Der lang erwartete AI Act der Europäischen Union steht kurz vor der Umsetzung – und mit ihm weitreichende rechtliche, organisatorische und technologische Veränderungen. Für Unternehmen, Entwickler und Anwender künstlicher Intelligenz (KI) beginnt nun eine Phase der Neuorientierung. Was genau regelt der AI Act, wer ist betroffen und was bedeutet das in der Praxis? Wir haben mit Expertinnen und Experten gesprochen, analysieren die Gesetzeslage und geben konkrete Handlungsempfehlungen.
Einführung: Der AI Act als Meilenstein europäischer Technologiepolitik
Mit dem Artificial Intelligence Act (AI Act) verfolgt die Europäische Kommission seit 2021 das Ziel, weltweit den ersten umfassenden Rechtsrahmen für künstliche Intelligenz zu schaffen. Die finale Einigung in Trilogverhandlungen wurde im Dezember 2023 erzielt, die Verordnung wird voraussichtlich Ende 2025 vollständig in Kraft treten. Das Regelwerk basiert auf einem risikobasierten Ansatz: Je höher das Potenzial der Gefährdung durch ein KI-System, desto strikter die regulatorischen Vorgaben.
„Der AI Act ist kein Technologieverbot, sondern ein Vertrauensmechanismus in die richtige Anwendung“, erklärt Dr. Anna Biselli, Juristin und Referentin für Digitalpolitik. Der Fokus liegt auf Transparenz, Sicherheit und der Einhaltung ethischer Prinzipien bei der Entwicklung und Nutzung von KI.
Risikoklassen: Die neue Architektur der KI-Regulierung
Herzstück des AI Act ist die Einteilung von KI-Systemen in vier Risikokategorien:
- Verbotene KI: Anwendungen, die gegen fundamentale Rechte verstoßen (z.B. Social Scoring, biometrische Erkennung in Echtzeit in öffentlichen Räumen).
- Hochriskante KI: Systeme in Bereichen wie kritische Infrastrukturen, Bildung, Beschäftigung oder Justiz. Für sie gelten strenge Auflagen, darunter Risikomanagement, Transparenz, Datenqualität, menschliche Aufsicht und technische Robustheit.
- Begrenztes Risiko: Etwa Chatbots oder Empfehlungsdienste, die einer Transparenzpflicht unterliegen (Kennzeichnungspflicht, wenn KI im Spiel ist).
- Minimales Risiko: KI-Anwendungen mit kaum potenziellem Schaden (z. B. Spamfilter oder automatische Textergänzungen), die nicht reguliert werden.
Laut einer Studie des European Parliamentary Research Service von 2024 werden etwa 15–20 % aller KI-Anwendungen am Markt als „hochriskant“ eingestuft. Für diese Systeme ergeben sich einschneidende neue Pflichten für Anbieter und Betreiber.
Wie Unternehmen jetzt reagieren müssen
Besonders betroffen sind Unternehmen, die KI-Systeme im Hochrisikobereich entwickeln oder einsetzen. Auch kleinere Anbieter, die etwa im HR-Bereich oder bei der Kreditvergabe automatisierte Tools nutzen, müssen sich auf die Umsetzung technischer, organisatorischer und rechtlicher Vorgaben vorbereiten.
- Compliance-Prozesse etablieren: Unternehmen müssen dokumentieren, dass ihre KI-Systeme den Anforderungen an Datenqualität, Transparenz und Risikomanagement genügen.
- Interne Audits und Risikobewertungen durchführen: Eine regelmäßige Überprüfung und Bewertung der Systeme und ihrer Wirkung ist verpflichtend.
- Transparenzpflichten umsetzen: Nutzer müssen klar erkennen können, wenn sie mit KI interagieren. Dazu zählt auch die Dokumentation technischer Abläufe und Entscheidungslogiken.
„Die Vorschriften verändern nicht nur die Technologieentwicklung, sondern auch die Governance-Strukturen in Unternehmen“, betont Prof. Dr. Daniel Rückert von der TU München. Es sei entscheidend, frühzeitig interdisziplinäre Teams einzubinden – darunter Entwickler, Juristen und Ethikexperten.
