Die KI-Verordnung der EU

Die KI-Verordnung (KI-VO) wurde als europäische Verordnung im Rahmen eines ordentlichen Gesetzgebungsverfahrens nach Art. 294 AEUV erlassen. Die von der Europäischen Kommission vorgeschlagene KI-VO musste vom Europäischen Parlament und vom Ministerrat (Rat der EU) gemeinsam angenommen werden. Bereits im Dezember 2022 hat der Rat seine Position zum Vorschlagsentwurf veröffentlicht. Auch das Europäische Parlament hat im Anschluss in seinen Ausschüssen eine Position ausgearbeitet. Im Falle der KI-VO wurden der Binnenmarktausschuss (IMCO) und der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) federführend tätig. Daneben waren weitere Ausschüsse für einzelne Themen und Artikel innerhalb der KI-VO zuständig. Nach der Überarbeitung des Kommissionsentwurfs hat das Plenum über den Gesetzestext abgestimmt. Auf Grundlage des dann vorliegenden Parlamentsvorschlags haben Kommission, Rat und Parlament die finalen Verhandlungen (sog. „Trilog“) aufgenommen. Im Dezember 2023 haben sich die Beteiligten dann vorläufig auf einen abschließenden Entwurf geeinigt, welcher im Januar 2024 veröffentlicht wurde. Im Februar 2024 haben die Mitgliedstaaten und die Parlamentsausschüsse diesem Entwurf zugestimmt. Am 13. März 2024 fand die finale Abstimmung im Europäischen Parlament statt. 

Der Rat der EU hat der KI-Verordnung sodann am 21. Mai 2024 zugestimmt. Daraufhin wurde die KI-Verordnung im Amtsblatt der EU am 12. Juli 2024 veröffentlicht; am 1. August ist die KI-VO nun in Kraft getreten.

Nachfolgend finden Sie alle relevanten Dokumente in unserem Gesetzgebungs-Tracker, mit dem Sie das Gesetzgebungsverfahren nachvollziehen können.

Am 27. April 2023 einigte sich das Parlament auf einen Entwurf. Die leitenden Ausschüsse haben am 11. Mai 2023 über den Entwurf abgestimmt. Die finale Abstimmung im Plenum hat im Juni 2023 stattgefunden. Im Januar 2024 wurde die voraussichtlich finale Fassung als Ergebnis der Verhandlungen von Parlament und Rat veröffentlicht. Im März wurde die finale deutsche Fassung zur Verfügung gestellt. 

Laut KI-Verordnung ist ein KI-System definiert als „ein maschinengestütztes System, das für einen in wechselndem Maße autonomen Betrieb ausgelegt sind, das nach seiner Einführung anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ergebnisse wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen hervorgebracht werden, die physische oder virtuelle Umgebungen beeinflussen können“.

Diese Definition entspricht der Definition der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD). Diese Verwendung einer international entwickelten und anerkannten Definition kann deren Akzeptanz und die Harmonisierung fördern.

Die KI-Verordnung ist eine Verordnung der Europäischen Union, die darauf abzielt, einen legalen Rahmen für die Entwicklung, den Einsatz und die Nutzung von KI-Systemen in der EU zu schaffen. Die Verordnung soll sicherstellen, dass die in der EU eingesetzten KI-Systeme transparent, zuverlässig und sicher sind und die Anbieter und Betreiber die Grundrechte und -werte respektieren.

Die KI-Verordnung deckt ein breites Spektrum von KI-Anwendungen ab, darunter unter anderem:

• Biometrische Identifizierungs- und Klassifizierungssysteme
• Kritische Infrastrukturen, wie z.B. Verkehrs- und Energiesysteme
• Bildungs- und Berufsbildungssysteme
• Systeme zur Verwaltung von Beschäftigung, Arbeitnehmern und Humanressourcen
• Strafverfolgungs- und Justizsysteme
• Marketing- und Werbesysteme
• Systeme für Personalbeschaffung und Personalwesen
• Systeme zur sozialen Bewertung

Die Verordnung regelt eine Vielzahl von Aspekten im Zusammenhang mit der Entwicklung, Bereitstellung und Nutzung von KI-Systemen, einschließlich:

