Das EU-KI-Gesetz: Was es ist und warum es wichtig ist

Wichtige Lektionen

• Seit August 2026 sind die Transparenzanforderungen des EU-KI-Gesetzes offiziell durchsetzbar. Für bestimmte Kategorien von KI-Systemen mit hohem Risiko gelten jedoch verlängerte Fristen. 
• Unternehmen, die KI-Systeme auf dem EU-Markt einsetzen, bereitstellen oder importieren, sind für die Einhaltung verantwortlich.   
• Nichteinhaltung kann zu erheblichen Bußgeldern führen. 

Die Nutzung künstlicher Intelligenz hat sich beschleunigt, seit Chat-GPT Ende 2022 für die Öffentlichkeit freigegeben wurde. Seitdem haben Organisationen schnell gehandelt, um KI-Tools und -Funktionen in eine Vielzahl von Geschäftsprozessen zu integrieren. 

Um die aufstrebende Technologie und ihren Zugriff auf Daten besser zu kontrollieren, verabschiedeten das Europäische Parlament und der Rat im Jahr 2024 den European Union Artificial Intelligence Act (EU AI Act). Er stellte die weltweit erste umfassende KI-Verordnung dar.

Im August 2026 wurde das EU-KI-Gesetz durchsetzbar, was bedeutet, dass von Unternehmen mit Sitz in Europa oder Unternehmen, die in Europa geschäftlich tätig sind, erwartet wird, dass sie bestimmte Verpflichtungen einhalten, wenn sie KI auf den Markt bringen. Erfahren Sie mehr darüber, was das EU-KI-Gesetz beinhaltet, wen es betrifft und warum es wichtig ist. 

Was ist das KI-Gesetz der EU?

Das EU-KI-Gesetz schafft einen einheitlichen Rahmen dafür, wie KI-Systeme in der gesamten EU entwickelt, bereitgestellt und eingesetzt werden. Gemäß Kapitel 1, Artikel 3 definiert das Gesetz „KI-Systeme“ als eine Maschine, die Informationen aufnimmt, selbstständig herausfindet, wie sie reagieren soll, und Ergebnisse – wie Vorhersagen, Inhalte oder Entscheidungen – erzeugt, die beeinflussen können, was in physischen und virtuellen Umgebungen geschieht.  

Es verbietet bestimmte schädliche Praktiken und legt gleichzeitig spezifische Verpflichtungen für Hochrisikosysteme und KI-Modelle für allgemeine Zwecke fest. Es legt außerdem Transparenzanforderungen, Marktüberwachungs- und Durchsetzungsstrukturen sowie Unterstützungsmaßnahmen fest, um Organisationen, insbesondere Start-ups, dabei zu unterstützen, im Rahmen dieser neuen Regeln Innovationen voranzutreiben.

Was ist das Ziel des KI-Gesetzes der EU?

Das Gesetz verfolgt zwei gleichzeitige Ziele: Unternehmen dazu zu ermutigen, Innovationen voranzutreiben und vertrauenswürdige KI zu entwickeln, während gleichzeitig die Gesundheit, die Sicherheit und das Recht auf Privatsphäre der Menschen geschützt werden. Zudem positioniert es die EU als Vorreiter in der KI-Governance, indem es Transparenzanforderungen für alle KI-Anwendungen vorschreibt.

Was trat im August 2026 in Kraft?

Während ein Großteil des EU-KI-Gesetzes im August 2026 in Kraft treten sollte, einigten sich der Rat und das Europäische Parlament im Mai 2026 darauf, die Fristen für bestimmte Kategorien von Hochrisiko-KI-Systemen zu verschieben.

