Der EU AI Act verpflichtet KI-Anbieter je nach Risikostufe zu abgestuften Dokumentations- und Transparenzpflichten: Acht konkret verbotene Praktiken traten bereits im Februar 2025 in Kraft, während für Hochrisiko-Systeme strenge Auflagen wie Risikomanagementsysteme und Konformitätsnachweise gelten. Unternehmen, die KI-Systeme entwickeln oder einsetzen, müssen ihre Compliance-Prozesse bereits jetzt anpassen, da erste Abschnitte der Verordnung seit Februar 2025 verbindlich gelten. Wer die Anforderungen an Dokumentation, Transparenz und Risikobewertung nicht rechtzeitig erfüllt, riskiert Verstöße gegen geltendes EU-Recht. Der risikobasierte Ansatz der Verordnung macht es für Entscheider unabdingbar, ihre KI-Systeme klar einzustufen und die jeweils zutreffenden Pflichten zu kennen.

EU AI Act: Was Dokumentations- und Transparenzpflichten für KI-Anbieter bedeuten

Mit dem EU AI Act hat die Europäische Kommission einen verbindlichen Rechtsrahmen für den Einsatz von künstlicher Intelligenz verabschiedet. Erste Teile der Verordnung greifen bereits seit Februar 2025. Unternehmen, die KI-Systeme entwickeln oder einsetzen, stehen damit vor konkreten Pflichten, die sie heute angehen müssen.

Der risikobasierte Ansatz als Ausgangspunkt

Das KI-Gesetz ordnet jedes KI-System einer von vier Risikostufen zu: inakzeptables Risiko, Hochrisiko, begrenztes Risiko und minimales Risiko. Von dieser Einstufung hängt direkt ab, welche Dokumentations- und Transparenzanforderungen ein Anbieter erfüllen muss. Systeme mit inakzeptablem Risiko sind vollständig verboten. Für alle anderen Kategorien staffeln sich die Pflichten entsprechend.

Acht verbotene Praktiken seit Februar 2025

Seit Februar 2025 sind acht spezifische KI-Praktiken untersagt. Dazu gehören laut EU-Kommission unter anderem schädliche KI-basierte Manipulation und Täuschung, Soziales Scoring durch öffentliche Stellen, die individuelle Risikobewertung zur Straftatenvorhersage, das ungezielte Auslesen von Internet- oder CCTV-Material zum Aufbau von Gesichtserkennungsdatenbanken, Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen sowie biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken in öffentlich zugänglichen Räumen. Die Kommission hat zur praktischen Anwendung Leitlinien zu verbotenen KI-Praktiken veröffentlicht, die rechtliche Erläuterungen und Beispiele enthalten.

Praktische Implikationen für Unternehmen

1. Klassifizierung vor Implementierung Bevor ein KI-System produktiv eingesetzt wird, müssen Anbieter und Betreiber es anhand der Risikostufen einordnen. Hochrisiko-Systeme, etwa im Bereich Gesichtserkennung oder Bildungsbewertung, unterliegen nach Angaben von heise KI PRO strengen Auflagen wie verpflichtenden Risikomanagementsystemen und technischer Dokumentation.

2. Dokumentationspflichten frühzeitig aufsetzen Für Hochrisiko-KI-Systeme sind umfangreiche Nachweise erforderlich, die den gesamten Entwicklungsprozess abdecken. Unternehmen sollten Dokumentationsprozesse nicht erst kurz vor dem Markteintritt etablieren, sondern in den Entwicklungsablauf integrieren.

3. Transparenz gegenüber Nutzern Die Verordnung verpflichtet Anbieter je nach Risikokategorie zur Offenlegung, wenn Nutzer mit einem KI-System interagieren. Informationen darüber, dass ein System automatisiert entscheidet oder Inhalte erzeugt, müssen verständlich kommuniziert werden.

4. Gestaffelte Fristen einplanen Die Anforderungen treten nicht alle gleichzeitig in Kraft, sondern zeitversetzt. Unternehmen müssen laut heise.de die einzelnen Fristen kennen und interne Compliance-Prozesse entsprechend priorisieren. Die Verbote galten ab Februar 2025; weitere Regelungen folgen schrittweise.

