Der EU AI Act trat am 1. August 2024 in Kraft und klassifiziert KI-Systeme nach vier Risikostufen; Anwendungen der höchsten Risikoklasse sind seit Februar 2025 verboten. Für Anbieter und Betreiber von KI-Systemen in der EU sind die gestaffelten Pflichten des AI Act unmittelbar handlungsrelevant: Je nach Risikoeinstufung gelten unterschiedlich strenge Auflagen, von vollständigen Verboten bis hin zu Transparenz- und Dokumentationspflichten. Wer die Fristen verpasst oder seine Systeme falsch einordnet, riskiert empfindliche Bußgelder. Unternehmen müssen ihre KI-Portfolios daher bereits jetzt systematisch prüfen und eine konforme Strategie entwickeln, bevor weitere Übergangsfristen auslaufen.

EU AI Act: Was Anbieter von Foundation Models bei Konformität und Notifizierung beachten müssen

Der EU AI Act ist am 1. August 2024 in Kraft getreten und stellt das weltweit erste umfassende Gesetz zur Regulierung von künstlicher Intelligenz dar. Für Unternehmen, die KI-Systeme entwickeln oder einsetzen, gelten je nach Risikoklasse unterschiedliche Pflichten, die zeitversetzt wirksam werden. Erste Verbote greifen bereits seit Februar 2025.

Der risikobasierte Rahmen als Ausgangspunkt

Der AI Act folgt einem risikobasierten Ansatz und unterteilt KI-Systeme in vier Klassen:

• Unannehmbares Risiko: Verbotene Anwendungen wie Social-Scoring-Systeme oder Verhaltensmanipulation. Diese Kategorie ist seit Februar 2025 untersagt.
• Hohes Risiko: Systeme etwa in der Medizin, bei der Gesichtserkennung oder im Bildungsbereich. Hier gelten strenge Auflagen, darunter Risikomanagement und Dokumentationspflichten.
• Besondere Transparenzverpflichtungen: Systeme wie Chatbots müssen kenntlich machen, dass Nutzer mit einer KI interagieren.
• Minimales Risiko: Anwendungen wie Videospiele unterliegen kaum Einschränkungen.

Anbieter von Foundation Models, die als Basis für viele nachgelagerte KI-Produkte dienen, sind je nach Anwendungsfall häufig in der Hochrisiko-Kategorie oder als General-Purpose-AI-Systeme einzustufen und müssen entsprechende Konformitätsnachweise erbringen.

Praktische Implikationen für Unternehmen

1. Frühzeitige Risikoklassifizierung ist Pflicht

Unternehmen sollten ihre eingesetzten oder entwickelten KI-Systeme systematisch klassifizieren, bevor einzelne Regelungsabschnitte greifen. Da die Anforderungen zeitversetzt in Kraft treten, besteht zwar eine gewisse Übergangsfrist, doch die Vorbereitungen müssen bereits jetzt laufen. Wer die eigene Risikoklasse nicht kennt, kann keine rechtzeitige Konformität sicherstellen.

2. Hochrisiko-Systeme erfordern strukturiertes Risikomanagement

Für Systeme der Hochrisiko-Kategorie schreibt der AI Act unter anderem Risikomanagementverfahren, technische Dokumentation und Qualitätsmanagementsysteme vor. Anbieter von Foundation Models, deren Modelle in solchen Kontexten eingesetzt werden, müssen sicherstellen, dass nachgelagerte Anwender diese Anforderungen erfüllen können. Das setzt transparente Modellkarten und klare Nutzungsvorgaben voraus.

3. Bußgeldrisiko bei Nichteinhaltung ist konkret

Wer gegen den AI Act verstößt, riskiert laut den vorliegenden Regelungen hohe Geldbußen. Insbesondere der Einsatz verbotener KI-Systeme, der seit Februar 2025 geahndet wird, ist kein theoretisches Risiko mehr. Unternehmen sollten ihre KI-Governance-Strukturen daher nicht als reines Compliance-Projekt, sondern als dauerhaften Bestandteil des Risikomanagements etablieren.