Was nun durchsetzbar ist, hat mit Artikel 50 zu tun, der die Transparenzanforderungen darlegt und vier Bereiche abdeckt: 

• Chatbots und KI-Agenten: Anbieter müssen offenlegen, dass Nutzer mit KI interagieren, es sei denn, dies ist bereits offensichtlich
• Generative KI-Inhalte: Anbieter müssen Ausgaben (Text, Bilder, Audio, Video) in einem maschinenlesbaren Format kennzeichnen, sodass sie als KI-generiert oder manipuliert erkennbar sind.
• Emotionserkennung und biometrische Kategorisierung: Betreiber müssen Personen informieren, wenn sie diesen Systemen ausgesetzt sind.
• Deepfakes und KI-generierte Inhalte von öffentlichem Interesse: müssen als künstlich generiert offengelegt werden, es sei denn, sie haben eine menschliche redaktionelle Überprüfung durchlaufen, bei der jemand die redaktionelle Verantwortung übernimmt.

Was sind die Anforderungen des KI-Gesetzes der EU?

Das EU-KI-Gesetz verbietet bestimmte KI-Praktiken und legt Regeln und Pflichten für den Einsatz von Hochrisiko-KI-Systemen fest. 

Verbotene KI-Praktiken

Verbotene KI-Praktiken wurden sechs Monate nach Inkrafttreten des EU-KI-Gesetzes im August 2024 verboten; allerdings gab es eine weitere Verzögerung hinsichtlich des Zeitpunkts, ab dem Organisationen für Verstöße mit Geldbußen belegt werden konnten. Diese traten im August 2025 in Kraft. 

KI-Systeme mit hohem Risiko 

Die andere Hauptkategorie betrifft KI-Systeme mit hohem Risiko, die im August 2026 in Kraft traten. KI-Systeme mit hohem Risiko sind solche, die sich negativ auf die Sicherheit oder die Grundrechte auswirken, und die Bürger haben das Recht, Beschwerden über diese Systeme einzureichen. 

Sie sind in zwei Kategorien unterteilt: 

1. KI-Systeme, die in Produkten verwendet werden, die unter die EU-Rechtsvorschriften zur Produktsicherheit EU fallen, darunter Spielzeug, Luftfahrt, Autos, Medizinprodukte und Aufzüge 
2. KI-Systeme, die in bestimmte Bereiche fallen, die in einer EU-Datenbank registriert werden müssen, darunter die Verwaltung und der Betrieb kritischer Infrastruktur, die allgemeine und berufliche Bildung und die Verwaltung von Migration, Asyl und Grenzkontrollen 

Verpflichtungsübersicht

Die Artikel 8 bis 15 legen die wesentlichen Compliance-Anforderungen fest, die Hochrisiko-KI-Systeme vor dem Eintritt in den EU-Markt erfüllen müssen. Dazu gehören: 

• Compliance: Anforderungen je nach Verwendungszweck erfüllen; kann in bestehende Zertifizierungen integriert werden.
• Risikomanagement: Kontinuierliche Risikoidentifizierung und -minderung über den gesamten Lebenszyklus.
• Daten-Governance: Qualitativ hochwertige, repräsentative, auf Verzerrungen überprüfte Trainingsdaten.
• Technische Dokumentation: Pre-Market-Compliance-Aufzeichnungen (für KMU vereinfacht).
• Führen von Aufzeichnungen: Automatische Ereignisprotokollierung zur Rückverfolgbarkeit.
• Transparenz: Klare Anweisungen, damit Bereitsteller die Ausgaben verstehen.
• Menschliche Aufsicht: Menschen können das System überwachen, übersteuern oder stoppen.
• Genauigkeit und Sicherheit: robuste, genaue, gegen Cyberangriffe resistente Leistung.

Fristen für Hochrisiko-KI bis 2027 und 2028 verlängert

Anbieter von KI-Systemen mit hohem Risiko müssen bis zu den folgenden Terminen konform sein:

2. Dezember 2027: Anhang III, dereigenständige, anwendungsbasierte Systeme wie Beschäftigung, Bonitätsbewertung, Strafverfolgung und Bildung abdeckt.

2. August 2028: Anhang I, der KI umfasst, die in bereits regulierte Produkte wie Medizinprodukte, Maschinen und Fahrzeuge eingebettet ist.

