Der EU AI Act ist die europäische KI-Verordnung. Sie stuft KI-Systeme nach ihrem Risiko in vier Klassen ein und knüpft daran unterschiedlich strenge Pflichten. Entscheidend ist dabei nicht, wie die Technik funktioniert, sondern wofür sie eingesetzt wird.
Die vier Risikoklassen
- Verboten: Social Scoring durch staatliche Stellen, das gezielte Ausnutzen von Schutzbedürftigkeit, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Abgreifen von Gesichtsbildern zum Aufbau von Datenbanken. Diese Anwendungen sind schlicht unzulässig.
- Hochrisiko: KI in Personalauswahl, Kreditvergabe, Bildungsbewertung, kritischer Infrastruktur, Strafverfolgung und Medizinprodukten. Erlaubt, aber mit umfangreichen Auflagen: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht, Konformitätsbewertung.
- Begrenztes Risiko: Chatbots, KI-generierte Inhalte, Deepfakes. Hier gilt vor allem eine Transparenzpflicht – die Menschen müssen wissen, dass sie es mit KI zu tun haben.
- Minimales Risiko: Alles Übrige – Rechtschreibhilfen, Spamfilter, Empfehlungssysteme, der Großteil des Alltagseinsatzes. Keine besonderen Pflichten.
Ein und dasselbe Sprachmodell kann dabei in mehreren Klassen landen. Nutzt du es, um Produkttexte zu schreiben, ist es minimales Risiko. Nutzt du es, um Bewerbungen vorzusortieren, ist es Hochrisiko – mit allem, was dazugehört.
Anbieter oder Betreiber – welche Rolle hast du?
Der AI Act unterscheidet vor allem zwei Rollen, und das ist für dich die wichtigste Weichenstellung.
Anbieter ist, wer ein KI-System entwickelt und auf den Markt bringt. Ihn treffen die meisten Pflichten. Betreiber ist, wer ein fertiges System beruflich einsetzt – das bist in aller Regel du. Deine Pflichten sind deutlich schlanker: die Zweckbestimmung des Anbieters einhalten, menschliche Aufsicht sicherstellen, im Hochrisikofall Betroffene informieren und Protokolle aufbewahren.
Aufpassen musst du an einer Stelle: Wer ein fremdes System unter eigenem Namen anbietet oder seinen Zweck wesentlich verändert, wird selbst zum Anbieter – mit dem vollen Pflichtenkatalog. Wenn du also aus einem Standardmodell ein eigenes Produkt für Kunden baust, prüfe diesen Punkt genau.
Die KI-Kompetenz-Pflicht
Eine Vorgabe betrifft praktisch jeden Betrieb, der KI einsetzt, und wird trotzdem häufig übersehen: Beschäftigte, die mit KI-Systemen arbeiten, müssen über ausreichende KI-Kompetenz verfügen. Gemeint ist kein Zertifikat, sondern ein angemessenes Verständnis der Möglichkeiten, Grenzen und Risiken.
Praktisch heißt das: eine dokumentierte Einweisung. Wer nutzt welches Werkzeug wofür, wo liegen die typischen Fehlerquellen, welche Ergebnisse müssen geprüft werden. Ein kurzes Protokoll mit Datum und Teilnehmerliste genügt in den meisten Fällen – aber es sollte existieren.
Kennzeichnungspflicht für KI-Inhalte
Für die meisten Website-Betreiber und Content-Ersteller ist das der spürbarste Teil. Zwei Regeln greifen:
- Interagiert ein Mensch mit einem KI-System, muss er das erkennen können – ein Support-Chatbot muss sich also als solcher zu erkennen geben, sofern es nicht ohnehin offensichtlich ist.
- Künstlich erzeugte oder manipulierte Bilder, Videos und Tonaufnahmen, die echt wirken, müssen als solche gekennzeichnet werden. Das betrifft insbesondere Deepfakes, aber auch täuschend echte generierte Fotos.
Ein klar als Illustration erkennbares KI-Bild in einem Blogbeitrag fällt nicht darunter. Ein fotorealistisches Bild, das als echte Aufnahme durchgehen könnte, schon. Wie solche Bilder entstehen, erklärt unser Beitrag zu KI-Bildgenerierung.
Zeitplan und Sanktionen
Die Verordnung ist im August 2024 in Kraft getreten und wird gestaffelt wirksam: die Verbote und die KI-Kompetenz-Pflicht zuerst, danach die Regeln für Allzweckmodelle, anschließend die Hochrisiko-Anforderungen mit den längsten Übergangsfristen. Die Bußgelder reichen bis in den zweistelligen Millionenbereich beziehungsweise einen Prozentsatz des weltweiten Jahresumsatzes – die höchste Stufe gilt für verbotene Praktiken.
Für den typischen kleinen oder mittleren Betrieb, der KI zum Texten, Zusammenfassen und Recherchieren nutzt, bleibt der Aufwand überschaubar: Einweisung dokumentieren, Chatbots kennzeichnen, keine Hochrisiko-Anwendung nebenbei aufbauen. Der Datenschutz nach der DSGVO ist im Alltag meist die anspruchsvollere Baustelle.