Auch genannt: KI-Verordnung
Der EU AI Act ist die Verordnung (EU) 2024/1689 über harmonisierte Vorschriften für künstliche Intelligenz. Sie setzt einen gemeinsamen Rechtsrahmen für die Europäische Union und ordnet KI-Anwendungen danach ein, wie stark sie Sicherheit, Gesundheit oder Grundrechte beeinträchtigen können. Entscheidend ist nicht, ob ein System „intelligent“ wirkt, sondern wofür es eingesetzt wird und welches Risiko damit verbunden ist. Der Rechtsraum dieses Artikels ist die EU; Stand der Prüfung: 13. September 2026.
Der EU AI Act ist keine allgemeine Erlaubnis oder ein pauschales Verbot von KI. Er legt abgestufte Pflichten fest. Viele Anwendungen mit geringem oder keinem Risiko, etwa Spamfilter oder KI-gestützte Videospiele, fallen nicht unter besondere neue Vorgaben. Andere Fälle müssen transparent machen, dass Menschen mit einer Maschine interagieren oder KI-generierte Inhalte sehen. Besonders strenge Anforderungen gelten für bestimmte Hochrisiko-Systeme. Einige Praktiken sind verboten, weil sie eine klare Bedrohung für Sicherheit, Lebensgrundlagen oder Rechte von Menschen darstellen.
Die Verordnung richtet sich vor allem an Anbieter und Betreiber bestimmter KI-Systeme. „Anbieter“ ist vereinfacht gesagt, wer ein System entwickelt oder unter eigenem Namen in Verkehr bringt; Betreiber setzen es ein. Welche Rolle ein Unternehmen tatsächlich hat, ergibt sich aus dem konkreten Fall und dem Gesetzestext. Der AI Act ergänzt andere EU-Regeln, statt sie zu ersetzen. Wer etwa personenbezogene Daten verarbeitet, muss zusätzlich die Anforderungen der Datenschutz-Grundverordnung beachten.
Die Europäische Kommission beschreibt vier Risikostufen. Diese Einteilung ist ein verständlicher Einstieg, ersetzt aber keine Prüfung der einzelnen Vorschriften und Anhänge.
Bei inakzeptablem Risiko verbietet der AI Act bestimmte Praktiken. Dazu zählen unter anderem schädliche KI-basierte Manipulation oder Ausnutzung von Schutzbedürftigkeit, Social Scoring, das wahllose Auslesen von Internet- oder Videoüberwachungsmaterial zum Aufbau von Gesichtserkennungsdatenbanken sowie bestimmte Formen von Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Die genauen Verbote und Ausnahmen stehen im Gesetz; ihre Anwendung hängt deshalb nicht allein von einem Schlagwort ab.
Hochrisiko-KI umfasst definierte Einsatzfelder, in denen Entscheidungen oder Bewertungen erhebliche Folgen haben können. Die Kommission nennt beispielsweise sicherheitsrelevante Komponenten kritischer Infrastruktur, Anwendungen in Bildung, Beschäftigung, Kreditwürdigkeitsbewertung, Strafverfolgung, Migration und Justiz. Für solche Systeme verlangt der Rechtsrahmen unter anderem Risikomanagement, geeignete Datenqualität, Protokollierung, technische Dokumentation, Informationen für Betreiber, menschliche Aufsicht sowie Anforderungen an Robustheit, Cybersicherheit und Genauigkeit.
Bei Transparenzrisiken geht es darum, dass Menschen eine KI-Nutzung erkennen können, wenn dies für eine informierte Entscheidung nötig ist. Ein Chatbot soll beispielsweise offenlegen, dass kein Mensch antwortet. Für bestimmte künstlich erzeugte oder veränderte Inhalte bestehen Kennzeichnungsanforderungen. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) gibt es zudem eigene Vorgaben, etwa zu Transparenz und Urheberrecht; bei systemischen Risiken kommen Risikobewertung und -minderung hinzu.
Die vierte Gruppe umfasst Anwendungen mit minimalem oder keinem Risiko. Dass hier keine speziellen neuen Pflichten des AI Act greifen, bedeutet nicht, dass jedes denkbare Verhalten erlaubt wäre: Andere Vorschriften, Verträge und allgemeine Sorgfaltspflichten können weiterhin relevant sein.
Ein Unternehmen möchte Bewerbungen mit einer Software vorsortieren, die Lebensläufe analysiert und eine Rangfolge vorschlägt. Dies ist nicht einfach deshalb Hochrisiko-KI, weil ein Algorithmus beteiligt ist. Der relevante Punkt ist der Einsatz im Beschäftigungskontext und die mögliche Auswirkung auf Zugang zu Arbeit. Die Kommission führt KI-Tools für Beschäftigung und Personalmanagement ausdrücklich als Hochrisiko-Beispiel auf.
