Der EU AI Act verpflichtet Entwickler und Betreiber von KI-Systemen zu einem risikobasierten Regelwerk: Hochrisiko-Systeme etwa in Medizin oder autonomem Fahren unterliegen verbindlichen Konformitätsbewertungen durch nationale Notifizierungsstellen. Für Unternehmen, die generative KI im Geschäftsbetrieb einsetzen, bedeutet der AI Act konkrete Compliance-Pflichten: Je nach Risikoklasse sind Konformitätsnachweise, Transparenzanforderungen und Zertifizierungsverfahren durch national benannte Stellen erforderlich. Fehlerhafte oder diskriminierende KI-Systeme, etwa bei der automatisierten Bewerbungsvorauswahl, können zu Sanktionen führen. Entscheider müssen frühzeitig prüfen, welche ihrer KI-Anwendungen als hochriskant eingestuft werden und welche nationalen Behörden für die Zertifizierung zuständig sind.

EU AI Act 2025: Konformitätsbewertung für generative KI – Nationale Notifizierungsstellen und Zertifizierungsbefugnisse

Der EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen zu einem risikobasierten Konformitätsrahmen, der je nach Risikostufe unterschiedliche Prüf- und Zertifizierungsverfahren vorschreibt. Für generative KI und sogenannte General-Purpose-AI-Modelle (GPAI) gelten dabei eigene Transparenz- und Dokumentationspflichten.

Risikobasierter Rahmen: Was der AI Act konkret verlangt

Die Europäische Union hat mit dem AI Act ein verbindliches Regelwerk für Entwicklung und Einsatz von KI-Systemen geschaffen, das auf einem Risikoklassifizierungssystem beruht. Die Plattform Lernende Systeme beschreibt das Ziel als wertegeleitete Regulierung, die vertrauenswürdige KI-Entwicklung sichern soll. Systeme mit inakzeptablem Risiko sind verboten, Hochrisiko-KI unterliegt strengen Anforderungen an Transparenz, Dokumentation und menschliche Aufsicht.

Für generative KI-Anwendungen bedeutet das in der Praxis:

• Konformitätsbewertung vor Markteinführung: Anbieter von Hochrisiko-KI-Systemen müssen vor dem Inverkehrbringen nachweisen, dass ihre Systeme die Anforderungen des AI Acts erfüllen. Nationale Notifizierungsstellen akkreditieren dafür Konformitätsbewertungsstellen, die als unabhängige Dritte Zertifizierungen ausstellen dürfen. Mehr zu den Prüfverfahren finden Sie unter EU AI Act: Konformitätsbewertung für Foundation Models.

• Dokumentations- und Transparenzpflichten für GPAI-Anbieter: Anbieter von GPAI-Modellen, also leistungsfähigen Basismodellen wie großen Sprachmodellen, müssen technische Dokumentation bereitstellen, Urheberrechtsrichtlinien veröffentlichen und die Trainingsdaten zusammenfassen. Details zu den Fristen und Meldeverfahren beschreibt der Beitrag zu GPAI-Notifizierungspflichten und Fristen.

• Fehlerhafte KI-Systeme als konkretes Risiko: Die Plattform Lernende Systeme benennt als Beispiele fehlerhafte KI im autonomen Fahren oder in der Arztpraxis sowie diskriminierende Algorithmen bei der Bewerbervorsortierung, wenn das Trainingsmodell auf einem eingeschränkten Datensatz basiert. Der Regulierungsrahmen soll genau diese Risiken minimieren. Zu den Pflichten bei KI in der Personalauswahl lesen Sie mehr unter Hochrisiko-KI in Personalauswahl und Audit.

• Nationale Notifizierungsstellen als Schlüsselakteure: Jeder EU-Mitgliedsstaat benennt nationale Notifizierungsstellen, die Konformitätsbewertungsstellen benennen und überwachen. Diese Stellen prüfen, ob Zertifizierungseinrichtungen die Anforderungen des AI Acts erfüllen, bevor sie Zulassungen für Konformitätsbewertungen erteilen. Für Deutschland kommt dem Bundesamt für Sicherheit in der Informationstechnik dabei eine zentrale Rolle im KI-Sicherheitsbereich zu. Weiterführende Informationen zu BSI-Anforderungen finden Sie unter BSI C5-Katalog und KI-Sicherheit.

Praktische Implikationen für Unternehmen

1. Zertifizierungspflicht trifft Anbieter und Betreiber unterschiedlich Unternehmen, die Hochrisiko-KI-Systeme anbieten, müssen aktiv eine Konformitätsbewertung durch eine notifizierte Stelle durchführen lassen oder, bei bestimmten Systemen, eine Selbstbewertung mit vollständiger Dokumentation vorlegen. Betreiber hingegen tragen Verantwortung für die ordnungsgemäße Nutzung gemäß Zweckbestimmung. Die Kostenimplikationen für KMU sind erheblich, wie der Beitrag zu Konformitätskosten für den Mittelstand zeigt.

