Was der EU AI Act für das nächste Jahrzehnt bedeutet

Der EU AI Act, die Verordnung (EU) 2024/1689 (auf Deutsch kurz: KI-Verordnung), gilt weithin als das erste umfassende Gesetz, das künstliche Intelligenz nach dem Risiko regelt, das ein System für Menschen darstellt. Die Verordnung ordnet KI-Anwendungen Risikostufen zu, erlegt den Anbietern von Hochrisiko-Systemen die meisten Pflichten auf, gilt stufenweise von 2025 bis 2028 und bindet jeden Anbieter, der ein System auf dem EU-Markt in Verkehr bringt, unabhängig von seinem Sitz.

Ein Gesetz, das vom Risiko ausgeht, nicht von der Technologie

Mit Ausnahme der KI-Modelle mit allgemeinem Verwendungszweck (siehe unten) regelt die Verordnung nicht die Technologie als solche, sondern den Zweck, zu dem ein System eingesetzt wird, und den Schaden, den dieser Einsatz verursachen könnte. Die Systeme werden in vier Stufen eingeteilt:

• eine kurze Liste verbotener Praktiken
• eine längere Liste von Hochrisiko-Anwendungen
• Transparenzpflichten für Systeme, die mit Menschen interagieren oder Inhalte erzeugen
• ein großer Rest, für den nur die Pflicht gilt, beim Personal für KI-Kompetenz zu sorgen

Dasselbe Sprachmodell birgt ein minimales Risiko, wenn es einen Newsletter entwirft, und ist Teil eines Hochrisiko-Systems, wenn es Bewerbungen in eine Rangfolge bringt. Das Risiko knüpft überwiegend an die Zweckbestimmung an, nicht an den Code.

Verbotene Praktiken und Hochrisiko-Anwendungen

Die ursprünglichen Verbote gelten seit dem 2. Februar 2025. Dazu gehören Social Scoring, das zu einer ungerechtfertigten Benachteiligung führt, manipulative Techniken, die erheblichen Schaden verursachen, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Gesichtserkennungsdatenbanken sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer zu medizinischen oder Sicherheitszwecken. Die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist verboten, mit eng gefassten Ausnahmen. Die Änderung von 2026 hat zwei weitere Verbote eingeführt, die ab dem 2. Dezember 2026 gelten: KI-Systeme, die ohne ausdrückliche Einwilligung der betroffenen Person realistische intime oder sexuell explizite Bilder, Videos oder Audioinhalte einer identifizierbaren Person erzeugen oder manipulieren, und KI-Systeme, die Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren. Verstöße ziehen die höchsten Geldbußen der Verordnung nach sich: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Der Hochrisiko-Status entsteht auf zwei Wegen. Ein Sicherheitsbauteil eines Produkts, das unter die in der Verordnung aufgeführten EU-Produktvorschriften fällt, etwa ein Medizinprodukt oder ein Aufzug, gilt als hochriskant, wenn diese Vorschriften eine Konformitätsbewertung durch Dritte verlangen, und durchläuft dann das Konformitätsbewertungsverfahren des Produkts. Eigenständige Systeme, die für die in acht Bereichen aufgeführten Zwecke eingesetzt werden, gelten grundsätzlich als hochriskant:

• Biometrie
• kritische Infrastruktur
• Bildung
• Beschäftigung
• grundlegende Dienste (einschließlich Kreditwürdigkeitsprüfung sowie Lebens- und Krankenversicherung)
• Strafverfolgung
• Migration, Asyl und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Typische Beispiele sind die Bewertung von Prüfungen sowie Entscheidungen über Sozialleistungen.

Pflichten für Anbieter und Betreiber

Ein Anbieter entwickelt ein System und bringt es unter eigenem Namen auf den Markt; ein Betreiber nutzt es beruflich. Die meisten Pflichten liegen bei den Anbietern von Hochrisiko-Systemen. Sie müssen:

• ein dokumentiertes Risikomanagement über den gesamten Lebenszyklus des Systems betreiben
• Daten-Governance für Trainings-, Validierungs- und Testdaten sicherstellen, einschließlich einer Prüfung auf Bias
• eine technische Dokumentation erstellen und eine automatische Protokollierung von Ereignissen einbauen
• das System auf menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit hin auslegen
• eine Konformitätsbewertung durchführen (in der Regel intern), die CE-Kennzeichnung anbringen und eigenständige Systeme in der EU-Datenbank registrieren

Betreiber müssen die Betriebsanleitung befolgen, die Aufsicht fachkundigen Personen mit der Befugnis zum Eingreifen übertragen, Protokolle aufbewahren, Betroffene informieren, wenn ein solches System in Entscheidungen über sie einfließt, und die Beschäftigten und ihre Vertretungen unterrichten, bevor sie ein solches System am Arbeitsplatz einsetzen. Öffentliche Stellen, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber, die Hochrisiko-Systeme für die Kreditwürdigkeitsprüfung oder für Lebens- und Krankenversicherungen einsetzen, müssen zuvor die Auswirkungen auf die Grundrechte abschätzen.

