mini|Verordnung über künstliche Intelligenz (2023)
Die Verordnung über künstliche Intelligenz (KI) (informell KI-Verordnung, KI-VO, oder EU AI Act) ist ein Rechtsakt der Europäischen Union zur Regulierung von künstlicher Intelligenz. Die EU-Verordnung ist weltweit die erste derartige Festlegung harmonisierter Vorschriften zur umfassenden Regulation von KI.
Sie wurde ab 2019 ausgearbeitet, am 21. Mai 2024 von den 27 EU-Mitgliedsstaaten endgültig verabschiedet und am 12. Juli desselben Jahres im Amtsblatt der Europäischen Union verkündet. Offiziell in Kraft getreten ist sie zum 1. August 2024. Gemäß der Verordnung gelten ihre Regelungen mit einigen Ausnahmen überwiegend seit dem 2. August 2026.
Inhalt Allgemeines KI-Systeme sind Produkte, die in das Neue Konzept für die Produktkonformität in der Europäischen Union fallen. Mit diesem Konzept werden regulatorische Vorgaben auf dem Gebiet der technischen Harmonisierung, der Normung und für das Inverkehrbringen von Produkten (EU-Wirtschaftsrecht) harmonisiert. Dazu werden, wie in dieser Verordnung, harmonisierte Vorschriften erlassen und mit einer Konformitätsbewertung dem spezifischen Produkt eine EU-Konformitätserklärung gegeben. Mit der EU-Konformitätserklärung wird die Einhaltung der harmonisierten Vorschriften bestätigt.
Die EU-Kommission beauftragt auf Grundlage der Verordnung (EU) Nr. 1025/2012 (Normungsverordnung) die europäischen Normungsorganisationen zur Entwicklung von harmonisierten Normen und gemeinsame Spezifikationen.
Mit der Verordnung (EU) 2019/1020 zur Marktüberwachung werden die staatenübergreifende Amtshilfe, Marktüberwachung und Kontrolle von KI-Systemen geregelt. Somit ist die Einhaltung der harmonisierten Vorschriften innerhalb der EU überprüfbar.
Für Hochrisiko-KI-System ist eine CE-Kennzeichnung vorgeschrieben.
Da KI-Systeme in vielen Produkten enthalten sind, hat sich die Kommission die Befugnis zum Erlass delegierter Rechtsakte übertragen, um mit den delegierten Rechtsakten andere Produktvorschriften wie Verordnung (EU) 2023/1230 (EU-Maschinenverordnung) zu ändern. Dazu wird die Kommission von einem Ausschuss unterstützt (Komitologie).
Die Haftung bei fehlerhaften KI-Systemen wird in der Richtlinie über Produkthaftung geregelt. Sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Einen Vorschlag für eine spezielle Richtlinie über KI-Haftung hat die EU-Kommission im Oktober 2025 zurückgezogen.
Risikoeinstufung Die KI-Verordnung folgt einem weitgehend risikobasierten Ansatz. KI-Technologien, darunter auch generative KI (GenAI), werden in 4 verschiedene Risikoklassen eingeordnet:
KI-Systemen mit inakzeptablem Risiko KI-Systeme mit hohem Risiko (Hochrisiko-KI-Systeme) KI-Systeme mit begrenztem Risiko KI-Systemen ohne Risiko.
Während KI-Systeme mit inakzeptablem Risiko nicht erlaubt sind (verbotene Praktiken, Art. 5 KI-VO), unterliegt der Betrieb von Hochrisiko-KI-Systemen besonderen rechtlichen Anforderungen (Art. 6ff KI-VO).
KI-Systeme ohne hohes Risiko sind grundsätzlich erlaubt. Bei bestimmten Einsatzarten und Interaktionsmöglichkeiten mit Endnutzern geht die KI-Verordnung jedoch von einem begrenzten und dennoch bestehenden Risiko aus, das durch entsprechende Informationen an die Nutzenden gemindert werden kann und soll. Um diese Risiken zu bewältigen, definiert die KI-VO bestimmte Transparenzpflichten, die sich an Anbieter und Betreiber richten (Art. 50 KI-VO).
KI-Systeme, die sich außerhalb der vorgenannten Risikoklassen bewegen (KI-Systeme ohne Risiko), unterliegen keiner gesonderten Beschränkung und können frei genutzt werden.
Verbote verbietet Technologien mit einem inakzeptablen Risiko wie Social Scoring oder Teile von biometrischer Videoüberwachung bzw. Gesichtserkennung sowie automatisierter Emotionserkennung und subtiler Verhaltensbeeinflussung. Für Strafverfolgungsbehörden, das Militär und Geheimdienste gibt es jedoch weitreichende Ausnahmen. AI-Act
Hochrisiko-KI-Systeme Definition der Hochrisiko-Systeme Zu den Hochrisiko-Systemen gehören:Johannes Caspar: Wir Datensklaven. Wege aus der digitalen Ausbeutung. Berlin 2023, S. 215 f. AI-Act Systeme, die biometrische Daten verarbeiten Systeme, die in der kritischen Infrastruktur zum Einsatz kommen Bewertung von Lernprozessen in Bildungseinrichtungen Zugangsprüfungen zur Universität und zu Hochschulen Bewerberauswahl, Beförderungen und Kündigungen im Arbeitsleben Anspruch auf Sozialhilfe Prüfung der Kreditwürdigkeit Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen Prognose von Rückfälligkeit bei Straftaten Einflussmöglichkeit auf Wahlen Einschätzung von Sicherheitsrisiken oder eines von Einzelnen ausgehenden Gesundheitsrisikos bei Migration, Asyl sowie bei Grenzkontrollen. Darüber hinaus sieht die KI-Verordnung Regeln speziell für leistungsfähige Sprachmodelle vor, vor allem für multimodale Modelle (in der KI-Verordnung auch „General Purpose AI“, GPAI genannt) und solche, die besonders hohe Rechenleistungen haben. Darunter fallen bspw. besonders leistungsfähige GenAI-Modelle wie ChatGPT. Diese Sonderregelung, die von der Risikokategorisierung abweicht, ist eine Reaktion auf das schnelle Aufkommen generativer KI im Jahr 2023.