• Klassifizierung von KI-Systemen: Die Verordnung unterscheidet zwischen verschiedenen Arten von KI-Systemen, je nach dem Grad des Risikos, das sie darstellen. Hochrisiko-KI-Systeme, wie z.B. autonome Fahrzeuge oder Systeme zur Bewertung von Kreditwürdigkeit, unterliegen strengeren Anforderungen und Kontrollen als KI-Systeme mit geringerem Risiko, wie z.B. Chatbots.
• Anforderungen an KI-Systeme: Die Verordnung legt Mindestanforderungen fest, die KI-Systeme erfüllen müssen, um sicher, transparent, zuverlässig und verantwortungsbewusst zu sein. Dazu gehören Anforderungen an die Datenqualität, die menschliche Überwachung und Kontrolle, die Transparenz und Nachvollziehbarkeit von Entscheidungen sowie die Einhaltung ethischer Grundsätze.
• Konformitätsbewertung und Zertifizierung: Die Verordnung sieht vor, dass Hochrisiko-KI-Systeme einer Konformitätsbewertung und Zertifizierung unterzogen werden müssen, um sicherzustellen, dass sie den Anforderungen und Standards der Verordnung entsprechen.
• Verantwortung und Sanktionen: Die Verordnung legt fest, dass die Verantwortung für den Einsatz von KI-Systemen primär bei den Anbietern und Betreibern der Systeme liegt und sieht etwaige Sanktionen für Verstöße gegen die Verordnung vor.
• Überwachung und Aufsicht: Die Verordnung sieht vor, dass die Mitgliedstaaten der EU geeignete Überwachungs- und Aufsichtsbehörden einrichten, um sicherzustellen, dass die Anforderungen und Standards der Verordnung eingehalten werden.

Mit der KI-Verordnung wird auch ein Europäisches Amt für Künstliche Intelligenz („AI Office“) eingerichtet, das gemeinsam mit mitgliedstaatlichen Behörden für die Überwachung der Umsetzung und Durchsetzung der Verordnung in der gesamten EU zuständig sein wird.

Die KI-Verordnung wird ein breites Spektrum von Akteuren betreffen, die an der Entwicklung, dem Einsatz und der Nutzung von KI-Systemen in der EU beteiligt sind. Insbesondere wird die KI-Verordnung für die folgenden Akteure relevant:

• KI-Entwickler und -Anbieter: Unternehmen und Organisationen, die KI-Systeme in der EU entwickeln oder anbieten, müssen die in der Verordnung festgelegten Anforderungen und Pflichten einhalten.
• Betreiber von KI-Systemen: Unternehmen und Organisationen, die KI-Systeme in der EU betreiben, müssen sicherstellen, dass sie die in der Verordnung festgelegten Anforderungen und Pflichten einhalten.
• Aufsichtsbehörden und weitere Behörden: Die nationalen Behörden in der EU werden für die Durchsetzung der Verordnung verantwortlich sein und sicherstellen, dass die in ihren jeweiligen Ländern eingesetzten KI-Systeme die in der Verordnung festgelegten Anforderungen und Pflichten erfüllen. Das AI-Office der Europäischen Union wird die nationalen Behörden in dieser Hinsicht anleiten und unterstützen.
• Verbraucher und Bürger: Die Verordnung zielt darauf ab, die Rechte und Interessen der Verbraucher und Bürger in der EU zu schützen, die mit KI-Systemen interagieren. Dazu gehört auch, dass KI-Systeme transparent sind und dass die Nutzer über den Einsatz von KI in ihrer Interaktion mit Unternehmen und Organisationen informiert werden.

