EU AI Act

Der EU AI Act ist die erste umfassende gesetzliche Regelung weltweit, die den Einsatz und die Entwicklung von Künstlicher Intelligenz reguliert. Verabschiedet wurde die Verordnung 2024 durch die Europäische Union, und sie gilt unmittelbar in allen Mitgliedstaaten, also auch in Deutschland und Österreich. Ziel ist es, einen einheitlichen Rechtsrahmen zu schaffen, der Innovation ermöglicht, gleichzeitig aber Grundrechte, Sicherheit und Transparenz schützt.

Im Kern arbeitet die Verordnung mit einem risikobasierten Ansatz. KI-Systeme werden in vier Kategorien eingeteilt: unannehmbares Risiko (verboten, etwa Social Scoring durch Behörden), hohes Risiko (streng reguliert, etwa bei Personalauswahl, Kreditvergabe oder medizinischen Anwendungen), begrenztes Risiko (mit Transparenzpflichten, etwa Chatbots) und minimales Risiko (kaum reguliert, etwa Spamfilter). Für Hochrisiko-Systeme gelten umfangreiche Pflichten wie Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitätsbewertungen. Auch Anbieter von Allzweck-KI-Modellen wie grossen Sprachmodellen müssen technische Unterlagen bereitstellen und Urheberrechtsvorgaben beachten. Die Regelungen treten gestaffelt in Kraft, der grösste Teil greift ab 2026.

Für den Mittelstand ist der AI Act auch dann relevant, wenn keine eigene KI entwickelt wird. Schon der Einsatz fremder Systeme kann Pflichten auslösen, etwa wenn KI im Bewerbungsverfahren, bei der Mitarbeiterbewertung oder zur Bonitätsprüfung von Kunden genutzt wird. Dann gilt das Unternehmen als Betreiber und muss Transparenz, Schulung der Mitarbeitenden und menschliche Kontrolle sicherstellen. Wer Chatbots auf der Website einsetzt oder KI-generierte Inhalte veröffentlicht, muss dies kenntlich machen. Empfehlenswert ist eine Bestandsaufnahme: Welche KI-Systeme werden im Betrieb eingesetzt, und in welche Risikoklasse fallen sie?

Verstösse können mit Bussgeldern von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden. Der AI Act ergänzt bestehende Regelungen wie die DSGVO und sollte gemeinsam mit dieser betrachtet werden, da viele KI-Anwendungen auch personenbezogene Daten verarbeiten.