Artificial Intelligence Act (AIA)

https://artificialintelligenceact.eu/de/das-gesetz/

Einführung

Es handelt sich beim Artifificial Intelligence Act, auf Deutsch Verordnung über Künstliche Intelligenz (im Folgenden KI-VO), um den europäischen Versuch, eine sektorunabhängige Regulierung von Künstlicher Intelligenz voranzutreiben. Die KI-VO, die im April 2021 von der Kommission vorgeschlagen und nach dem Gesetzgebungsprozess am 12. Juni 2024 im Amtsblatt kundgemacht wurde, steht dabei primär in der Tradition des Produktsicherheitsrechtes und des sogenannten New Legislative Frameworks (NLF).

Sie verfolgt die duale Zielsetzung, einerseits die Risiken von KI zu minimieren und andererseits Innovation (durch KI) zu fördern. Die KI-VO verfolgt dabei einen risikobasierten Ansatz, der dafür sorgen sollte, dass höhere Risiken mit einer höheren Regulierungsdichte korrespondieren, während KI-Systeme mit geringem Risiko nicht "überreguliert" werden.

Vor allem durch Entwicklungen im Bereich der Large language models (LLMs) wie ChatGPT kam es ab 2022 zu einer starken Debatte um die Regulierung von Modellen, die hinter diesen Systemen stehen (sogenannte foundational models bzw general-purpose AI models). Als Folge der Diskussion wurde der KI-VO ein eigener Abschnitt, der sich mit solchen general-purpose AI (GPAI) Modellen beschäftigt, hinzugefügt.

Inhaltliche Aspekte

Hochrisiko-KI-Systeme

Die KI-VO definiert Hochrisiko-KI-Systeme in Art 6. Dabei kennt sie zwei Varianten dieser Systeme, die in der Literatur - nicht aber in der KI-VO selbst - als "eingebettete" und "eigenständige Hochrisiko-KI-Systeme" bezeichnet werden. Darüber hinaus enthält Art 6 Abs 3 KI-VO Ausnahmen von der Einstufung als Hochrisiko-KI-System.

Nach Art 6 Abs 5 KI-VO hat die Kommission nach Konsultation des Europäischen Gremiums für Künstliche Intelligenz spätestens bis zum 2. Februar 2026 Leitlinien zur praktischen Umsetzung und eine umfassende Liste praktischer Beispiele für Anwendungsfälle für KI-Systeme, die hochriskant oder nicht hochriskant sind, bereitzustellen.

"Eingebettete" Hochrisiko-KI-Systeme

Nach Art 6 Abs 1 KI-VO gilt zunächst ein KI-System als Hochrisiko-KI-System, wenn die zwei Bedingungen erfüllt sind:

• das KI-System soll als Sicherheitsbauteil eines Produkts verwendet werden oder das KI-System ist selbst ein solches Produkt fällt unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union
• das Produkt, dessen Sicherheitsbauteil das KI-System ist, oder das KI-System selbst als Produkt muss im Rahmen dieser Harmonisierungsrechtsvorschriften einer Konformitätsbewertung durch Dritte unterzogen werden

Anhang I, Abschnitt A nennt dabei zwölf solche Harmonisierungsrechtsvorschriften (bezogen auf Maschinen, Spielzeug, Sportboote und Wassermotorräder, Aufzüge, Geräte und Schutzsysteme in explosionsgefährdeten Bereichen, Funkanlagen, Druckgeräte, Seilbahnen, persönliche Schutzausrüstungen, Geräte zur Verbrennung gasförmiger Brennstoffe, Medizinprodukte, In-vitro-Diagnostika).

Use Case

Um diese Einstufung als Hochrisiko-KI-System durch ein Beispiel zu illustrieren: Software kann ein Medizinprodukte im Sinne der Medizinprodukteverordnung (MPVO) darstellen. Medizinprodukte ab Risikoklasse IIa, das heißt mittlerem Risiko, unterliegen einer Konformitätsbewertung unter Einbeziehung einer "benannten Stelle", das heißt einer externen Konformitätsbewertungsstelle. Software als Medizinprodukt erfüllt damit - sofern sie unter die KI-Definition subsumiert werden kann - häufig beide Bedingungen: einerseits kann sie ein Produkt bzw Sicherheitskomponente eines Produktes darstellen, das unter die MPVO fällt, die in Anhang I genannt wird, und anderseits unterliegt sie im Rahmen der MPVO in fast allen Fällen einer Konformitätsbewertung unter Einbeziehung einer Konformitätsbewertungsstelle, das heißt "Dritter".