Tests auf Bias erfordern häufig sensible Merkmale wie die ethnische Herkunft oder den Gesundheitszustand, deren Verarbeitung das Datenschutzrecht einschränkt. Seit der Änderung von 2026 erlaubt Artikel 4a der Verordnung, solche Daten zur Erkennung und Korrektur von Bias zu verarbeiten, nicht mehr nur bei Hochrisiko-Systemen, unter Schutzvorkehrungen und nur dann, wenn synthetische, anonymisierte oder andere Daten nicht ausreichen würden. Ob sie ausreichen, ist eine technische Frage, die der technische Bericht der Stiftung zu synthetischen, anonymisierten und differentiell privaten Daten für die Bias-Erkennung untersucht.

Der Zeitplan und die Regeln für KI mit allgemeinem Verwendungszweck

Die Verordnung gilt stufenweise:

• 1. August 2024: Inkrafttreten
• 2. Februar 2025: die ursprünglichen Verbote und die Pflicht zur KI-Kompetenz
• 2. August 2025: die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck
• 2. August 2026: die meisten übrigen Vorschriften, darunter die Transparenzpflichten für Systeme, die mit Menschen interagieren oder Inhalte erzeugen
• 2. Dezember 2026: die beiden 2026 hinzugefügten Verbote sowie die Pflicht zur Kennzeichnung KI-generierter Inhalte für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden
• 2. Dezember 2027: die meisten Pflichten für Hochrisiko-Systeme (ursprünglich 2. August 2026)
• 2. August 2028: die Pflichten für Hochrisiko-KI in Produkten, die unter EU-Produktvorschriften fallen (ursprünglich 2. August 2027)

Im November 2025 hat die Europäische Kommission Änderungen vorgeschlagen, den digitalen Omnibus zu KI; Parlament und Rat haben sie in überarbeiteter Fassung als Verordnung (EU) 2026/1744 angenommen, die seit dem 27. Juli 2026 in Kraft ist.

Anbieter von Modellen mit allgemeinem Verwendungszweck, also von Modellen, die sich an viele Aufgaben anpassen lassen, müssen eine technische Dokumentation führen, die Entwickler informieren, die auf ihren Modellen aufbauen, eine Strategie zur Einhaltung des Urheberrechts festlegen und eine Zusammenfassung der Trainingsinhalte veröffentlichen. Für Modelle mit systemischem Risiko kommen Pflichten zur Evaluierung, zur Risikominderung, zur Meldung von Vorfällen und zur Cybersicherheit hinzu. Der 2025 veröffentlichte Praxisleitfaden für KI mit allgemeinem Verwendungszweck (General-Purpose AI Code of Practice) bietet einen freiwilligen Weg, die Einhaltung der Regeln nachzuweisen; durchgesetzt werden diese Regeln vom Büro für Künstliche Intelligenz der EU (AI Office), das bei der Kommission angesiedelt ist.

Warum die Wirkung über Europa hinausreicht

Drei Mechanismen tragen die Verordnung ins Ausland. Geltungsbereich: Sie bindet jeden Anbieter, der ein System auf dem EU-Markt in Verkehr bringt, unabhängig von seinem Sitz, sowie Anbieter und Betreiber außerhalb der EU, deren System Ergebnisse liefert, die in der Union verwendet werden. Ökonomie: Viele Unternehmen bevorzugen eine einzige weltweite Version eines Produkts, sodass eine strenge Regel in einem großen Markt anderswo zum Standard werden kann, ein Muster, das als Brüssel-Effekt bekannt ist und nach der DSGVO viel diskutiert wurde. Normung: Harmonisierte europäische Normen begründen, sobald ihre Fundstellen im Amtsblatt der Europäischen Union veröffentlicht sind, eine Vermutung der Konformität mit den Anforderungen an Hochrisiko-Systeme, und die Praktiken, die sie festschreiben, können zusammen mit den Produkten in andere Märkte gelangen.

Neben der Verordnung stehen die KI-Grundsätze der OECD, das AI Risk Management Framework des NIST, die Norm ISO/IEC 42001 und das Rahmenübereinkommen des Europarats über künstliche Intelligenz. Das nächste Jahrzehnt wird zeigen, ob diese Rahmenwerke in gemeinsamen technischen Nachweisen zusammenlaufen oder in unvereinbare Formalitäten zersplittern.

