# Verordnung über künstliche Intelligenz

Die Verordnung über künstliche Intelligenz (informell meist KI-Verordnung, englisch AI Act) ist ein Rechtsakt der Europäischen Union zur Regulierung von künstlicher Intelligenz. Die EU-Verordnung ist weltweit die erste derart umfassende Regulation von KI.
Sie wurde ab 2019 ausgearbeitet, am 21. Mai 2024 von den 27 EU-Mitgliedsstaaten endgültig verabschiedet und am 12. Juli desselben Jahres im Amtsblatt der Europäischen Union verkündet. Offiziell in Kraft getreten ist sie zum 1. August 2024. Gemäß Art. 113 der Verordnung gelten ihre Regelungen mit einigen Ausnahmen überwiegend ab dem 2. August 2026.

## Inhalt
### Risikoeinstufung

Die KI-Verordnung folgt einem weitgehend risikobasierten Ansatz. KI-Technologien, darunter auch generative KI, werden demnach in vier verschiedene Risikokategorien eingegliedert, die von „KI-Systemen mit inakzeptablem Risiko“ über „KI-Systemen mit hohem Risiko“ und „KI-Systemen mit Transparenzanforderungen“ bis zu „KI-Systemen mit keinem/niedrigem Risiko“ reichen. Daran werden verschiedene Verbote bzw. Compliance-, Berichts-, Dokumentations-, Sorgfalts- und Informationspflichten gekoppelt.
Das Gesetz stuft u. a. folgende Anwendungsbereiche in die hohe Risikokategorie (sog. Hochrisiko-KI-Systeme) und damit zwar als erlaubt, aber besonderen rechtlichen Anforderungen unterliegend ein:
* Systeme, die biometrische Daten verarbeiten
* Systeme, die in der kritischen Infrastruktur zum Einsatz kommen
* Bewertung von Schülern
* Zugangsprüfungen zur Universität
* Bewerberauswahl, Beförderungen und Kündigungen im Arbeitsleben
* Anspruch auf Sozialhilfe
* Prüfung der Kreditwürdigkeit
* Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen
* Prognose von Rückfälligkeit bei Straftaten
* Einflussmöglichkeit auf Wahlen
* Einschätzung von Sicherheitsrisiken oder eines von Einzelnen ausgehenden Gesundheitsrisikos bei Migration, Asyl sowie Grenzkontrolle.
Darüber hinaus sieht der AI Act Regeln speziell für leistungsfähige Sprachmodelle vor, vor allem für multimodale Modelle (im AI Act auch „General Purpose AI“, GPAI genannt) und solche, die besonders hohe Rechenleistungen haben. Darunter fallen bspw. besonders leistungsfähige GenAI-Modelle wie ChatGPT. Diese Sonderregelung, die von der Risikokategorisierung abweicht, ist eine Reaktion auf das schnelle Aufkommen von Generativer KI im Jahr 2023.

### Anforderungen

Anbieter von Hochrisiko-KI-Systemen müssen verschiedene Anforderungen erfüllen. Dazu zählt es u. a., ein Risikomanagementsystem einzurichten, Anforderungen an die Datenqualität zu erfüllen und menschliche Aufsicht über die KI sicherzustellen. Ferner hat ein Konformitätsbewertungsverfahren nachzuweisen, dass die Anforderungen erfüllt werden. Ist das Produkt nicht nur Hochrisiko-KI-System, sondern etwa auch Medizinprodukt, sind die Anforderungen an Hochrisiko-KI-Systeme im medizinprodukterechtlichen Konformitätsbewertungsverfahren mitzuprüfen.
Artikel 4 verpflichtet Unternehmen zur Qualifizierung: „Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach bestem Wissen und Gewissen sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende KI-Kenntnisse verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Weiterbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, berücksichtigt werden.“

### Kennzeichungspflichten

Deepfakes und andere mit generativer KI erstellte Bilder, Videos und Tonaufnahmen müssen entsprechend als solche (maschinenlesbar) gekennzeichnet werden; dies gilt auch für Texte, soweit keine menschliche Redigatur erfolgt. Ebenso muss Nutzern stets klar sein, wenn sie mit KI-Systemen interagieren. Mittels der Kennzeichnungs- und Transparenzpflicht soll laut dem österreichischen Rechtswissenschaftler Marlon Possard von der Sigmund Freud Privatuniversität Wien, der sich intensiv mit rechtlichen und ethischen Fragen von Deepfakes im Rahmen der KI-Verordnung (EU) auseinandersetzt, unter anderem eine Risikominimierung von Wahlbeeinflussung erzielt werden.

### Verbote

Technologien mit einem inakzeptablen Risiko wie Social Scoring oder Teile von biometrischer Videoüberwachung bzw. Gesichtserkennung sowie automatisierter Emotionserkennung und subtiler Verhaltensbeeinflussung sollen komplett verboten werden. Für Strafverfolgungsbehörden, das Militär und Geheimdienste gibt es jedoch weitreichende Ausnahmen.

### Durchsetzung

Der AI Act selbst droht sehr hohe Bußgelder an, wenn Unternehmen gegen ihn verstoßen. Der Entwurf sieht hier Strafen bis zu 7 Prozent des weltweiten Vorjahresumsatzes oder 35 Millionen Euro vor – dies ist deutlich mehr, als bei DSGVO-Verstößen drohen. Außerdem ist die Schaffung eines Europäischen Ausschusses für künstliche Intelligenz vorgesehen, zur Durchsetzung sollen auf nationaler Ebene Behörden mit der Möglichkeit von Bußgeldern geschaffen werden.