Besonders kritisch: Foundation Models und generative KI
Ein bedeutender Diskussionspunkt im AI Act sind sogenannte Foundation Models – großskalige, vorgelernte KI-Modelle, wie GPT-4 oder Claude, die als Basis für viele Anwendungen dienen. Für sie definiert der AI Act zusätzliche Anforderungen, darunter:
- Dokumentationspflichten entlang der Lieferkette (Supply-Chain-Transparency)
- Technische Nachweise zur Robustheit, Haftbarkeit und Fairness
- Pflichten zur Offenlegung von Trainingsdaten und Systemarchitekturen
Generative KI, insbesondere Text-, Bild- und Video-KIs, unterliegt je nach Anwendungsfall der Einstufung als Hochrisikotechnologie. Anbieter wie OpenAI, Google oder Mistral.ai werden dadurch stärker in die Verantwortung genommen. Die Abgrenzung zwischen Basis-Modellen und konkreten Anwendungen bleibt jedoch in der Praxis komplex.
Eine aktuelle Umfrage des KI-Verbands Bitkom zeigte, dass 63 % der befragten Unternehmen noch keine Maßnahmen zur Regulierung generativer KI vorbereitet haben (Stand: Q2 2025). Der AI Act zwingt viele Akteure nun zum Umdenken.
Verbraucherschutz, Transparenz und Rechte der Nutzer
Auch Endnutzer profitieren von den neuen Vorgaben. Zu den Maßnahmen zählen unter anderem:
- Recht auf Information: Nutzer haben Anspruch zu erfahren, wenn sie mit KI-basierter Entscheidungsfindung konfrontiert werden.
- Recht auf Erklärung: In bestimmten Fällen müssen Anbieter nachvollziehbar erklären, wie Ergebnisse zustande kamen (insbesondere bei Hochrisiko-KI).
- Widerspruchsrechte: Gegen automatisierte Entscheidungen kann unter Umständen Einspruch eingelegt werden.
Diese Regelungen stärken laut European Data Protection Supervisor (EDPS) gezielt die digitale Selbstbestimmung der Bürger. Gleichwohl warnen zivilgesellschaftliche Organisationen wie AlgorithmWatch davor, dass viele Verpflichtungen ohne klare Durchsetzung drohen zu „Papiernormen“ zu werden.
Durchsetzung und Sanktionen: Die neue Rolle nationaler KI-Behörden
Zur Überwachung der Einhaltung des AI Acts werden nationale KI-Aufsichtsbehörden geschaffen, die mit weitreichenden Ermittlungs- und Sanktionsbefugnissen ausgestattet sind. Unternehmen drohen bei Verstößen Bußgelder von bis zu 7 % ihres weltweiten Jahresumsatzes – eine Zahl, die sich sogar über der DSGVO (4%) bewegt. Für Foundation-Modelle gelten gesammelt veröffentlichte Transparenzregister unter der Regie der EU-Kommission.
Damit die Vorgaben nicht unbemerkt bleiben, wird parallel eine EU-KI-Datenbank aufgebaut, in der registrierte Hochrisiko-Systeme öffentlich einsehbar sein müssen. Sie soll unter anderem helfen, Vertrauen in geprüfte KI-Anwendungen aufzubauen und Missbrauch zu verhindern.
Ein Beispiel: Ein KI-System zur Bewertung von Bewerbungen muss künftig offengelegt werden – inklusive seiner Trainingsdaten, Systemgrenzen und eingesetzten Modelle. Für Anbieter heißt das: Der Aufwand für die Marktzulassung steigt erheblich.
Handlungsempfehlungen für Unternehmen
Wer mit KI-Technologie in Europa aktiv ist oder eine Expansion plant, sollte sich frühzeitig auf die kommenden Pflichten einstellen. Drei konkrete Tipps zur Vorbereitung:
- Führen Sie eine Risikoanalyse aller verwendeten KI-Systeme durch und ordnen Sie sie gemäß AI Act ein.
- Etablieren Sie eine verantwortliche Stelle für AI-Governance im Unternehmen, idealerweise interdisziplinär besetzt.
- Starten Sie mit der technischen Dokumentation und internen Prüfung, bevor gesetzliche Fristen greifen (Frühphase 2025–2026).
Fazit: Eine neue Ära der KI-Nutzung beginnt
Der AI Act steht für ein europäisches KI-Modell, das zwischen Innovation, Sicherheit und Grundrechten balanciert. Die nächsten Monate werden entscheidend: für die Vorbereitung in Unternehmen, für klare Auslegungen durch die Behörden und für eine inklusive Gestaltung des digitalen Raums.
Welche Erfahrungen haben Sie bereits mit der Implementierung von KI-Governance gesammelt? Wir freuen uns auf Ihre Perspektiven in den Kommentaren oder per Mail an die Redaktion.
