplett verboten werden.^[20] Für Strafverfolgungsbehörden, das Militär und Geheimdienste gibt es jedoch weitreichende Ausnahmen.^[21]

Durchsetzung

Der AI Act selbst droht sehr hohe Bußgelder an, wenn Unternehmen gegen ihn verstoßen. Artikel 99 sieht hier Strafen bis zu 7 Prozent des weltweiten Vorjahresumsatzes oder 35 Millionen Euro vor – dies ist deutlich mehr, als bei DSGVO-Verstößen drohen.^[22] Außerdem ist die Schaffung eines Europäischen Gremiums für Künstliche Intelligenz (KI-Gremium)^[23] vorgesehen, zur Durchsetzung sollen auf nationaler Ebene Behörden mit der Möglichkeit von Bußgeldern geschaffen werden.^[24]

Inkrafttreten

Die Vorgaben des AI Acts gelten nicht ab sofort nach dem Inkrafttreten. Vielmehr sind Übergangsfristen zwischen 6 und 36 Monaten vorgesehen.^[25] Bis dahin setzt die Europäische Kommission auf freiwillige Selbstbeschränkungen der Wirtschaft.^[26]

Gesetzgebungsverfahren

Die EU-Kommission veröffentlichte ihren Entwurf am 21. April 2021,^[32] aufgrund vieler Änderungsanträge fand die erste Plenarsitzung des EU-Parlaments dazu erst im Oktober 2022 statt. Bis Ende 2022 brachten die Parlamentsausschüsse und Mitgliedstaaten ihre Stellungnahmen und Änderungsvorschläge ein, der Rat der EU veröffentlichte seinen in einigen Punkten abgeschwächten Entwurf am 6. Dezember 2022,^[33] die beiden federführenden Ausschüsse des EU-Parlaments verabschiedeten ihre Position am 11. Mai 2023,^[34] der finale Vorschlag des Parlaments wurde am 14. Juni 2023 verabschiedet.^[35][36] Das Verfahren befand sich damit in den Trilog-Verhandlungen zwischen den EU-Gesetzgebungsorganen,^[37][38] mit einer Einigung wurde zunächst für Ende 2023 oder 2024 gerechnet.^[39][40]

Die neuen Diskussionen rund um den KI-Chatbot ChatGPT hatten den ursprünglichen Zeitplan verzögert.^[41][34] Das EU-Parlament wollte solche sogenannte Allzweck-KI (GPAI) stärker in die Regulierung aufnehmen.^[38]

Im Dezember 2023 einigten sich die EU-Gesetzgebungsinstitutionen auf die Grundzüge des Gesetzes.^[42][43] Im Januar 2024 wurde der Text des finalen Entwurfs bekannt.^[44] Im Februar 2024 stimmten alle Mitgliedsländer der EU zu, und der zuständige Parlamentsausschuss in Brüssel gab ebenfalls grünes Licht, im März folgte die Zustimmung des Parlaments insgesamt.^[45][46] Die 27 Mitgliedsländer stimmten dem Gesetzwerk am 21. Mai 2024 zu, sodass es, nach Veröffentlichung im Amtsblatt der EU und einer weiteren 20-Tage-Frist, in Kraft treten kann.^[47] Die Verordnung soll dann mit Ausnahmen zwei Jahre später Anwendung finden.^[20][48]

Zeitplan

Stand: 30. Juni 2026 (inklusive Berücksichtigung der Novellierung)

Vergangen:

• 1. August 2024: Inkrafttreten der Verordnung.
• 2. Februar 2025: Anwendung der Verbote für KI-Systeme mit „inakzeptablem Risiko“ sowie der Bestimmungen zur KI-Kompetenz (AI Literacy).
• 2. August 2025: Anwendung der Regeln für Allzweck-KI (GPAI) und der geforderten Governance-Strukturen (u. a. Benennung nationaler Behörden).

Bevorstehend:

• 2. August 2026 Hauptanwendungsdatum. Die meisten Bestimmungen werden verbindlich, insbesondere die allgemeinen Transparenzpflichten.
• 2. Dezember 2026: Verbot bestimmter Formen von Deepfake-Pornographie (neu in die KI-VO aufgenommen, siehe "Novellierung").
• 2. Dezember 2027: Hochrisiko-KI-Systeme (gemäß Anhang III)
• 2. August 2028: Anwendung der Regeln für Hochrisiko-KI-Systeme, die als Sicherheitskomponenten in bereits regulierten Produkten (nach Anhang I, z. B. Medizinprodukte oder Fahrzeuge) fungieren.