### Inkrafttreten

Die Vorgaben des AI Acts gelten nicht ab sofort nach dem Inkrafttreten. Vielmehr sind Übergangsfristen zwischen 6 und 36 Monaten vorgesehen. Bis dahin setzt die Europäische Kommission auf freiwillige Selbstbeschränkungen der Wirtschaft.

## Verfahren

Kommissionspräsidentin von der Leyen hatte eine Regulierung von KI bereits 2019 in ihrer Bewerbungsagenda angekündigt.
Dem Vorschlag vorangegangen waren 2018 das Strategiepapier Künstliche Intelligenz für Europa und der Koordinierte Plan für künstliche Intelligenz, 2019 der Bericht einer Expertenkommission und 2020 das Weißbuch zur Künstlichen Intelligenz der EU-Kommission.

### Gesetzgebungsverfahren

Die EU-Kommission veröffentlichte ihren Entwurf am 21. April 2021, aufgrund vieler Änderungsanträge fand die erste Plenarsitzung des EU-Parlaments dazu erst im Oktober 2022 statt. Bis Ende 2022 brachten die Parlamentsausschüsse und Mitgliedstaaten ihre Stellungnahmen und Änderungsvorschläge ein, der Rat der EU veröffentlichte seinen in einigen Punkten abgeschwächten Entwurf am 6. Dezember 2022, die beiden federführenden Ausschüsse des EU-Parlaments verabschiedeten ihre Position am 11. Mai 2023, der finale Vorschlag des Parlaments wurde am 14. Juni 2023 verabschiedet. Das Verfahren befand sich damit in den Trilog-Verhandlungen zwischen den EU-Gesetzgebungsorganen, mit einer Einigung wurde zunächst für Ende 2023 oder 2024 gerechnet.
Die neuen Diskussionen rund um den KI-Chatbot ChatGPT hatten den ursprünglichen Zeitplan verzögert. Das EU-Parlament wollte solche sogenannte Allzweck-KI (GPAI) stärker in die Regulierung aufnehmen.
Im Dezember 2023 einigten sich die EU-Gesetzgebungsinstitutionen auf die Grundzüge des Gesetzes. Im Januar 2024 wurde der Text des finalen Entwurfs bekannt. Im Februar 2024 stimmten alle Mitgliedsländer der EU zu, und der zuständige Parlamentsausschuss in Brüssel gab ebenfalls grünes Licht, im März folgte die Zustimmung des Parlaments insgesamt. Die 27 Mitgliedsländer stimmten dem Gesetzwerk am 21. Mai 2024 zu, sodass es, nach Veröffentlichung im Amtsblatt der EU und einer weiteren 20-Tage-Frist, in Kraft treten kann. Die Verordnung soll dann mit Ausnahmen zwei Jahre später Anwendung finden.

### Allgemeines

Die federführenden Ausschüsse des EU-Parlaments sind der Ausschuss für Binnenmarkt und Verbraucherschutz (IMCO) und der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE), Berichterstatter sind Brando Benifei (S&D) und Dragoş Tudorache (ALDE).
Am 28. September 2022 veröffentlichte die Kommission in dem Zusammenhang auch den Entwurf einer Richtlinie über Produkthaftung und einer Richtlinie über KI-Haftung. Haftungsfragen waren zuvor aus der Verordnung herausgenommen worden. In dem Kontext steht auch die Überarbeitung der Maschinenrichtlinie zur EU-Maschinenverordnung, die am 14. Juni 2023 in Kraft getreten ist.

## Diskussion in Deutschland

Die weitgehenden Definitionen, Verbote und komplizierten Compliance-Vorschriften im ursprünglichen Vorschlag lösten Kritik der Industrieverbände (u. a. Bitkom und KI-Verband) aus. Der Kompromissentwurf des Rates wurde dahingehend in einigen Punkten abgeschwächt. Außerdem wird eine große Rechtsunsicherheit, der hohe bürokratische Aufwand und Doppelregulierung, z. B. im Medizinbereich, kritisiert. Auch sei die geforderte fehlerfreie Auswahl von Trainingsdaten nahezu unmöglich.
Auch die Bundesregierung warnt vor Überregulierung. Nach einer Studie würde die Verordnung zu einem hohen Aufwand bei einem großen Teil der KI-Anwendungen führen.
Auf der anderen Seite kritisieren Bürgerrechtler (u. a. EDRi, AlgorithmWatch) und z. B. der DGB den Entwurf als nicht weit genug, Definitionen seien zu eng gefasst und die Regelungen böten Schlupflöcher, so sollen die Vorschriften z. B. für militärische Zwecke nicht und für die Strafverfolgung nur teilweise gelten. Außerdem wurden einige erhoffte Regulierungen wie das Verbot von Predictive Policing und biometrischer Überwachung nicht mit aufgenommen. Die Entwürfe des EU-Parlaments gehen stärker auf diese Positionen ein. Gemäß der Version vom 11. Mai soll den Staaten die retrograde Videoüberwachung und damit die biometrische Massenüberwachung ermöglicht werden. Dass die Bundesregierung sich im Rahmen der Verhandlungen explizit für die retrograde Videoüberwachung aussprach, obwohl sie im Koalitionsvertrag noch ihre Ablehnung kundtat, sorgte für Kritik u. a. von netzpolitik.org.
Ein weiterer Kritikpunkt ist, dass die Verordnung keine Möglichkeiten zur individuellen Rechtsdurchsetzung (wie Schadensersatzansprüche) schafft.