Was ist der EU AI Act?

Der EU AI Act (die KI-Verordnung, Verordnung (EU) 2024/1689) ist das weltweit erste umfassende, horizontale Gesetz für künstliche Intelligenz. Er trat am 1. August 2024 in Kraft und reguliert KI nicht nach Branche, sondern nach Risiko: Je höher der mögliche Schaden, den ein KI-System für Gesundheit, Sicherheit oder Grundrechte darstellt, desto strenger die Pflichten. Der AI Act gilt für Anbieter und Betreiber von KI-Systemen, die in der EU eingesetzt werden, einschließlich Organisationen außerhalb der EU, deren KI-Ergebnisse in der EU verwendet werden. Damit ist er, wie die DSGVO vor ihm, ein faktischer globaler Standard.

Der AI Act zählt, weil er die weite Idee einer verantwortungsvollen KI in verbindliche rechtliche Anforderungen mit echten Bußgeldern übersetzt. Er legt fest, wofür KI nie eingesetzt werden darf, was KI mit hohem Einsatz vor dem Inverkehrbringen nachweisen muss und was jedes KI-System den Menschen offenlegen muss, die mit ihm zu tun haben. Für jede Organisation, die KI baut oder einsetzt, wird Governance damit von einer freiwilligen guten Praxis zu einer Compliance-Pflicht, und die Grundlage dieser Compliance ist die Fähigkeit, die Daten hinter jedem Modell zu dokumentieren und zu steuern.

Der EU AI Act im Überblick

Der AI Act ist eine Verordnung und gilt damit unmittelbar in allen Mitgliedstaaten der EU, ohne Umsetzung in nationales Recht. Er definiert ein „KI-System“ weit, in Begriffen, die an die Definition der OECD angelehnt sind, und verteilt Pflichten nach der Rolle, die eine Organisation einnimmt: Anbieter (entwickelt ein KI-System oder bringt es in Verkehr), Betreiber (verwendet ein KI-System in eigener Verantwortung) und in geringerem Maß Einführer und Händler. Die schweren Pflichten treffen überwiegend die Anbieter von Systemen mit hohem Risiko.

Die prägenden Merkmale des AI Act:

• Risikobasiert, nicht technologiebasiert - Derselbe Algorithmus kann in einer Anwendung unreguliert und in einer anderen hochriskant sein. Entscheidend sind Zusammenhang und Schadenspotenzial, nicht die Technik.
• Extraterritoriale Reichweite - Er gilt für Organisationen außerhalb der EU, deren KI-Systeme oder deren Ergebnisse in der EU verwendet werden.
• Horizontaler Anwendungsbereich - Er greift quer über alle Branchen, statt etwa nur KI in Medizin oder Finanzwesen zu regeln.
• Bußgelder über denen der DSGVO - Die höchste Stufe reicht bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, gegenüber 20 Mio. € oder 4 % nach der DSGVO. Für die meisten Organisationen gilt der jeweils höhere Betrag, für KMU einschließlich Start-ups der jeweils niedrigere (Art. 99 Abs. 6 KI-VO).

Die vier Risikostufen

Der AI Act ordnet KI-Systeme vier Risikostufen zu, jede mit einer anderen regulatorischen Last.

1. Unannehmbares Risiko: verboten

Art. 5 KI-VO verbietet in seiner ursprünglichen Fassung acht Praktiken vollständig, weil sie als unvereinbar mit europäischen Werten gelten: manipulative oder täuschende Techniken, die erheblichen Schaden verursachen, die Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder sozialer oder wirtschaftlicher Lage, Social Scoring durch jeden Akteur, ob öffentlich oder privat, die Vorhersage des Risikos, dass eine Person eine Straftat begeht, allein auf Grundlage von Profiling, ungezieltes Abgreifen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken, Emotionserkennung am Arbeitsplatz und in Schulen, biometrische Kategorisierung, um sensible Merkmale wie ethnische Herkunft oder politische Meinungen abzuleiten, sowie biometrische Fernidentifizierung in Echtzeit im öffentlichen Raum zu Zwecken der Strafverfolgung, vorbehaltlich enger Ausnahmen. Diese Verbote galten als Erstes, ab dem 2. Februar 2025. Der Digital Omnibus zur KI fügt ab dem 2. Dezember 2026 zwei weitere hinzu: KI-Systeme, die nicht einvernehmlich erstelltes intimes Material oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.

2. Hohes Risiko: strenge Pflichten

KI gelangt auf zwei Wegen in die Stufe hohes Risiko. Nach Art. 6 Abs. 1 KI-VO und Anhang I ist KI, die Sicherheitsbauteil eines Produkts im Geltungsbereich des EU-Produktsicherheitsrechts ist, etwa eines Medizinprodukts oder einer Maschine, hochriskant, wenn dieses Produkt eine Konformitätsbewertung durch Dritte benötigt. Nach Anhang III gilt auch KI in aufgeführten folgenreichen Bereichen, also Beschäftigung und Einstellung, Zugang zu Krediten und wesentlichen Diensten, Bildung, kritische Infrastruktur, Strafverfolgung, Migration und Rechtspflege, als „hochriskant“. Sie ist nicht verboten, muss aber vor und nach dem Inverkehrbringen einen erheblichen Satz an Pflichten erfüllen. Hier liegt der größte Teil der Compliance-Arbeit des AI Act.