Pflichten für GenAI-Systeme

Generative KI-Tools wie Microsoft 365 Copilot und ChatGPT werden nicht als risikoreich eingestuft, erfordern jedoch die Einhaltung von Transparenzanforderungen und EU-Urheberrechtsgesetzen, die im August 2026 in Kraft traten. Dazu gehört:

• Deutliche Offenlegung, wenn Inhalte von KI generiert werden, damit die Endnutzer darüber informiert sind
• Gestaltung des Modells auf eine Weise, die das Erzeugen illegaler Inhalte verhindert
• Veröffentlichung von Zusammenfassungen urheberrechtlich geschützter Daten, die für das Training verwendet wurden

Hochwirksame KI-Modelle für allgemeine Zwecke müssen gründliche Evaluierungen bestehen und schwerwiegende Vorfälle müssen der Europäischen Kommission gemeldet werden.

Wen betrifft das KI-Gesetz der EU?

Das EU-KI-Gesetz betrifft in erster Linie drei Kategorien von Unternehmen. Die erste sind Anbieter von Hochrisiko-KI-Systemen in der EU, d. h. jede Organisation, die KI entwickelt. Die zweite sind Betreiber von Hochrisiko-KI-Systemen in der EU, d. h. sowohl Personen als auch Organisationen, die KI für berufliche Zwecke nutzen. Und die dritte sind Importeure und Vertreiber von Hochrisiko-KI-Systemen, d. h. Organisationen, die ein KI-System auf dem EU-Markt bereitstellen. In allen Fällen gilt das Gesetz für jede Organisation mit Sitz oder geschäftlicher Tätigkeit in der EU.  

Es gibt zwei wichtige Einschränkungen. Das Gesetz nimmt Organisationen von diesen Regelungen aus, während sie ein KI-System testen und optimieren. Mit anderen Worten: bevor es auf den Markt kommt und für andere Unternehmen oder Personen zugänglich ist. Und es gilt auch nicht für KI-Systeme und -Modelle, die für wissenschaftliche Forschung und Entwicklung konzipiert wurden und verwendet werden. 

Die Artikel 16 bis 27 erläutern die Verpflichtungen, denen die einzelnen Kategorien unterliegen. Sehen wir uns das genauer an.

Pflichten des Anbieters 

Anbieter sind dafür verantwortlich, die Compliance zu gewährleisten, vor dem Einsatz eines KI-Systems eine CE-Kennzeichnung einzuholen, sicherzustellen, dass das System von hoher Qualität ist, und eine technische Dokumentation bereitzustellen. Sie müssen außerdem Folgendes einhalten: 

• Qualitätsmanagementsystem: dokumentierte Compliance-, Test- und Rechenschaftsprozesse
• Dokumentationsführung: Compliance-Aufzeichnungen 10 Jahre lang aufbewahren.
• Automatisch generierte Logs: Bewahren Sie System-Logs mindestens sechs Monate lang auf.
• Korrekturmaßnahmen: nicht konforme Systeme beheben, zurückziehen oder zurückrufen.
• Zusammenarbeit mit Behörden: Anfragen und Untersuchungen von Aufsichtsbehörden beantworten.
• Bevollmächtigte Vertreter: Nicht-EU-Anbieter müssen einen EU-Vertreter benennen.

Verpflichtungen der Bereitsteller

Betreiber von Hochrisikosystemen haben die Verantwortung, die Technologie verantwortungsvoll zu nutzen, und müssen Folgendes beachten: 