Was zu beobachten bleibt und was jetzt zu tun ist

Offen bleibt, wie schnell die harmonisierten Normen vorliegen, wie die Ausnahmen von der Hochrisiko-Einstufung in der Praxis ausgelegt werden und wie das Recht auf Erläuterung aus der Verordnung mit Artikel 22 der DSGVO zusammenspielt.

Jede Schule, Gemeinde, Nichtregierungsorganisation und jedes kleine Unternehmen kann jetzt anfangen: die eingesetzten KI-Systeme auflisten, prüfen, welche davon einen der aufgeführten Hochrisiko-Bereiche berühren, Dokumentation von den Anbietern anfordern, festlegen, wer für die Aufsicht verantwortlich ist, und das Personal schulen, eine Pflicht, die bereits gilt. Einzelpersonen erhalten gesetzlich verankerte Schutzrechte: einen Hinweis, wenn sie mit einem KI-System interagieren, eine Erläuterung wichtiger Entscheidungen, die auf einem Hochrisiko-System beruhen, und die Möglichkeit, sich bei einer Marktüberwachungsbehörde zu beschweren. Die Stiftung erforscht die technischen Nachweise, die solche Regeln erfordern, und veröffentlicht ihre Ergebnisse als technische Berichte und Analysen.

Kurz gesagt

Der EU AI Act, die Verordnung (EU) 2024/1689, gilt weithin als das erste umfassende Gesetz, das KI nach dem Risiko regelt, das ein System für Menschen darstellt. Er ordnet KI-Anwendungen Risikostufen zu, erlegt den Anbietern von Hochrisiko-Systemen die meisten Pflichten auf und gilt stufenweise von 2025 bis 2028. Er bindet jeden Anbieter, der ein System auf dem EU-Markt in Verkehr bringt, unabhängig von seinem Sitz.

Häufige Fragen

Welche Risikostufen gibt es im EU AI Act?

Der EU AI Act teilt Systeme in vier Stufen ein: eine kurze Liste verbotener Praktiken, eine längere Liste von Hochrisiko-Anwendungen, Transparenzpflichten für Systeme, die mit Menschen interagieren oder Inhalte erzeugen, und einen großen Rest, für den nur die Pflicht gilt, beim Personal für KI-Kompetenz zu sorgen. Das Risiko knüpft überwiegend an die Zweckbestimmung an, nicht an den Code.

Welche KI-Praktiken verbietet der EU AI Act?

Die ursprünglichen Verbote, die seit dem 2. Februar 2025 gelten, umfassen Social Scoring, das zu einer ungerechtfertigten Benachteiligung führt, manipulative Techniken, die erheblichen Schaden verursachen, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Gesichtserkennungsdatenbanken sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen außer zu medizinischen oder Sicherheitszwecken. Zwei weitere Verbote, 2026 hinzugekommen, gelten ab dem 2. Dezember 2026.

Was gilt nach dem EU AI Act als Hochrisiko-KI-System?

Der Hochrisiko-Status entsteht auf zwei Wegen. Ein Sicherheitsbauteil eines Produkts, das unter aufgeführte EU-Produktvorschriften fällt, etwa ein Medizinprodukt oder ein Aufzug, ist Hochrisiko, wenn diese Vorschriften eine Konformitätsbewertung durch Dritte verlangen. Eigenständige Systeme sind es standardmäßig, wenn sie für Zwecke in acht Bereichen eingesetzt werden, darunter Biometrie, Bildung, Beschäftigung, Strafverfolgung und grundlegende Dienste wie die Kreditwürdigkeitsprüfung.

Ab wann gelten die Regeln des EU AI Act?

Der EU AI Act ist am 1. August 2024 in Kraft getreten. Die ursprünglichen Verbote und die Pflicht zur KI-Kompetenz gelten ab dem 2. Februar 2025, die Pflichten für KI mit allgemeinem Verwendungszweck ab dem 2. August 2025 und die meisten übrigen Regeln ab dem 2. August 2026. Die meisten Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027, die für KI in Produkten, die unter EU-Produktvorschriften fallen, ab dem 2. August 2028.

Gilt der EU AI Act auch für Unternehmen außerhalb der EU?

Ja. Der EU AI Act bindet jeden Anbieter, der ein System auf dem EU-Markt in Verkehr bringt, unabhängig von seinem Sitz, sowie Anbieter und Betreiber im Ausland, deren System-Ausgaben in der Union verwendet werden. Viele Unternehmen bevorzugen zudem eine einzige weltweite Produktversion, sodass eine strenge Regel in einem großen Markt anderswo zum Standard werden kann, ein Muster, das als Brüssel-Effekt bekannt ist.

Zitiervorschlag LASTHUMAN-Stiftung. (2026, 15. Oktober). Was der EU AI Act für das nächste Jahrzehnt bedeutet. https://lasthuman.today/de/insights/eu-ai-act-next-decade.html