3. Begrenztes Risiko: Transparenzpflichten

Systeme, die mit Menschen interagieren oder Inhalte erzeugen, tragen Transparenzpflichten: Nutzern muss gesagt werden, dass sie es mit einem Chatbot zu tun haben, und KI-erzeugte oder manipulierte Inhalte (Deepfakes) müssen als solche gekennzeichnet sein. Diese Pflichten nach Art. 50 KI-VO gelten ab dem 2. August 2026. Ziel ist eine informierte Interaktion, keine Zulassung vor dem Inverkehrbringen.

4. Minimales Risiko: keine besonderen Pflichten

Die große Mehrheit der KI, also Spamfilter, Empfehlungssysteme und Spiele-KI, fällt hierher. Sie trägt unter dem AI Act keine besonderen Pflichten über die Vorschrift zur KI-Kompetenz in Art. 4 KI-VO hinaus, die für Anbieter und Betreiber jedes KI-Systems gilt, auch wenn freiwillige Verhaltenskodizes gefördert werden.

Pflichten bei hohem Risiko

Für Systeme mit hohem Risiko müssen Anbieter ein Compliance-Programm aufbauen und pflegen, das den gesamten Lebenszyklus der KI umspannt. Die Kernpflichten sind:

• Risikomanagementsystem - Ein fortlaufender Prozess, um Risiken über den Lebenszyklus des Systems zu erkennen, zu bewerten und zu mindern.
• Daten und Daten-Governance (Art. 10 KI-VO) - Datensätze für Training, Validierung und Test müssen einschlägig, hinreichend repräsentativ und so fehlerfrei wie möglich sein und auf Verzerrungen geprüft werden. Das ist ein ausdrücklicher Auftrag an Datenqualität und Data Governance.
• Technische Dokumentation - Eine ausführliche Dokumentation, die die Compliance belegt und aktuell gehalten wird.
• Aufzeichnungspflicht (Protokollierung) - Automatische Protokollierung von Ereignissen zur Nachvollziehbarkeit über den gesamten Betrieb.
• Transparenz und Information der Betreiber - Klare Anweisungen, damit Betreiber das System richtig einsetzen können.
• Menschliche Aufsicht - Das System muss so gestaltet sein, dass Menschen es wirksam beaufsichtigen können.
• Genauigkeit, Robustheit und Cybersicherheit - In angemessenem Maß über den gesamten Lebenszyklus gewahrt.
• Konformitätsbewertung und Registrierung - Systeme mit hohem Risiko durchlaufen vor dem Inverkehrbringen eine Konformitätsbewertung, und Systeme mit hohem Risiko nach Anhang III werden in der EU-Datenbank registriert (Art. 49 und 71 KI-VO).

GPAI und der Zeitplan

KI-Modelle mit allgemeinem Verwendungszweck (GPAI), also Basismodelle und große Sprachmodelle, die sich auf viele Aufgaben anpassen lassen, unterliegen einem eigenen Regime. Alle GPAI-Anbieter tragen Transparenz- und Dokumentationspflichten, darunter eine Zusammenfassung der Trainingsdaten und eine Strategie zur Einhaltung des Urheberrechts. Modelle, denen ein „systemisches Risiko“ zugeschrieben wird, erkennbar vor allem an sehr hoher Trainingsrechenleistung, tragen zusätzliche Pflichten zu Bewertung, Risikominderung und Meldung von Vorfällen.

Der AI Act gilt gestaffelt statt auf einen Schlag. In der durch den Digital Omnibus zur KI geänderten Fassung sieht der Zeitplan so aus:

• 1. August 2024 - Inkrafttreten.
• 2. Februar 2025 - Die Verbote für KI mit unannehmbarem Risiko und die Pflichten zur KI-Kompetenz greifen.
• 2. August 2025 - Die Regeln für GPAI-Modelle sowie die Bestimmungen zu Governance und Bußgeldern gelten.
• 2. August 2026 - Die meisten übrigen Vorschriften gelten, darunter die Transparenzpflichten nach Art. 50 KI-VO.
• 2. Dezember 2026 - Die zwei neuen Verbote gelten, und generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Kennzeichnungspflicht nach Art. 50 Abs. 2 KI-VO erfüllen.
• 2. Dezember 2027 - Die Pflichten bei hohem Risiko für Systeme nach Anhang III gelten.
• 2. August 2028 - Die Pflichten bei hohem Risiko für KI in regulierten Produkten nach Anhang I gelten.