"Eigenständige" Hochrisiko-KI-Systeme

Die zweite Variante von "eigenständigen" Hochrisiko-KI-Systemen wird durch Art 6 Abs 2 KI-VO definiert, der dabei auf Anhang III verwiest. Dieser enthält acht Bereiche, untergliedert in konkretere Anwendungsfelder, die ebenfalls als hochriskant gelten.

Die acht Anwendungsbereiche sind dabei

1. Migration, Asyl und Grenzkontrolle
   1. KI-Systeme, die als Lügendetektoren verwendet werden sollen (bzw ähnliche Instrumente)
   2. KI-Systeme, die zur Bewertung eines Risikos verwendet werden sollen, einschließlich eines Sicherheitsrisikos, eines Risikos der irregulären Einwanderung oder eines Gesundheitsrisikos, das von einer natürlichen Person ausgeht, die in das Hoheitsgebiet eines Mitgliedstaats einzureisen beabsichtigt oder eingereist ist;
   3. KI-Systeme, die verwendet werden sollen, um zuständige Behörden bei der Prüfung von Asyl- und Visumanträgen sowie Aufenthaltstiteln und damit verbundenen Beschwerden im Hinblick auf die Feststellung der Berechtigung der den Antrag stellenden natürlichen Personen, einschließlich damit zusammenhängender Bewertungen der Verlässlichkeit von Beweismitteln, zu unterstützen;
   4. KI-Systeme, die im Zusammenhang mit Migration, Asyl oder Grenzkontrolle zum Zwecke der Aufdeckung, Anerkennung oder Identifizierung natürlicher Personen verwendet werden sollen, mit Ausnahme der Überprüfung von Reisedokumenten.
2. Rechtspflege und demokratische Prozesse
   1. KI-Systeme, die verwendet werden, um eine Justizbehörde - nicht aber eine Verwaltungsbehörde - bei der Ermittlung und Auslegung von Sachverhalten und Rechtsvorschriften und bei der Anwendung des Rechts auf konkrete Sachverhalte zu unterstützen; Systeme die auf ähnliche Weise für die alternative Streitbeilegung genutzt werden sollen, werden ebenfalls erfasst.
   2. KI-Systeme, die verwendet werden sollen, um das Ergebnis einer Wahl oder eines Referendums oder das Wahlverhalten natürlicher Personen bei der Ausübung ihres Wahlrechts bei einer Wahl oder einem Referendum zu beeinflussen.

Ausnahmen

Art 6 Abs 3 KI-VO, eingefügt im Trilog, enthält als Abweichung Ausnahmen von der Einstufung als "eigenständiges" Hochrisiko-KI-System. Die Ausnahmen greifen dann, wenn sich zeigt, dass ein in Anhang III genanntes System kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt, indem es unter anderem nicht das Ergebnis der Entscheidungsfindung wesentlich beeinflusst.

Art 6 Abs 3 2. UAbs enthält dabei vier alternative Bedingungen, die die genannten Kriterien erfüllen. ErwGr 53 liefert konkretisierende Beispiele. Ein KI-System gilt somit als nicht hochriskant, wenn

1. es dazu bestimmt ist, eine eng gefasste Verfahrensaufgabe durchzuführen
   1. bspw ein KI-System, das unstrukturierte Daten in strukturierte Daten umwandelt
   2. ein KI-System, das eingehende Dokumente in Kategorien einordnet
   3. ein KI-System, das zur Erkennung von Duplikaten unter einer großen Zahl von Anwendungen eingesetzt wird
2. es dazu bestimmt ist, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern
   1. bspw KI-Systeme, deren Ziel es ist, die in zuvor verfassten Dokumenten verwendete Sprache zu verbessern, etwa den professionellen Ton, den wissenschaftlichen Sprachstil oder um den Text an einen bestimmten mit einer Marke verbundenen Stil anzupassen
3. es dazu bestimmt ist, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, und nicht dazu gedacht ist, die zuvor abgeschlossene menschliche Bewertung ohne eine angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen
   1. bspw KI-Systeme, die in Bezug auf ein bestimmtes Benotungsmuster eines Lehrers dazu verwendet werden können, nachträglich zu prüfen, ob der Lehrer möglicherweise von dem Benotungsmuster abgewichen ist, um so auf mögliche Unstimmigkeiten oder Unregelmäßigkeiten aufmerksam zu machen
4. es dazu bestimmt ist, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist
   1. bspw intelligente Lösungen für die Bearbeitung von Dossiers, wozu verschiedene Funktionen wie Indexierung, Suche, Text- und Sprachverarbeitung oder Verknüpfung von Daten mit anderen Datenquellen gehören
   2. KI-Systeme, die für die Übersetzung von Erstdokumenten verwendet werden

