AI Act Pflichten nach Artikel

Der AI Act (Verordnung (EU) 2024/1689) legt je nach Risikoniveau des KI-Systems unterschiedliche Pflichten fest. Praktiken mit unannehmbarem Risiko sind grundsätzlich verboten (Artikel 5). Hochrisiko-Systeme müssen strenge Anforderungen erfüllen: technische Dokumentation, Risikomanagement, Datenverwaltung, menschliche Aufsicht und Cybersicherheit. Systeme mit begrenztem Risiko unterliegen Transparenzpflichten (Artikel 50). Alle Akteure müssen zudem die KI-Kompetenz ihres Personals sicherstellen (Artikel 4).

Der AI Act gilt für vier Kategorien von Akteuren: Anbieter (die ein KI-System entwickeln oder auf den Markt bringen), Betreiber (die ein KI-System unter eigener Verantwortung nutzen), Importeure (die ein KI-System eines nicht in der EU ansässigen Anbieters einführen) und Händler (die ein KI-System auf dem europäischen Markt bereitstellen). Die Pflichten variieren je nach Rolle des Akteurs und Risikoniveau des betreffenden Systems.

Der Anbieter ist die Stelle, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt oder in Betrieb nimmt. Der Betreiber ist jede Person, die ein KI-System unter eigener Verantwortung im beruflichen Kontext einsetzt. Dieselbe Organisation kann je nach System beide Rollen innehaben. Anbieter tragen umfangreichere Pflichten, darunter die technische Dokumentation und die Konformitätsbewertung vor dem Inverkehrbringen.

Hochrisiko-KI-Systeme müssen umfassende regulatorische Anforderungen erfüllen: Risikomanagementsystem (Art. 9), Verwaltung der Trainingsdaten (Art. 10), detaillierte technische Dokumentation (Art. 11), automatische Ereignisprotokollierung (Art. 12), Transparenz und Nutzerinformation (Art. 13), menschliche Aufsichtsmaßnahmen (Art. 14) sowie Garantien für Genauigkeit, Robustheit und Cybersicherheit (Art. 15). Der Anbieter muss zudem ein Qualitätsmanagementsystem einrichten.

Der AI Act trat am 1. August 2024 in Kraft und wird schrittweise anwendbar. Verbotene Praktiken und KI-Kompetenz gelten seit dem 2. Februar 2025, GPAI-Regeln seit dem 2. August 2025 und die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Hochrisiko-Systeme nach Anhang III sind für den 2. Dezember 2027 und regulierte Produkte nach Anhang I für den 2. August 2028 vorgesehen.

Die Sanktionen sind der Schwere des Verstoßes angemessen: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 % für die Nichteinhaltung anderer regulatorischer Pflichten, und bis zu 7,5 Millionen Euro oder 1 % für die Bereitstellung ungenauer Informationen an Behörden. Für KMU und Start-ups werden die Beträge auf den niedrigeren der beiden Schwellenwerte angepasst.

Ja, Anbieter von GPAI-Modellen (wie große Sprachmodelle) haben seit dem 2. August 2025 besondere Pflichten: Erstellung einer technischen Dokumentation, Einhaltung des EU-Urheberrechts und Veröffentlichung einer Zusammenfassung der Trainingsdaten. GPAI-Modelle mit systemischem Risiko haben zusätzliche Pflichten: gründliche Modellbewertung, Minderung systemischer Risiken, Meldung schwerwiegender Vorfälle und angemessenes Cybersicherheitsniveau.

Ein KI-System wird in zwei Fällen als Hochrisiko eingestuft: wenn es eine Sicherheitskomponente eines Produkts ist, das unter die EU-Harmonisierungsgesetzgebung fällt (Anhang I: Medizinprodukte, Maschinen, Spielzeug usw.), oder wenn es in die sensiblen Bereiche des Anhangs III fällt (Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung, Migration, Justiz). Unser kostenloses Diagnosetool ermöglicht es Ihnen, das für Ihr System geltende Risikoniveau in wenigen Minuten zu ermitteln.