Die beiden Termine für hohes Risiko lagen ursprünglich auf dem 2. August 2026 und dem 2. August 2027. Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, hat sie verschoben, nachdem der Rat am 29. Juni 2026 endgültig grünes Licht gegeben hatte, vor allem weil die harmonisierten Normen für die Einhaltung nicht vorlagen. Die Verordnung wurde am 8. Juli 2026 angenommen und ist am 27. Juli 2026 in Kraft getreten. Sie hat außerdem die Vorschrift zur KI-Kompetenz in Art. 4 KI-VO abgeschwächt, von der Sicherstellung eines ausreichenden Maßes an KI-Kompetenz hin zu Maßnahmen, die sie fördern, und Erleichterungen für KMU auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet. Das vollständige Bild der Änderungen steht in unserem Blog: Der AI Omnibus: was sich im EU AI Act geändert hat.

Data Governance unter dem AI Act

Reduziert man den AI Act auf seinen betrieblichen Kern, ist vieles davon ein Auftrag an die Data Governance. Die Anforderung aus Art. 10 KI-VO, dass Trainingsdaten für Systeme mit hohem Risiko einschlägig, repräsentativ, fehlergeprüft und auf Verzerrungen untersucht sein müssen, lässt sich nicht erfüllen, ohne zu wissen, welche Daten ein Modell trainiert haben, woher sie stammen und ob sie für den Zweck taugen. Die Pflichten zu Dokumentation, Protokollierung und Nachvollziehbarkeit sind in der Praxis Anforderungen, Governance-Nachweise auf Verlangen vorzulegen.

Genau hier wird Governance-Werkzeug zur Compliance-Infrastruktur:

• Ein Datenkatalog und Metadatenmanagement liefern das Inventar, welche Daten es gibt und wie sie genutzt werden, und das ist der Ausgangspunkt jeder KI-Dokumentation.
• Data Lineage, besonders Lineage auf Spaltenebene, beantwortet die Frage „welche Daten haben dieses Modell trainiert, und was ändert sich, wenn eine Quelle sich ändert?“, das Rückgrat von Nachvollziehbarkeit und Auswirkungsanalyse.
• Datenklassifizierung und Qualitätskontrollen belegen, dass Datensätze auf Repräsentativität, Verzerrungen und Fehler geprüft wurden, wie Art. 10 KI-VO es verlangt.

Die weitere Rolle von Dawiso dabei ist Gegenstand der Lösung AI Governance und des verwandten Konzepts KI-Governance: Katalog, Glossar und Lineage, die Ihre Organisation ohnehin pflegt, in die dokumentierten und prüffähigen Nachweise zu überführen, die der AI Act verlangt. Compliance ist kein eigenes Projekt, das man an die KI anschraubt, sondern gesteuerte Daten, belegbar gemacht.

Fazit

Mit dem EU AI Act hat AI Governance aufgehört, freiwillig zu sein. Indem er Pflichten an Risiko knüpft und sie mit Bußgeldern hinterlegt, deren höchste Stufe die der DSGVO übersteigt, zwingt er Organisationen, die Daten hinter ihrer KI als reguliertes Gut zu behandeln: dokumentiert, nachvollziehbar, qualitätsgeprüft und gesteuert. Die technischen Anforderungen sind anspruchsvoll, aber machbar. Schwertun werden sich die Organisationen, die einfache Fragen zu ihren eigenen Daten nicht beantworten können. Wer seine Daten bereits gut steuert, wird feststellen, dass Compliance mit dem AI Act zu einem überraschend großen Teil Governance ist, die längst getan wurde.

Quellen

• Publications Office of the EU (EUR-Lex), Regulation (EU) 2024/1689, the Artificial Intelligence Act (Risikostufen, die Verbote nach Art. 5, Art. 6 und Anhang I und III, Data Governance nach Art. 10, Registrierung nach Art. 49 und 71, Transparenz nach Art. 50, Regeln für GPAI und Bußgelder nach Art. 99).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2026/1744, the Digital Omnibus on AI (die geänderten Termine für hohes Risiko, die zwei neuen Verbote, der Übergang bei Art. 50 Abs. 2, der geänderte Art. 4 sowie Erleichterungen für KMU und kleine Unternehmen mittlerer Kapitalisierung).
• European Commission, AI Act - regulatory framework for AI (Überblick über den risikobasierten Ansatz und die Geltungsdaten).
• Council of the EU, Artificial intelligence: Council gives final green light to simplify and streamline rules (Pressemitteilung vom 29. Juni 2026).
• OECD.AI, OECD AI Principles (die Definition eines KI-Systems der OECD, an die sich der AI Act anlehnt).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2016/679, General Data Protection Regulation (die Bußgeldobergrenze von 20 Mio. € oder 4 % nach Art. 83 DSGVO, für den Vergleich).