4. Transparenzpflichten gelten auch für niedrigere Risikoklassen

Selbst Anbieter von Systemen mit besonderen Transparenzverpflichtungen, etwa Chatbot-Schnittstellen auf Basis von Foundation Models, müssen sicherstellen, dass Nutzer über die KI-Natur der Interaktion informiert werden. Diese Pflicht ist operativ vergleichsweise überschaubar, aber rechtlich bindend und bei Verstößen sanktionierbar.

Einordnung

Der AI Act wurde nach ersten Entwürfen aus dem Jahr 2021 und einer Einigung zwischen EU-Kommission, -Rat und -Parlament im Dezember 2023 verabschiedet. Ziel der Verordnung ist es laut EU-Kommission, vertrauenswürdige KI-Systeme zu fördern, ohne Innovationen grundsätzlich zu bremsen. Ob dieses Gleichgewicht gelingt, wird maßgeblich davon abhängen, wie Aufsichtsbehörden die Konformitätsprüfung in der Praxis handhaben.

Quellen

• Leitfaden: EU AI Act rechtssicher umsetzen – heise Business Services
• EU AI Act: Neue Regeln für den Einsatz von KI verstehen und umsetzen – heise.de
• Leitfaden: EU AI Act rechtssicher umsetzen (Whitepaper) – heise Business Services

Häufige Fragen

Was ist der EU AI Act und seit wann gilt er?

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von künstlicher Intelligenz. Er ist am 1. August 2024 in Kraft getreten. Die ersten verbindlichen Abschnitte, darunter das Verbot von KI-Anwendungen mit unannehmbarem Risiko, gelten seit Februar 2025. Weitere Anforderungen treten gestaffelt mit Übergangsfristen in Kraft.

Welche Risikokategorien unterscheidet der EU AI Act für KI-Systeme?

Der AI Act folgt einem risikobasierten Ansatz und teilt KI-Systeme in vier Klassen ein: ‘Unannehmbares Risiko’ (z. B. Social-Scoring-Systeme), ‘Hohes Risiko’ (z. B. medizinische Software oder Gesichtserkennung), ‘Systeme mit besonderen Transparenzverpflichtungen’ (z. B. Chatbots) sowie ‘Minimales Risiko’ (z. B. Videospiele). Je höher die Risikoklasse, desto strenger die Auflagen.

Welche Pflichten gelten speziell für Anbieter von Hochrisiko-KI-Systemen?

Für Hochrisiko-Systeme schreibt der AI Act strenge Auflagen vor, darunter Risikomanagementsysteme, Dokumentationspflichten und Transparenzanforderungen. Anbieter müssen nachweisen, dass ihre Systeme konform mit den gesetzlichen Vorgaben sind, bevor sie diese in der EU in Verkehr bringen. Die genauen Nachweispflichten hängen dabei von der jeweiligen Anwendungsdomäne ab.

Was droht Unternehmen, die den EU AI Act nicht einhalten?

Unternehmen, die gegen den EU AI Act verstoßen, riskieren hohe Bußgelder. Die Verordnung sieht abgestufte Sanktionen vor, die sich nach der Schwere des Verstoßes und der Risikokategorie des eingesetzten KI-Systems richten. Besonders schwerwiegend werden Verstöße gegen die Verbotstatbestände geahndet, die seit Februar 2025 in Kraft sind.

Wann müssen sich Unternehmen spätestens mit dem EU AI Act auseinandersetzen?

Unternehmen sollten sich bereits jetzt mit den Anforderungen des AI Act befassen, auch wenn nicht alle Regelungen sofort gelten. Da erste Abschnitte seit Februar 2025 verbindlich sind und weitere Pflichten gestaffelt folgen, ist frühzeitiges Handeln erforderlich, um Konformitätslücken und Bußgeldrisiken zu vermeiden. Eine rechtssichere KI-Strategie sollte daher zeitnah entwickelt werden.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.