Nach der Veröffentlichung im Amtsblatt der Europäischen Union am 12. Juli ist heute der AI Act (Verordnung über die Künstliche Intelligenz, VO (EU) 2024/1689) in Kraft getreten.

Eine Übersicht zu den Regelungen der KI-Verordnung findet sich in unserem Blog-Artikel hier.

Die gesamten Regelungen der KI-Verordnung gelten ab dem 2. August 2026, ein paar Regelungen finden aber schon früher Anwendung. Diese möchten wir hiermit näher vorstellen, um einen Überblick zu geben, welche Regelungen erstmals in ein paar Monaten gelten:

Anwendbare Regelungen ab 2. Februar 2025

Nach Art. 113 Abs. 3 lit. a KI-VO gelten ab dem 2. Februar 2025 die Kapitel I und II.

Kapitel 1

Kapitel 1 regelt:

• den Zweck der KI-Verordnung (Art. 1 KI-VO), nämlich

„das Funktionieren des Binnenmarkts zu verbessern und die Einführung einer auf den Menschen ausgerichteten und vertrauenswürdigen künstlichen Intelligenz (KI) zu fördern und gleichzeitig ein hohes Schutzniveau in Bezug auf Gesundheit, Sicherheit und die in der Charta verankerten Grundrechte, einschließlich Demokratie, Rechtsstaatlichkeit und Umweltschutz, vor schädlichen Auswirkungen von KI-Systemen in der Union zu gewährleisten und die Innovation zu unterstützen.“

• den Anwendungsbereich (Art. 2 KI-VO), nämlich die Geltung für

  Anbieter und Betreiber von KI-Systemen (maßgeblich ist, ob sie ihren Sitz in der Europäischen Union haben oder ihre KI-Modelle in der EU in Betrieb nehmen, in Verkehr bringen oder die Ausgabe in der EU verwendet wird);

  Einführer und Händler von KI-Systemen;

  Produkthersteller, die KI-Systeme zusammen mit ihrem Produkt unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringen oder in Betrieb nehmen;

  Bevollmächtigte von Anbietern, die nicht in der Union niedergelassen sind;

  betroffene Personen, die sich in der Union befinden.
  Ausnahmen gibt es z.B. für Privatleute (ausschließliche persönliche und nicht berufliche KI-Nutzung), militärische und wissenschaftliche Zwecke und für bestimmte nicht als riskant eingestufte KI-Systeme, die unter freien und quelloffenen Lizenzen bereitgestellt werden.

• die Definitionen (Art. 3 KI-VO), die für die gesamte KI-VO gelten
• die KI-Kompetenz (Art. 4 KI-VO), dieser Artikel sieht vor, dass Anbieter und Betreiber von KI-Systemen über ein ausreichendes Maß an KI-Kompetenz verfügen müssen. Die Definition des „Betreibers“ ist gem. Art. 3 Nr. 4 KI-VO eher weit zu verstehen, nämlich jede „natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet“ (ausgenommen ist lediglich die Verwendung im Rahmen einer persönlichen und nicht beruflichen Tätigkeit, die ja bereits von Anwendungsbereich der KI-VO ausgenommen ist).

Die Anbieter und Betreiber von KI-Systemen müssen also sicherstellen, dass ihr Personal und sonstige Erfüllungsgehilfen, die mit der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei diese abhängig ist von

• den technischen Kenntnissen
• den Erfahrungen
• der Ausbildung und Schulung und
• dem Kontext, in dem die KI-Systeme eingesetzt werden sollen

Was ist nun aber unter KI-Kompetenz zu verstehen? Das ist tatsächlich sehr vage. Art. 3 Nr. 56 KI-VO definiert die KI-Kompetenz wie folgt:

„die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“

Wie die genaue KI-Kompetenz zu vermitteln ist, definiert die KI-Verordnung also nicht. Sie ist wie dargestellt vor allem abhängig von dem beabsichtigten KI-Einsatz. Die innFactory AI Consulting GmbH bietet ab Oktober entsprechende KI-Schulungen für Unternehmen an.

Kapitel 2

Kapitel 2 betrifft die verbotenen Praktiken im KI-Bereich, diese sind in Art. 5 KI-Verordnung geregelt. Es handelt sich dabei um die Anwendung von KI, die als so gefährlich eingestuft wird, dass man sie in der EU nicht haben möchte wie etwa ein Social Scoring oder eine Emotionserkennung. Hier sind die Geldbußen auch besonders hoch: Im Falle eines Verstoßes können diese nämlich mit bis zu 35 Millionen Euro oder bis zu 7 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) geahndet werden.

Anwendbare Regelungen ab 2. August 2025

Ab dem 2. August gelten dann:

• die Regelungen zur Einrichtung des Notifizierungsverfahrens für Hochrisiko-KI (Kapitel III Abschnitt 4)
• die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V)
• die Vorschriften zur Einrichtung einer Governance auf EU-Ebene in Form verschiedener Gremien und auf Ebene der Mitgliedsstaaten in Form einer Aufsichtsbehörde (Kapitel VII)
• die Bußgeldvorschriften (Kapitel XII) mit Ausnahme der Geldbußen für Anbieter von KI-Systemen mit allgemeinem Verwendungszweck (Art. 101), wobei diese gestaffelt sind wie folgt:

  bei verbotenen KI-Systemen bis zu 35 Millionen Euro oder bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist;

  außerhalb von verbotenen KI-Systemen bis zu 15 Millionen Euro oder bis zu 3 % des Umsatzes für bestimmte aufgelistete Verstöße

  bei falscher Auskunftserteilung gegenüber den notifizierenden Stellen oder Behörden bis zu 7,5 Mio Euro oder bis zu 1 % des Jahresumsatzes

• die Vorschriften über die Vertraulichkeit der nach dem AI Act vorgesehenen Behörden und Stellen (Art. 78)

Besondere Relevanz haben ab dem 2. August die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck, die sogenannten General-Purpose AI-Modelle (GPAI). Diese kamen erst zu einem sehr späten Zeitpunkt innerhalb des Gesetzgebungsprozesses überhaupt in die KI-VO, weil ChatGPT zu diesem Zeitpunkt so an Bedeutung gewonnen hatte. Die Anbieter von GPAI haben insbesondere Dokumentations- und Transparenzpflichten (Art. 53 KI-VO) und, wenn sie als KI-Modell mit systemischen Risiko eingestuft werden, weitere Pflichten, insbesondere die Durchführung einer Modellbewertung, eine Risikominimierung und eine Verpflichtung, schwerwiegende Vorfälle an die Behörden zu melden.