EU AI Act (KI-Verordnung)

Mit dem EU AI Act hat die Europäische Union einen einheitlichen Rechtsrahmen für künstliche Intelligenz geschaffen. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten, also auch in Österreich und Deutschland. Unternehmen außerhalb der EU, etwa in der Schweiz, können ebenfalls betroffen sein, wenn sie KI-Systeme in der EU anbieten oder deren Ergebnisse in der EU verwendet werden.

Die Verordnung ist am 1. August 2024 in Kraft getreten, ihre Pflichten gelten gestaffelt. Seit 2. Februar 2025 sind bestimmte KI-Praktiken verboten, und seit demselben Tag gilt die Pflicht zur KI-Kompetenz. Seit 2. August 2025 gelten Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Weitere Pflichten, insbesondere für Hochrisiko-Systeme, greifen schrittweise bis 2027.

Wie der EU AI Act aufgebaut ist

Der AI Act verfolgt einen risikobasierten Ansatz:

• Verbotene Praktiken: etwa Social Scoring, manipulative Techniken, die Menschen erheblich schaden können, oder Emotionserkennung am Arbeitsplatz, abgesehen von eng begrenzten Ausnahmen.
• Hochrisiko-KI-Systeme: etwa in Personalauswahl, Bildung oder Kreditwürdigkeitsprüfung sowie als Sicherheitskomponente bestimmter Produkte. Hier gelten strenge Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht.
• Transparenzpflichten: Wer mit einem Chatbot kommuniziert, soll erkennen können, dass es sich um KI handelt. Deepfakes und bestimmte KI-generierte Inhalte sind zu kennzeichnen.
• Minimales Risiko: Viele Anwendungen, etwa Spamfilter, unterliegen außer der Pflicht zur KI-Kompetenz keinen besonderen Zusatzpflichten.

Für KI-Modelle mit allgemeinem Verwendungszweck, also typische Foundation Models, gelten eigene Regeln, die vor allem deren Anbieter treffen. Entscheidend ist die Rolle im Einzelfall: Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen in Verkehr, Betreiber setzen es in eigener Verantwortung ein. Unternehmen, die fertige KI-Werkzeuge nutzen, sind in der Regel Betreiber.

Typische Beispiele

• Ein Unternehmen nutzt Microsoft Copilot für Texte und Zusammenfassungen. Das ist in der Regel kein Hochrisiko-Fall, die Pflicht zur KI-Kompetenz gilt aber.
• Ein Chatbot auf der Website muss als KI erkennbar sein, sofern das nicht ohnehin offensichtlich ist.
• Eine Software, die Bewerbungen bewertet oder vorsortiert, kann als Hochrisiko-System gelten. Für Betreiber sind dann unter anderem menschliche Aufsicht und die Information der Beschäftigten vorgesehen.

Worauf Unternehmen achten sollten

• Ein Verzeichnis aller KI-Systeme und Anwendungsfälle samt eigener Rolle führen.
• Anwendungsfälle nach Risikostufe einordnen, besonders im Personalwesen und bei Entscheidungen über Personen.
• Maßnahmen zur KI-Kompetenz durchführen und dokumentieren.
• Gebrauchsanweisungen und Transparenzinformationen von Anbietern einfordern.
• Die weitere Entwicklung verfolgen, da Leitlinien, Normen und Anpassungen auf EU-Ebene Details und Fristen noch verändern können.

Abgrenzung

Der AI Act ersetzt nicht die DSGVO. Verarbeitet ein KI-System personenbezogene Daten, gelten beide Regelwerke nebeneinander.

Bezug zu TOMORIS

Trainings rund um KI bietet TOMORIS über UNIVERSITY an.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.