2. Generative KI mit systemischem Risiko unterliegt verschärften Pflichten GPAI-Modelle, die als systemisch riskant eingestuft werden, müssen zusätzliche Sicherheitsevaluierungen durchführen und Vorfälle an die EU-Behörden melden. Das EU AI Office in Brüssel ist für die Aufsicht über GPAI-Anbieter zuständig. Zur Struktur und den Kompetenzen des EU AI Office informiert der Artikel zu EU AI Office: Struktur und Durchsetzung.

3. Freiwillige Selbstverpflichtungen als ergänzender Weg Die Plattform Lernende Systeme beschreibt neben staatlichen Normen auch freiwillige Selbstverpflichtungen als Instrument zur Entwicklung vertrauenswürdiger KI. Im Kontext des AI Acts können Verhaltenskodizes für GPAI-Anbieter als Ergänzung zu den verbindlichen Pflichten dienen. Ergänzend dazu ist die ISO-42001-Zertifizierung als Governance-Rahmen relevant, erläutert im Artikel zu ISO 42001 und KI-Governance im Mittelstand.

4. Compliance-Fahrplan mit konkreten Fristen erforderlich Die Anforderungen des AI Acts treten gestaffelt in Kraft. Unternehmen, die jetzt mit der Konformitätsbewertung beginnen, verschaffen sich Vorlaufzeit für die Zertifizierung durch notifizierte Stellen. Eine strukturierte Compliance-Roadmap ist Voraussetzung, um Bußgelder zu vermeiden. Einen Überblick über die Phasen bis 2026 bietet der Artikel zur EU AI Act Compliance-Roadmap.

Quellen

• AI Act der Europäischen Union – Plattform Lernende Systeme (PDF)
• AI Act und Regulierung von KI – Plattform Lernende Systeme

Häufige Fragen

Was versteht der EU AI Act unter einem risikobasierten Ansatz bei der Konformitätsbewertung?

Der AI Act stuft KI-Systeme nach ihrem Risikopotenzial ein. Systeme mit unannehmbarem Risiko sind verboten. Hochrisiko-KI, etwa in der Medizin oder im autonomen Fahren, unterliegt strengen Anforderungen und muss vor dem Marktzugang eine Konformitätsbewertung durchlaufen. Geringrisiko-Systeme können hingegen mit freiwilligen Transparenzpflichten auskommen.

Welche Rolle spielen nationale Notifizierungsstellen bei der Zertifizierung von KI-Systemen?

Die EU-Mitgliedstaaten benennen nationale Behörden, die sogenannte notifizierte Stellen akkreditieren und überwachen. Diese Stellen prüfen, ob Hochrisiko-KI-Systeme die Anforderungen des AI Acts erfüllen. Sie erteilen entsprechende Konformitätsbescheinigungen. Anbieter, die den europäischen Markt bedienen wollen, müssen ihre Systeme bei einer solchen akkreditierten Stelle bewerten lassen.

Müssen Anbieter generativer KI-Modelle dieselben Konformitätspflichten erfüllen wie Hochrisiko-KI-Anbieter?

Der AI Act unterscheidet zwischen Allzweck-KI-Modellen (GPAI) und Hochrisiko-Systemen. Für GPAI-Modelle mit systemischem Risiko gelten eigene Transparenz- und Sicherheitspflichten, darunter technische Dokumentation und Meldepflichten. Eine vollständige Hochrisiko-Konformitätsbewertung durch eine notifizierte Stelle ist für generative Modelle nicht automatisch verpflichtend, kann aber greifen, wenn das Modell in einer Hochrisikoanwendung eingesetzt wird.

Warum warnen Experten vor möglicher Überregulierung durch den AI Act?

Führende Wissenschaftler haben die EU darauf hingewiesen, dass zu strenge Auflagen die KI-Forschung behindern könnten. Auch in der FAZ wurde argumentiert, dass Forschungsfreiräume erhalten bleiben müssen. Der AI Act versucht, diesen Bedenken durch abgestufte Anforderungen Rechnung zu tragen, doch ob das Gleichgewicht gelingt, wird in der Fachwelt weiterhin diskutiert.

Gilt der EU AI Act auch für Unternehmen außerhalb der EU, die KI-Systeme in Europa anbieten?

Ja. Der AI Act gilt nicht nur für europäische Anbieter, sondern auch für Unternehmen mit Sitz außerhalb der EU, sofern ihre KI-Systeme auf dem europäischen Markt bereitgestellt werden oder deren Ausgaben in der EU genutzt werden. Damit sind auch internationale Anbieter generativer KI-Modelle verpflichtet, die Anforderungen des Acts zu erfüllen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.