Fahrplan für den AI Act: Die ersten Verbote und Vorgaben jetzt umsetzen
Als am 1. August 2024 der AI Act (Verordnung [EU] 2024/1689, „KI-Verordnung“) in Kraft trat, schienen die Übergangsfristen zunächst großzügig bemessen. Doch schon seit dem 2. Februar 2025 müssen die ersten Verbote und Vorgaben umgesetzt werden. In vielen Unternehmen herrscht noch Unsicherheit über einen möglichen Anbieter- oder Betreiberstatus. Auch sind vielfach die Schulungspflichten, mit denen die erforderliche Fachkunde erworben werden kann, noch unklar. Und schon bald enden weitere Übergangsfristen.
Der AI Act der Europäischen Union („KI-Verordnung“) muss in Teilen schon seit dem 2. Februar 2025 von deutschen Unternehmen umgesetzt werden. Dies gilt für Kapitel I (Allgemeine Bestimmungen) und Kapitel II (Verbotene Praktiken im KI-Bereich).
Wer ist Anbieter oder Betreiber von KI-Systemen?
Im ersten Schritt müssen sich Unternehmen darüber klar werden, ob sie gemäß KI-Verordnung Anbieter oder Betreiber sind. Grundsätzlich kann im Sinne des AI Act der EU jede juristische oder natürliche Person ein Anbieter oder Betreiber sein – es gibt keine Ausnahmen nach Kriterien wie z.B. „klein“ oder „gemeinnützig“:
- Wer KI-Modelle bzw. KI-Systeme programmiert, vertreibt oder lizenziert, ist ein Anbieter. Beispiele dafür sind KI-Start-ups und Softwareentwickler.
- Als Betreiber gelten alle natürlichen und juristischen Personen, die KI-Systeme in der Praxis einsetzen.
Unter Umständen ist es möglich, den Betreiberstatus zu verneinen, wenn man ein bestehendes KI-System im User-Abonnement, z.B. die Nutzung von ChatGPT zur Unterstützung eines Mitarbeiters im Unternehmen, einsetzt. Wird künstliche Intelligenz jedoch im Kundendienst genutzt oder in eigene Produkte und Dienstleistungen eingebunden, gilt das Unternehmen als Betreiber.
Diese Verbote gelten nach KI-Verordnung seit dem 2. Februar 2025
Nach dem AI Act (KI-Verordnung) sind alle KI-Systeme verboten, die in die Kategorie „unannehmbare Risiken für Sicherheit, Gesundheit oder Grundrechte“ fallen. Dazu gehören vor allem:
- Anwendungen mit Bewertungen von sozialem Verhalten
- Anwendungen mit Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
- manipulative KI-Systeme zur Beeinflussung von Menschen
- KI-Systeme, die die Schwäche von (z.B. älteren) Menschen ausnutzen
- Gesichtserkennung durch Videokameras im öffentlichen Raum (Ausnahme: Sicherheitsbehörden)
Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen und/oder entwickeln (also Betreiber und Anbieter), ihre Systeme nach dem Grad des Risikos bewerten und ggf. Maßnahmen ergreifen, um die gesetzlichen Anforderungen zu erfüllen. Konkret heißt das, die Anwendungen entweder entsprechend den Bestimmungen zu verändern oder sie aus dem Angebot zu nehmen.
Schulungspflichten nach Artikel 4 der KI-Verordnung
Damit das möglich ist, müssen Betreiber und Anbieter von KI-Tools ausreichende KI-Kompetenz vorweisen. Welche Schulungspflichten daraus entstehen, ist noch nicht klar. Grundsätzlich fordert die KI-Verordnung ein grundlegendes Verständnis, wie KI-Systeme funktionieren und welche gesetzlichen und ethischen Anforderungen im Umgang mit künstlicher Intelligenz zu beachten sind, sowie Wissen über spezifische Anforderungen und Risiken überall dort, wo die KI-Systeme eingesetzt werden. Wie konkret diese Sachkunde erworben werden kann, ist nicht geregelt. Ebenso wenig gibt es zertifizierte Schulungsanbieter, die sie rechtssicher vermitteln können. Als Strategie empfehlen Experten, Schulungen möglichst konkret an den KI-Entwicklungsmaßnahmen bzw. an den konkreten Betrieb der KI-Systeme im Unternehmen auszurichten.
Der weitere Fahrplan der KI-Verordnung
Anfang Mai 2025 will die EU-Kommission Leitlinien vorlegen, wie künstliche Intelligenz verantwortungsvoll entwickelt und eingesetzt werden kann. Konkret werden verschärfte Transparenz- und Sicherheitsvorgaben erwartet sowie Vorschriften zur Überarbeitung oder Einstellung von KI-Anwendungen. Die Umsetzung wird ab dem 2. August 2025 verbindlich.
Die nächsten Meilensteine der KI-Verordnung sind Kapitel III Abschnitt 4 (Notifizierende Behörden und notifizierte Stellen), Kapitel V (KI-Modelle mit allgemeinem Verwendungszweck), Kapitel VII (Governance), Kapitel XII (Sanktionen) – mit Ausnahme von Artikel 101 – sowie Artikel 78 (Vertraulichkeit). Sie müssen ebenfalls ab dem 2. August 2025 umgesetzt werden.
Am 2. August 2026 wird die KI-Verordnung vollständig in Kraft treten.
