Der EU AI Act klassifiziert KI-Systeme in vier Risikostufen und verhängt bei Verstößen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Unternehmen, die KI in der EU entwickeln oder einsetzen, ist der risikobasierte Ansatz des Gesetzes unmittelbar handlungsrelevant: Acht KI-Praktiken sind seit Februar 2025 vollständig verboten, darunter soziales Scoring, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum und Emotionserkennung an Arbeitsplätzen. Für alle übrigen Hochrisiko-Anwendungen gelten strenge Anforderungen an Governance, Risikomanagement und Transparenz. Entscheider müssen ihre KI-Systeme daher systematisch auf ihre Risikostufe hin prüfen, bevor sie diese einsetzen oder weiterentwickeln.

EU AI Act: So klassifiziert das KI-Gesetz Risiken und was das für Unternehmen bedeutet

Der EU AI Act gilt als weltweit erstes umfassendes gesetzliches Rahmenwerk für künstliche Intelligenz. Er regelt Entwicklung und Einsatz von KI-Systemen in der Europäischen Union anhand eines risikobasierten Ansatzes: Je höher das eingestufte Risiko eines Systems, desto strenger die geltenden Anforderungen.

Vier Risikostufen als Grundprinzip

Das Gesetz unterscheidet vier Risikokategorien. KI-Systeme mit inakzeptablem Risiko sind vollständig verboten. Systeme mit hohem Risiko unterliegen strengen Anforderungen an Governance, Risikomanagement und Transparenz. Für Systeme mit begrenztem Risiko gelten spezifische Transparenzpflichten, und solche mit minimalem Risiko sind weitgehend unreguliert.

Darüber hinaus schafft das Gesetz eigene Regeln für sogenannte Allzweck-KI-Modelle, also Foundation Models wie sie etwa von IBM (Granite) oder Meta (Llama 3) angeboten werden.

Was ist verboten?

Seit Februar 2025 sind acht KI-Praktiken in der EU ausdrücklich untersagt. Dazu zählen laut der Europäischen Kommission:

• Schädliche Manipulation und Täuschung durch KI-Systeme
• Ausnutzung von Schwachstellen einzelner Personen
• Soziales Scoring durch öffentliche oder private Stellen
• Individuelle Kriminalitätsprognosen auf Basis von KI
• Ungezieltes Scraping von Internet- oder CCTV-Aufnahmen zum Aufbau von Gesichtserkennungsdatenbanken
• Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen
• Biometrische Kategorisierung zur Ableitung geschützter Merkmale
• Biometrische Echtzeit-Fernidentifizierung durch Strafverfolgungsbehörden in öffentlich zugänglichen Räumen

Die Europäische Kommission hat begleitend Leitlinien zu verbotenen KI-Praktiken veröffentlicht, die rechtliche Erläuterungen und praktische Beispiele für Unternehmen und Behörden bereitstellen.

Praktische Implikationen für Entscheider

1. Compliance-Prüfung ist unmittelbar erforderlich. Unternehmen, die KI-Systeme einsetzen oder entwickeln, müssen ihre Anwendungen anhand der vier Risikokategorien einordnen. Systeme, die unter die verbotenen Praktiken fallen, dürfen seit Februar 2025 nicht mehr betrieben werden.

2. Hohe Bußgelder bei Verstößen. Laut IBM können Strafen je nach Verstoß zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen. Welcher Schwellenwert gilt, hängt von der Art des Verstoßes ab.

3. HR- und Bildungsanwendungen besonders betroffen. Die explizite Nennung von Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen als verbotene Praktik trifft eine Reihe bereits am Markt befindlicher Produkte direkt. Unternehmen sollten entsprechende Tools kurzfristig auf ihre Konformität prüfen.

4. Allzweck-KI-Modelle unterliegen eigenen Regeln. Wer Foundation Models in Geschäftsprozesse integriert, muss die spezifischen Anforderungen des EU AI Act für diese Modellklasse beachten. Diese Regelungen gelten unabhängig von der Risikoeinstufung der nachgelagerten Anwendung.

Ausblick: Globale Signalwirkung

Ähnlich wie die DSGVO in der Datenschutzgesetzgebung wird dem EU AI Act von Fachleuten eine Signalwirkung auf andere Jurisdiktionen zugeschrieben. Ob und in welchem Umfang andere Staaten vergleichbare Rahmenwerke übernehmen werden, bleibt abzuwarten.

Quellen

• EU AI Act – IBM Think (de)
• KI-Gesetz: Regulierungsrahmen für KI – Europäische Kommission
• AI Act der Europäischen Union – Plattform Lernende Systeme (PDF)

Häufige Fragen

Welche Risikostufen unterscheidet der EU AI Act für KI-Systeme?

Das KI-Gesetz definiert vier Risikostufen: inakzeptables Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko. Je höher die eingestufte Gefährdung, desto strenger sind die geltenden Anforderungen. KI-Systeme mit inakzeptablem Risiko werden vollständig verboten, während für Systeme mit hohem Risiko unter anderem strenge Vorgaben zu Governance, Risikomanagement und Transparenz gelten.

Welche KI-Anwendungen sind im Rahmen des EU AI Act vollständig verboten?

Der EU AI Act verbietet insgesamt acht Praktiken, die als klare Bedrohung für Sicherheit, Lebensgrundlagen oder Grundrechte eingestuft werden. Darunter fallen unter anderem schädliche KI-basierte Manipulation und Täuschung, Soziales Scoring, biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung in öffentlichen Räumen, Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen sowie das ungezielte Abkratzen von Internetdaten oder CCTV-Material zur Erstellung von Gesichtserkennungsdatenbanken. Diese Verbote sind seit Februar 2025 in Kraft.

Welche Strafen drohen Unternehmen bei Verstößen gegen den EU AI Act?

Die Bußgelder sind nach Schwere des Verstoßes gestaffelt. Sie können zwischen 7,5 Millionen Euro oder 1,5 Prozent des weltweiten Jahresumsatzes und 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen. Maßgeblich ist jeweils der höhere der beiden Beträge.

Gilt der EU AI Act auch für allgemeine KI-Modelle wie große Sprachmodelle?

Ja. Das KI-Gesetz enthält explizit Regeln für sogenannte Allzweck-KI-Modelle. Als Beispiele gelten etwa IBMs Granite oder das auf Open Source basierende Foundation Model Llama 3 von Meta. Anbieter solcher Modelle unterliegen damit ebenfalls den Anforderungen des Gesetzes, auch wenn sie keine spezifische Hochrisikoanwendung entwickeln.

Welche internationale Bedeutung hat der EU AI Act über die EU hinaus?

Der EU AI Act gilt als weltweit erstes umfassendes gesetzliches Rahmenwerk zur Regulierung von künstlicher Intelligenz. Ähnlich wie die DSGVO im Datenschutzbereich erwarten Fachleute, dass das Gesetz auch außerhalb der EU als Orientierungsrahmen für KI-Governance und Ethikstandards wirken wird. Andere Staaten könnten sich bei der Ausgestaltung eigener KI-Regulierungen daran orientieren.