AI Act

Der AI Act, auf Deutsch KI-Verordnung, ist das erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz in der Europäischen Union. Er wurde 2024 verabschiedet und tritt schrittweise bis 2027 in Kraft. Ziel ist es, einen einheitlichen Rechtsrahmen für die Entwicklung und den Einsatz von KI-Systemen zu schaffen, der Grundrechte und Sicherheit schützt, ohne Innovation auszubremsen.

Die Verordnung verfolgt einen risikobasierten Ansatz und teilt KI-Anwendungen in vier Kategorien ein. KI-Systeme mit unannehmbarem Risiko, etwa Social Scoring durch staatliche Stellen oder manipulative Verfahren, sind verboten. Hochrisiko-Systeme, beispielsweise in den Bereichen Personalauswahl, Kreditvergabe, kritische Infrastruktur oder Medizinprodukte, unterliegen strengen Auflagen wie Risikomanagement, Dokumentation, menschlicher Aufsicht und Konformitätsbewertung. Für Systeme mit begrenztem Risiko, etwa Chatbots, gelten Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit einer KI interagieren. Anwendungen mit minimalem Risiko, etwa Spamfilter, bleiben weitgehend unreguliert. Ergänzend gibt es besondere Regeln für sogenannte General-Purpose-AI-Modelle wie grosse Sprachmodelle.

Für kleine und mittlere Unternehmen ist der AI Act auch dann relevant, wenn sie selbst keine KI entwickeln. Wer KI-Werkzeuge einsetzt, etwa zur automatisierten Bewerbervorauswahl, zur Bonitätsprüfung oder zur Auswertung von Mitarbeiterdaten, kann als Betreiber eines Hochrisiko-Systems in die Pflicht genommen werden. Auch der Einsatz generativer KI für Marketingtexte, Bilder oder Videos bringt Kennzeichnungspflichten mit sich, etwa bei Deepfakes. Unternehmen sollten daher einen Überblick über die eingesetzten KI-Systeme führen, Lieferanten zur Konformität befragen und interne Zuständigkeiten klären. Verstösse können mit Bussgeldern von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden.

Der AI Act gilt international als Massstab und beeinflusst auch Regulierungsvorhaben ausserhalb der EU. Für die Schweiz besteht er nicht unmittelbar, wird aber für Unternehmen mit Kunden im EU-Raum praktisch wirksam. Verwandte Regelwerke sind die DSGVO, der Data Act und die Produkthaftungsrichtlinie.