• Anweisungen befolgen: Verwenden Sie das System gemäß der Gebrauchsanweisung des Anbieters.
• Aufsicht zuweisen: Benennen Sie qualifiziertes, geschultes Personal mit der Befugnis, das System zu überwachen.
• Eingabedaten kontrollieren: Stellen Sie sicher, dass die Eingabedaten relevant und repräsentativ sind.
• Betrieb überwachen: Verfolgen Sie die Systemleistung, setzen Sie die Nutzung aus und benachrichtigen Sie den Anbieter und die Behörden, wenn ein Risiko auftritt.
• Schwerwiegende Vorfälle melden: Unverzüglich den Anbieter und dann die Behörden informieren. 
• Logs aufbewahren: Bewahren Sie systemgenerierte Logs mindestens sechs Monate lang auf.
• Mitarbeiter informieren: Benachrichtigen Sie Mitarbeiter und Arbeitnehmervertreter vor dem Einsatz von KI am Arbeitsplatz.
• Registrierung (öffentliche Stellen): Behörden müssen das System vor der Nutzung in der EU-Datenbank registrieren.
• Datenschutz-Folgenabschätzungen unterstützen: Vom Anbieter bereitgestellte Informationen verwenden, um GDPR/DPIA-Verpflichtungen zu erfüllen.
• Besondere Regeln für die biometrische Identifizierung: Vorab eine gerichtliche Genehmigung für die nachträgliche biometrische Fernidentifizierung in der Strafverfolgung einholen. Jährlich dokumentieren und berichten.
• Betroffene Personen informieren: Personen darüber informieren, wenn ein Hochrisikosystem bei Entscheidungen eingesetzt wird, die sie betreffen.
• Zusammenarbeit mit Behörden: Unterstützen Sie Aufsichtsbehörden bei Durchsetzungsmaßnahmen im Zusammenhang mit dem System.

Welche Bußgelder drohen bei Nichteinhaltung?

Bei Nichteinhaltung gibt es drei Bußgeldstufen. 

1. Verbotene KI-Praktiken: Bußgelder von bis zu 35.000.000 € oder 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. 

2. Anbieter, Betreiber, Einführer und Händler: Geldbußen von bis zu €15.000.000 oder bis zu drei Prozent des weltweiten Jahresumsatzes für Unternehmen.‍

3. Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen an die Behörden: Geldbußen von bis zu 7.500.000 € oder ein Prozent des gesamten weltweiten Umsatzes. 

So kann Varonis bei der Compliance mit dem EU-KI-Gesetz helfen

Die Einhaltung komplexer regulatorischer Strukturen ist eine Herausforderung. Mit der Einführung des EU-KI-Gesetzes wird die Notwendigkeit von Transparenz und Datensicherheit noch größer. 

Varonis vereinfacht das Compliance-Management und bietet Sichtbarkeit Transparenz und Kontrolle in Echtzeit über die kritischen Daten, die von der KI verwendet werden und verfügt über vier entscheidende Methoden, um Sie der Einhaltung des EU-KI-Gesetzes zu unterstützen: 

• Sicherung der privaten und sensitiven Daten, die von generativer KI aufgenommen und erzeugt werden
• Vollständige Transparenz der KI-Eingaben und -Antworten, einschließlich der Anzeige dessen, wann auf vertrauliche Daten zugegriffen wird 
• Warnmeldungen bei Bedrohungen und Anomalien, einschließlich Aktivitäten und Verhaltensweisen, die auf Missbrauch hinweisen 
• Automatische Sicherung von Daten, einschließlich des Widerrufens übermäßiger Zugriffe, der Korrektur von Labels und der Behebung von Fehlkonfigurationen, um Exposure und Risiken zu reduzieren 

Wir haben es außerdem bereits Tausenden von Unternehmen ermöglicht, Vorschriften wie HIPAA, DSGVO, CCPA, NIST und ITAR einzuhalten.

Beschleunigte Einführung von KI für Sicherheitsteams 

 Das breite Spektrum an Sicherheitsfunktionen unserer Datensicherheitsplattform kann die Einführung und Bereitstellung von KI in Ihrem Unternehmen beschleunigen, mit vollständiger Transparenz und Kontrolle über Tool-Berechtigungen und Workloads. 

Hinweis: Dieser Blog wurde mit Hilfe von KI übersetzt und von unserem Team überprüft.