Einordnung

Der EU AI Act verfolgt das erklärte Ziel, vertrauenswürdige KI-Systeme zu fördern, ohne Innovationen grundsätzlich zu blockieren. Der risikobasierte Ansatz gibt Unternehmen einen strukturierten Rahmen, wie sie ihre Systeme einordnen und welche Nachweise sie erbringen müssen. Für Entscheider ist entscheidend: Die gestaffelten Fristen schaffen Vorlaufzeit, die aktiv genutzt werden sollte, um Compliance-Lücken zu schließen.

Quellen

• KI-Gesetz: Ein risikobasierter Ansatz, Europäische Kommission
• AI Act der Europäischen Union, Plattform Lernende Systeme (2024)
• EU AI Act: Neue Regeln für den Einsatz von KI verstehen und umsetzen, heise.de

Häufige Fragen

Welchen grundlegenden Ansatz verfolgt der EU AI Act bei der Regulierung von KI-Systemen?

Der EU AI Act folgt einem risikobasierten Ansatz. Er teilt KI-Systeme in vier Risikostufen ein: inakzeptables Risiko, Hochrisiko, begrenztes Risiko und minimales Risiko. Je höher das eingestufte Risiko eines Systems, desto strenger sind die Anforderungen, die Anbieter erfüllen müssen. Ziel der Verordnung ist es, vertrauenswürdige KI-Systeme zu fördern, ohne Innovationen unnötig zu behindern.

Welche KI-Praktiken sind seit Februar 2025 vollständig verboten?

Seit Februar 2025 sind acht KI-Praktiken verboten, die als klare Bedrohung für Sicherheit, Lebensgrundlagen oder Grundrechte eingestuft werden. Dazu zählen unter anderem schädliche KI-basierte Manipulation und Täuschung, Soziales Scoring, biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken in öffentlichen Räumen, Emotionserkennung an Arbeitsplätzen und Bildungseinrichtungen sowie das ungezielte Anlegen von Gesichtserkennungsdatenbanken aus Internet- oder CCTV-Material.

Was müssen Unternehmen konkret tun, um die Transparenzpflichten des AI Acts zu erfüllen?

Für Hochrisiko-KI-Systeme sieht der AI Act strenge Auflagen vor, darunter eine verpflichtende Risikoanalyse sowie Dokumentationspflichten. Anbieter müssen nachweisen können, wie ihr System funktioniert, auf welchen Daten es basiert und wie Risiken für Grundrechte bewertet wurden. Die EU-Kommission hat ergänzend Leitlinien zu verbotenen KI-Praktiken veröffentlicht, die rechtliche Erläuterungen und praktische Beispiele für die Umsetzung enthalten.

Ab wann müssen sich Unternehmen auf den EU AI Act vorbereiten, und welche Fristen gelten?

Unternehmen sollten sich bereits jetzt mit dem AI Act befassen, da die Verordnung zeitversetzt in Kraft tritt. Der erste und unmittelbar wirksame Abschnitt, die Verbote inakzeptabler KI-Praktiken, gilt seit Februar 2025. Weitere Pflichten, insbesondere für Hochrisiko-Systeme, folgen gestaffelt. Wer früh mit der internen Bestandsaufnahme und Dokumentation beginnt, reduziert das Risiko von Compliance-Lücken bei Ablauf der jeweiligen Fristen.

Gilt der EU AI Act nur für KI-Anbieter oder auch für Unternehmen, die KI-Systeme lediglich einsetzen?

Der AI Act richtet sich sowohl an Anbieter, die KI-Systeme entwickeln und in Verkehr bringen, als auch an Betreiber, die solche Systeme im geschäftlichen Kontext einsetzen. Beide Gruppen tragen je nach Risikokategorie des eingesetzten Systems unterschiedliche Pflichten. Betreiber von Hochrisiko-Systemen müssen beispielsweise sicherstellen, dass die vom Anbieter bereitgestellten Dokumentationen vorliegen und im Betrieb eingehalten werden.