Praktisch müsste das Unternehmen daher zuerst klären, welche Rolle es einnimmt, welches konkrete System verwendet wird und welche Pflichten für Anbieter und Betreiber gelten. Es sollte nicht nur auf einen automatisch erzeugten Score vertrauen, sondern die vorgesehene menschliche Aufsicht, Informationen und Prozesse für das konkrete System nachvollziehbar organisieren. Ob ein bestimmtes Produkt alle gesetzlichen Voraussetzungen erfüllt, ist eine Einzelfrage und keine Aussage, die sich allein aus diesem Beispiel ableiten lässt.
Der EU AI Act schafft einen Rahmen, in dem Organisationen KI-Systeme vor dem Inverkehrbringen und beim Einsatz risikoorientiert bewerten können. Für Anbieter ist er vor allem bei Entwicklung, Dokumentation und Marktbereitstellung relevant. Betreiber brauchen ihn, um Beschaffung, Einsatzkontext, Transparenz und Aufsicht einzuordnen. Behörden erhalten Aufgaben für Aufsicht und Durchsetzung; die EU-Kommission verweist dafür unter anderem auf das AI Office und die zuständigen Behörden der Mitgliedstaaten.
Auch für Personen außerhalb von Entwicklungs- und Compliance-Teams ist die Verordnung wichtig: Beschäftigte können auf KI-gestützte Personalentscheidungen treffen, Kundinnen und Kunden auf interaktive Systeme oder KI-generierte Inhalte. Der AI Act schafft nicht automatisch einen Anspruch auf ein bestimmtes Ergebnis. Er macht aber Anforderungen und Verantwortlichkeiten für festgelegte Anwendungsfälle sichtbarer. Grundlagen zu den technischen Konzepten erläutert der Begriff Künstliche Intelligenz.
Die Verordnung trat am 1. August 2024 in Kraft. Nach aktuellem Überblick der Europäischen Kommission gilt sie seit dem 2. August 2026 grundsätzlich, allerdings mit Ausnahmen und gestaffelten Terminen. Verbote bestimmter KI-Praktiken und Pflichten zur KI-Kompetenz gelten seit dem 2. Februar 2025. Governance-Regeln und GPAI-Pflichten gelten seit dem 2. August 2025.
Für Transparenzpflichten nennt die Kommission den 2. August 2026. Die Regeln für bestimmte Hochrisiko-Einsatzfelder nach Anhang III sollen nach dem aktuellen EU-Zeitplan ab dem 2. Dezember 2027 gelten; für Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind, nennt sie den 2. August 2028. Termine und Übergangsvorschriften können sich durch Änderungen des EU-Rechts oder durch die genaue Produkt- und Einsatzkategorie unterscheiden. Wer Pflichten ableiten muss, sollte deshalb die konsolidierte Rechtslage, die einschlägigen Artikel und Anhänge sowie aktuelle Leitlinien prüfen.
Ein verbreitetes Missverständnis lautet, jede generative KI sei automatisch Hochrisiko-KI. Die Kategorie richtet sich nicht pauschal nach der Technik oder Popularität eines Modells, sondern nach den gesetzlichen Tatbeständen und dem Einsatz. Umgekehrt genügt ein unverbindlicher Hinweis wie „KI im Einsatz“ nicht automatisch, wenn für den konkreten Fall weitergehende Anforderungen gelten.
Ebenso ist der EU AI Act kein vollständiges Datenschutzgesetz. Er behandelt Risiken von KI-Systemen und -Modellen; Datenschutz, Verbraucherschutz, Produktsicherheit, Arbeitsrecht oder Diskriminierung können daneben maßgeblich sein. Dieser Lexikonartikel erklärt den Rahmen und ersetzt keine Rechtsberatung. Für rechtlich belastbare Entscheidungen sind der vollständige Gesetzestext, gegebenenfalls nationale Durchführung und fachkundige Beratung notwendig.
Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Der EU AI Act betrifft dagegen KI-Systeme und KI-Modelle sowie ihre Risiken. Beide Regelwerke können auf denselben Einsatz zugleich anwendbar sein.
„Künstliche Intelligenz“ bezeichnet ein technisches und fachliches Feld. Der EU AI Act ist dagegen ein EU-Rechtsakt, der bestimmte KI-bezogene Tätigkeiten reguliert. Ein Sprachmodell oder ein Chatbot ist daher nicht mit der Verordnung gleichzusetzen.