Die KI-Verordnung zielt in erster Linie darauf ab, die Entwicklung, den Einsatz und die Nutzung von KI-Systemen in der EU zu regeln. Angesichts des globalen Charakters der KI-Branche und des Potenzials, dass KI-Systeme in mehreren Ländern eingesetzt werden können, werden die Auswirkungen der Verordnung jedoch wahrscheinlich über die Grenzen der EU hinaus spürbar sein.
Es gibt einige Gründe, warum die KI-Verordnung auch außerhalb der EU von Bedeutung sein kann:

• Die Einhaltung der KI-Verordnung kann für Unternehmen erforderlich sein, die in der EU tätig sind oder KI-Systeme für Kunden in der EU bereitstellen. Unternehmen mit Sitz außerhalb der EU, die KI-Systeme für Kunden in der EU anbieten, müssen sicherstellen, dass ihre Systeme die in der Verordnung festgelegten Anforderungen und Verpflichtungen erfüllen.
• Die KI-Verordnung kann die Entwicklung von KI-Vorschriften in anderen Rechtsordnungen beeinflussen. Andere Länder und Regionen könnten den Regulierungsansatz der EU als Vorbild für ihre eigenen KI-Vorschriften nehmen oder versuchen, ihre Vorschriften an die EU-Standards anzugleichen, um den grenzüberschreitenden Handel und die Zusammenarbeit zu erleichtern.
• Der Fokus der KI-Verordnung auf ethische und vertrauenswürdige KI könnte einen Präzedenzfall für die globale KI-Governance schaffen. Die Betonung der Verordnung, die sicherstellt, dass KI-Systeme grundlegende Rechte und Werte wie die Menschenwürde und die Privatsphäre respektieren, spiegelt einen wachsenden globalen Konsens über die Notwendigkeit einer ethischen und verantwortungsvollen KI wider.

Die Europäische Kommission schlug die KI-Verordnung im April 2021 vor, und sie musste vom Europäischen Parlament und dem Rat der EU geprüft und genehmigt werden, bevor sie Gesetz werden konnte.
Der Rat der EU hat am 6. Dezember 2022 seine allgemeine Ausrichtung zum Vorschlag der KI-Verordnung veröffentlicht. Während der letzten Abstimmungen im Parlament sorgten insbesondere hitzige Diskussionen über neue, disruptive KI-Anwendungen auf dem Markt – Stichwort: ChatGPT – für Verzögerungen im Prozess. Am 27. April 2023 einigte sich das Parlament auf einen Entwurf seiner Stellungnahme. Die leitenden Ausschüsse stimmten am 11. Mai 2023 über den Entwurf ab. Die finale Abstimmung im Plenum hat im Juni 2023 stattgefunden. Im Trilogverfahren haben sich die Beteiligten im Dezember 2023 inoffiziell auf einen finalen Entwurf geeinigt. Die Mitgliedstaaten und die Beteiligten Parlaments-Ausschüsse haben diesem Entwurf im Februar 2024 zugestimmt. Die finale Abstimmung im Europäischen Parlament erfolgte am 13. März 2024. Die KI-Verordnung wurde im Amtsblatt der EU am 12. Juli 2024 veröffentlicht; am 1. August ist die KI-Verordnung nun in Kraft getreten. Vollständige Geltung entfalten die Normen 24 Monate nach dem Inkrafttreten, wobei für einige KI-Systeme ein abgestuftes Verfahren vorgesehen ist, das einige Regelungen schon vorher anwendbar macht: 

• 6 Monate nach Inkrafttreten (2. Februar 2025): Abschaltung verbotener KI-Systeme.
• 12 Monate nach Inkrafttreten (2. August 2025): Verpflichtungen für GPAI-Systeme werden anwendbar, mit Ausnahme des Art. 101 KI-VO.
• 24 Monate nach Inkrafttreten (2. August 2026): Alle Vorschriften der KI-VO werden anwendbar, insbesondere die für Hochrisiko-KI-Systeme nach Anhang III, mit Ausnahme der Verpflichtungen für Hochrisiko-KI-Systeme nach Anhang II.
• 36 Monate nach Inkrafttreten (2. August 2027): Verpflichtungen für Hochrisiko-KI-Systeme nach Anhang II werden anwendbar.
• 72 Monate nach Inkrafttreten (2. August 2030): Geltung für Hochrisiko-KI-Systeme, die bestimmungsgemäß von Behörden genutzt werden sollen.
• Ende 2030 (31. Dezember 2030): Geltung für KI-Systeme, die Komponenten der in einem Anhang zu dieser Verordnung aufgeführten durch Rechtsakte eingerichteten IT-Großsysteme (bspw. Schengener Informationssystem) sind und vor dem 2. August 2027 in Verkehr gebracht oder in Betrieb genommen wurden.