EU AI Act – Grundlagen und Compliance

💡 Der AI Act ist eine EU-Verordnung (Verordnung (EU) 2024/1689) und gilt daher unmittelbar in allen Mitgliedsstaaten ohne Umsetzungsbedarf.

💡 Der AI Act ist risikobasiert: Je höher das Risiko, desto umfassender die Pflichten – unabhängig von Technologie oder Unternehmensgröße.

💡 Der AI Act unterscheidt vier Klassen: unzulässig, Hochrisiko, begrenztes Risiko und minimales Risiko. Eine Förderungsklasse gibt es nicht.

💡 Social Scoring durch öffentliche Stellen ist verboten, da es Grundrechte und Menschenwürde unverhältnismäßig beeinträchtigt.

💡 Hochrisiko umfasst Sicherheitskomponenten regulierter Produkte (Anhang I) und die Bereiche des Anhangs III, etwa Personalentscheidungen, biometrische Identifikation oder Zugang zu wesentlichen Diensten.

💡 Hochrisiko-Systeme erfordern Risikomanagement, technische Dokumentation, menschliche Aufsicht sowie eine Konformitätsbewertung mit CE-Kennzeichnung vor dem Inverkehrbringen.

💡 Bei begrenztem Risiko reicht die Transparenzpflicht nach Art. 50 – Konformitätsbewertung ist nur für Hochrisiko-Systeme erforderlich.

💡 KI-generierte Inhalte und Deepfakes müssen maschinell als künstlich erkennbar gekennzeichnet sein (Transparenzpflicht Art. 50).

💡 GPAI-Modelle benötigen technische Dokumentation, Trainingsdaten-Zusammenfassung und Urheberrechtseinhaltung. Eine Veröffentlichungspflicht für Quellcode gibt es nicht.

💡 Die Verbote nach Art. 5 sowie die KI-Literacy-Pflicht nach Art. 4 gelten bereits seit dem 2. Februar 2025.

💡 Durch den Digital Omnibus on AI wurden die Hochrisiko-Pflichten nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben; für Anhang I-Systeme gilt der 2. August 2028.

💡 Bei verbotenen Praktiken drohen bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes; 15 Mio./3 % gelten für Hochrisiko-Pflichtverletzungen.

💡 Anbieter von Hochrisiko-KI-Systemen müssen einen KI-Beauftragten benennen, sofern sie nicht Kleinunternehmen sind. Die Funktion ist nicht freiwillig.

💡 Sinnvolle Umsetzung: KI-Inventar, Risikoklassifizierung, Verantwortlichkeiten, Dokumentation und Mitarbeiterschulung. Ein pauschaler KI-Verzicht ist nicht erforderlich.

💡 Menschliche Aufsicht bedeutet, dass Personen die KI wirksam überwachen und bei Bedarf Ergebnisse außer Kraft setzen können – ein rein automatisches Logging reicht nicht.

💡 Der AI Act schafft einen Rechtsrahmen für die sichere und vertrauenswürdige Nutzung von KI in der EU.

💡 Der AI Act unterscheidet u.a. unannehmbares, hohes und minimales Risiko (sowie eingeschränktes Risiko).

💡 Systeme mit unannehmbarem Risiko, z.B. Social Scoring und manipulative KI, sind verboten.

💡 Hochrisiko-KI-Systeme können erhebliche Beeinträchtigungen verursachen und unterliegen strengen Pflichten.

💡 Hochrisiko-KI benötigt Risikomanagement, Datenqualität, Transparenz und technische Dokumentation.

💡 Die Konformitätsbewertung stellt fest, ob ein Hochrisiko-KI-System den Anforderungen entspricht.

💡 Bestimmte Systeme wie Chatbots und Deep Fakes müssen als KI erkennbar gekennzeichnet werden.

💡 Explainable AI verlangt, dass KI-Entscheidungen transparent und nachvollziehbar sind.

💡 Anbieter müssen Dokumentation, Qualitätssicherung und Meldepflichten einhalten.

💡 Eine grundlegende Einflussnahme liegt vor, wenn erhebliche Auswirkungen auf Grundrechte oder Sicherheit bestehen.

💡 Betroffene haben Informations-, Widerspruchs- und Prüfungsrechte bei KI-Entscheidungen.

💡 Bias bedeutet systematische Verzerrungen, die zu unfairer oder diskriminierender KI-Ausgabe führen.

💡 Gute Datenqualität ist essenziell, um faire und zuverlässige KI-Systeme zu gewährleisten.

💡 Nach dem Inverkehrbringen müssen Anbieter das System weiterhin überwachen und verbessern.

💡 Die CE-Kennzeichnung zeigt, dass das KI-System den EU-Anforderungen entspricht.

💡 Betreiber müssen KI-Systeme vorschriftsmäßig und nach Herstelleranweisung einsetzen.

💡 Human Oversight stellt sicher, dass Menschen in KI-Entscheidungen eingreifen können.

💡 Die Datenbank schafft Transparenz über in der EU bereitgestellte Hochrisiko-Systeme.

💡 Bei verbotenen KI-Praktiken drohen bis zu 35 Mio. EUR oder 7 % des Umsatzes.

💡 Der Anbieter entwickelt und bringt das System in Verkehr; der Betreiber verwendet es.

💡 Transparenz verlangt, dass Nutzer erkennen, wenn sie mit KI-Systemen interagieren.

💡 Der AI Act berücksichtigt Open-Source-KI mit Ausnahmen, sofern keine Hochrisiko-Anwendung vorliegt.

💡 GPAI-Modelle sind vielseitig einsetzbar und haben eigene Pflichten im AI Act.

💡 GPAI-Modelle mit systemischem Risiko müssen bewertet, Risiken gemindert und Vorfälle gemeldet werden.

💡 Der AI Act betont, dass Menschen die Kontrolle behalten und KI nur unterstützend wirken soll.

💡 Der Digital Omnibus on AI, der im Juli 2026 in Kraft trat, verschiebt die Hochrisiko-Pflichten und ergänzt neue Verbote.

💡 Der Digital Omnibus verbietet zusätzlich KI-Systeme, die NCII oder CSAM erzeugen; die Verbote gelten ab dem 2. Dezember 2026.

💡 Ab dem 2. August 2026 gelten die Transparenzpflichten und die Durchsetzung beginnt. Die Hochrisiko-Pflichten nach Anhang III wurden auf den 2. Dezember 2027 verschoben; GPAI-Pflichten gelten bereits seit dem 2. August 2025.

💡 Die Pflicht wurde inhaltlich abgeschwächt: Unternehmen müssen die KI-Kompetenz ihrer Mitarbeitenden unterstützen, ohne ein konkretes Kompetenzniveau garantieren zu müssen.