EU AI Act: Die KI-Verordnung einfach erklärt

Ja, der EU AI Act gilt grundsätzlich für alle Unternehmen, unabhängig von ihrer Größe. Allerdings gibt es für KMU und Start-ups bestimmte Erleichterungen, etwa bei den Gebühren für Konformitätsbewertungen und beim Zugang zu regulatorischen Sandboxes. Die Schulungspflicht gilt jedoch für alle Unternehmen gleichermaßen.

Ja. ChatGPT und ähnliche generative KI-Systeme (Claude, Gemini, etc.) fallen unter die Kategorie "General Purpose AI" (GPAI). Für Anwender bedeutet das: Mitarbeiter, die diese Tools nutzen, müssen über ausreichende KI-Kompetenz verfügen. Bei der Verwendung von KI-generierten Inhalten bestehen zudem Transparenzpflichten.

Artikel 4 des EU AI Act fordert "AI Literacy" – also ein grundlegendes Verständnis von KI-Systemen, ihren Möglichkeiten und Grenzen. Mitarbeiter müssen verstehen, wie KI funktioniert, welche Risiken bestehen und wie sie KI-Systeme verantwortungsvoll einsetzen. Der genaue Umfang hängt von der jeweiligen Rolle ab.

Die Bußgelder sind gestaffelt nach Schwere des Verstoßes: Bis zu 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken, bis zu 15 Mio. Euro oder 3% bei Verstößen gegen Hochrisiko-Anforderungen, und bis zu 7,5 Mio. Euro oder 1,5% bei falschen Angaben gegenüber Behörden.

Ja, die Nachweispflicht erfordert, dass Sie dokumentieren können, welche Mitarbeiter wann geschult wurden und welche Inhalte vermittelt wurden. Unsere Schulungen beinhalten Teilnahmezertifikate, die als Nachweis dienen können.

Die DSGVO regelt den Schutz personenbezogener Daten, der EU AI Act reguliert KI-Systeme unabhängig davon, ob sie personenbezogene Daten verarbeiten. Beide Verordnungen können parallel gelten: Wenn eine KI personenbezogene Daten verarbeitet, müssen sowohl DSGVO als auch AI Act eingehalten werden. Der AI Act geht aber über Datenschutz hinaus und adressiert auch Sicherheit, Transparenz und ethische Aspekte von KI.

Auf EU-Ebene wurde das AI Office innerhalb der EU-Kommission eingerichtet, das GPAI-Modelle überwacht und Leitlinien entwickelt. Jeder Mitgliedstaat muss nationale Aufsichtsbehörden benennen. In Deutschland wird dies voraussichtlich die Bundesnetzagentur in Zusammenarbeit mit anderen Behörden sein. Zusätzlich gibt es das European Artificial Intelligence Board, das die einheitliche Anwendung der Verordnung sicherstellt.

Regulatorische Sandboxes sind kontrollierte Testumgebungen, in denen Unternehmen innovative KI-Systeme unter Aufsicht der Behörden entwickeln und testen können. Jeder Mitgliedstaat muss mindestens eine Sandbox einrichten. KMU und Start-ups erhalten hier bevorzugten Zugang. Die Sandbox ermöglicht es, Compliance-Fragen zu klären, bevor ein Produkt auf den Markt kommt, und fördert so Innovation bei gleichzeitiger Rechtssicherheit.

Ja, der AI Act hat extraterritoriale Wirkung. Er gilt für: Anbieter, die KI-Systeme in der EU in Verkehr bringen – unabhängig vom Firmensitz. Betreiber mit Sitz in der EU. Anbieter und Betreiber in Drittländern, wenn das KI-System Ergebnisse für Personen in der EU erzeugt. Das bedeutet: Auch amerikanische oder asiatische Tech-Unternehmen müssen den AI Act einhalten, wenn sie den EU-Markt bedienen.

Bei KI-generierten Inhalten bestehen Transparenzpflichten: Deepfakes (manipulierte Bilder, Videos, Audio) müssen als künstlich erzeugt gekennzeichnet werden. Bei Chatbots muss der Nutzer darüber informiert werden, dass er mit einer KI interagiert. KI-generierte Texte für öffentliche Informationen (z.B. Nachrichtenartikel) müssen als maschinell erstellt erkennbar sein. Bei internen Dokumenten oder rein geschäftlicher Nutzung sind die Anforderungen weniger streng.