Wenn ein Anbieter der Auffassung ist, dass ein in Anhang III aufgeführtes KI-System nicht hochriskant ist, hat er diese Bewertung zu dokumentieren und unterliegt auch der Registrierungspflicht iSv Art 49 Absatz 2 (Art 6 Abs 4 KI-VO).

Art 6 Abs 3 KI-VO enthält dabei auch eine Rückausnahme, die einen Bezug zur DSGVO herstellt. Ein KI-System nach Anhang III gilt "immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt."

Fassungen der KI-VO

• Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union, COM(2021) 206 final (KI-VO [EK-Fassung])
• Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union – Allgemeine Ausrichtung, 2021/0106(COD) (KI-VO [Rats-Fassung)]
• Abänderungen des Europäischen Parlaments vom 14. Juni 2023 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz) und zur Änderung bestimmter Rechtsakte der Union (COM(2021)0206 – C9-0146/2021 – 2021/0106(COD)) (KI-VO [EP-Fassung)]
• Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz) (KI-VO)

Weiterführende Literatur

Einführungsbücher

• Hense/Mustac, AI Act kompakt. Compliance Management- & Use Cases in der Unternehmenspraxis (2024, iE)
• Hilgendorf/Roth-Isigkeit (Hrsg), Die neue Verordnung der EU zur Künstlichen Intelligenz (2023)
• Schwartmann/Keber/Zenner (Hrsg), KI-Verordnung. Leitfaden für die Praxis (2024, iE)
• Voigt/Hullen, Handbuch KI-Verordnung. FAQ zum EU AI Act (2024, iE)
• Wendt/Wendt, Das neue Recht der Künstlichen Intelligenz. Artificial Intelligence Act (AI Act) (2024, iE)

Kommentare

• Bomhard/Pieper/Wende, KI-VO. Künstliche Intelligenz-Verordnung (2024, iE)
• Feiler/​Forgó, KI-VO. EU-Verordnung über Künstliche Intelligenz (2024, iE)
• Heinze/Steinrötter/Zerdick, KI-Verordnung. Gesetz über künstliche Intelligenz (2025)
• Martini/Wendehorst, KI-VO. Künstliche Intelligenz-Verordnung (2024, iE)
• Reusch/Chibanguza, KI-VO. Künstliche Intelligenz-Verordnung (2025)
• Schwartmann/Keber/Zenner, KI-VO (2024)
• Wendt/Wendt, Artificial Intelligence Act. Article-by-Article Commentary (2024, iE)
• Wendt/Wendt, Artificial Intelligence Act. Gesetz über Künstliche Intelligenz (2024, iE)

Allgemeinere Werke zu KI (Fokus auf Europa)

• Custers/Fosch-Villaronga (Hrsg), Law and Artificial Intelligence. Regulating AI and Applying AI in Legal Practice (2022)
• Ebers/Heinze/Steinrötter (Hrsg), Künstliche Intelligenz und Robotik. Rechtshandbuch² (2025)
• Ebers/Quarch (Hrsg), Rechtshandbuch ChatGPT. KI-basierte Sprachmodelle in der Praxis (2024, iE)
• Kaulartz/Merkle (Hrsg), Rechtshandbuch Künstliche Intelligenz² (2025)
• Mayrhofer/Nessler/Bieber/Fister/Homar/Tumpel (Hrsg), ChatGPT, Gemini & Co. Große Sprachmodelle und Recht (2024)
• Wischmeyer/Rademacher (Hrsg), Regulating Artificial Intelligence (2019)

Weiterführende Links

• AI Act Explorer