Novellierung

Am 19. November 2025 veröffentlichte die Europäische Kommission einen Vorschlag zu einer Novellierung der Verordnung über künstliche Intelligenz mit dem Ziel der Vereinfachung (Digital-Omnibus-Verordnung zur KI).^[49] Der Rat hat seine Position dazu am 13. März 2026, das EU-Parlament am 26. März 2026 verabschiedet^[50][51]. Am 7. Mai 2026 erzielten Parlament und Rat in den Trilog-Verhandlungen eine vorläufige Einigung über Änderungen an bestimmten Vorschriften der Verordnung. Die Einigung muss noch förmlich von Parlament und Rat angenommen werden. Für Hochrisiko-KI-Systeme sollen die Pflichten erst ab dem 2. Dezember 2027 gelten; für KI-Systeme, die als Sicherheitskomponenten eingesetzt werden und unter EU-Sektorvorschriften zu Sicherheit und Marktüberwachung fallen, erst ab dem 2. August 2028. Außerdem sollen KI-Systeme verboten werden, die Material über sexuellen Kindesmissbrauch erstellen oder ohne Einwilligung intime Körperteile einer identifizierbaren Person bzw. diese Person bei sexuell expliziten Handlungen darstellen; das Verbot erfasst sowohl das Inverkehrbringen entsprechender Systeme als auch deren Nutzung: Unternehmen sollen bis zum 2. Dezember 2026 Zeit haben, ihre Systeme entsprechend anzupassen.^[52] Im Juni 2026 wurde die Novelle final vom Europäischen Parlament und Rat beschlossen,^[53] sie tritt drei Tage nach Kundmachung in Kraft.^[54] Die Kundmachung erfolgte am 24. Juli 2026 und das Inkrafttreten am 27. Juli 2026.^[55]

Allgemeines

Die federführenden Ausschüsse des EU-Parlaments sind der Ausschuss für Binnenmarkt und Verbraucherschutz (IMCO) und der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE), Berichterstatter sind Brando Benifei (S&D) und Dragoş Tudorache (ALDE).^[56]

Am 28. September 2022 veröffentlichte die Kommission in dem Zusammenhang auch den Entwurf einer Richtlinie über Produkthaftung^[57] und einer Richtlinie über KI-Haftung.^[58] Die Richtlinie über Produkthaftung ist mittlerweile erlassen und gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Haftungsfragen waren zuvor aus der Verordnung herausgenommen worden.^[59] In dem Kontext steht auch ein Formwechsel der Maschinenrichtlinie zur EU-Maschinenverordnung, die am 14. Juni 2023 in Kraft getreten ist.^[60] Sie ist in Teilen ab 19. Juli 2023 anwendbar und ist ab dem 20. Januar 2027 in allen Artikeln anwendbar.

Gesetzgebungsverfahren in Deutschland

Im September 2025 legte das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) einen ersten Entwurf zur Durchführung der KI-Verordnung vor, der u. a. ein neu zu schaffendes Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) vorsieht. Schwerpunkt des Entwurfs ist die Einrichtung eines sogenannten Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) bei der Bundesnetzagentur (BNetzA), das andere zuständige Behörden unterstützen und eine einheitliche Rechtsauslegung gewährleisten soll. Deutschland hätte bereits zum 2. August 2025 eine entsprechende Marktüberwachungsbehörde ernennen bzw. einrichten müssen, hat diese Frist jedoch verfehlt. Der Entwurf zur Durchführung der KI-Verordnung enthält zudem Vorschriften zur Innovationsförderung; insbesondere soll die BNetzA ein sogenanntes KI-Reallabor errichten und betreiben. Im Februar 2026 wurde der Gesetzesentwurf von der Bundesregierung beschlossen, am 20. März 2026 erfolgte die erste Lesung des Bundestags.^[61] Zuletzt fand am 23. März 2026 eine öffentliche Anhörung zum Gesetzesentwurf im Ausschuss für Digitales und Staatsmodernisierung statt.^[62] Als Nächstes hatte der Digitalausschuss eine Beschlussempfehlung für das Plenum zu erstellen.

Am 22. Juli 2026 wurde nunmehr das -in Kurzform genannte- Gesetz zur Durchführung der Verordnung über künstliche Intelligenz verabschiedet^[63] und am 28. Juli 2026 im Bundesgesetzblatt veröffentlicht.^[64] Nach Art. 1 dieses Rahmengesetzes wird das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz – KI-MIG)^[65] mit Wirkung ab 29. Juli 2026^[66] in Kraft gesetzt.

Artikel

• EU AI Act: Ein Leitfaden, in Informatik Aktuell