Anforderungen an den Betrieb Anbieter von Hochrisiko-KI-Systemen müssen verschiedene Anforderungen erfüllen. Dazu zählt es u. a., ein Risikomanagementsystem einzurichten, Anforderungen an die Datenqualität zu erfüllen und menschliche Aufsicht über die KI sicherzustellen. Ferner hat ein Konformitätsbewertungsverfahren nachzuweisen, dass die Anforderungen erfüllt werden. Nach Artikel 6 der EU-KI-Verordnung„AI Act Einstufungsvorschriften für Hochrisiko-KI-Systeme – Legal Text“, abgerufen am 8. Oktober 2025, https://ai-act-law.eu/de/artikel/6/ gelten KI-Systeme im medizinischen Bereich, insbesondere in der Geburtshilfe und Pränataldiagnostik, als Hochrisiko-KI-Systeme. Betreiber müssen eine dauerhafte menschliche Aufsicht sicherstellen und über nachweisbare KI-Kompetenz verfügen. In der medizinrechtlichen Diskussion wird betont, dass Ärzte und Kliniken trotz automatisierter Entscheidungen weiterhin verantwortlich bleiben („Arzt als ultima ratio“).Sven Wilhelmy: „Haftungsrecht im Kreißsaal der Zukunft“, Vortrag auf dem 8. MonsTabor-Symposium Personenschadenrecht 2025, Quirmbach & Partner. (PDF) https://ihr-anwalt.com/files/haftungsrecht-im-kreisssaal.pdf Ist das Produkt nicht nur Hochrisiko-KI-System, sondern etwa auch Medizinprodukt, sind die Anforderungen an Hochrisiko-KI-Systeme im medizinprodukterechtlichen Konformitätsbewertungsverfahren mitzuprüfen.
Betreiber von KI-Modellen mit allgemeinem Verwendungszweck müssen unter anderem offenlegen, mit welchen Daten die KI trainiert wurde, ob Internetseiten automatisch ausgelesen wurden und welche Maßnahmen zum Schutz von Urheberrechten ergriffen wurden.
KI-Kompetenz Artikel 4 regelt die KI-Kompetenz, die für alle Risikostufen von KI erforderlich ist: „Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“
Kennzeichnungspflichten Maschinenlesbare Kennzeichnung aller KI-Werke Anbieter von KI-Systemen müssen KI-generierte Bilder, Videos, Texte und Tonaufnahmen in maschinenlesbarer Form seit 2. August 2026 als künstlich kennzeichnen.
Die EU hat Leitlinien zu Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme entwickelt und veröffentlicht: Guidelines on Transparency und Code of Practice, zusammen mehr als 80 Seiten lang. Hierzu wurden auch beispielhafte Icons zur Kennzeichnung der KI-generierten Inhalte veröffentlicht, welche verwendet werden können, jedoch nicht in dieser Form verwendet werden müssen. Es müssen entsprechend Artikel 50 der Verordnung KI generierte und veränderte Inhalte als solche gekennzeichnet werden, durch welche Art der Beschriftung ist jedoch offen, das Verwenden der Icons, welche von der EU-Kommission veröffentlicht wurden, garantiert in sich keine Rechtskonformität. Die Kennzeichnung von KI-Inhalten soll, gestützt auf Artikel 50 der Verordnung, folgendermaßen geschehen: +SymbolWann zu verwendenAnwendungsbeispielerahmenlosGrundlegendes Symbol
Wenn KI an der Erstellung von Deep-Fake-Inhalten (Bild, Audio, Video) oder veröffentlichtem Text beteiligt warDeep-Fake-Video mit der Textbezeichnung „Stimmen generiert mit“, gefolgt vom BasissymbolrahmenlosVollständig KI-generiert
Wenn der gesamte Deep-Fake-Inhalt (Bild, Audio, Video) oder Text vollständig von KI generiert wirdVollständig KI-generierte Deep-Fake-Videos mit Politikern oder fiktiven Ereignissen Vollständig KI-komponierte Musik oder KunstrahmenlosTeilweise KI-modifiziert
Vorhandene, von Menschen erstellte Inhalte wurden teilweise durch KI verändertEin Gesicht auf einem authentischen Foto wird mithilfe von KI gegen das Gesicht eines Politikers ausgetauscht Abgesehen von den beispielhaften Icons der EU-Kommission gibt es bereits eine Vielzahl anderer Icons und Symbole die für die Deklarierung solcher Inhalte verwendet werden. Medienunternehmen wie der ORF nutzen diese Freiheit um zu ihrem Corporate Design passende Icons zu verwenden. +rahmenlosBeispiel für ein anderes mögliches Label Allgemein für Werke die durch KI verändert und/oder erzeugt wurden.
Kennzeichnung von KI-Deepfakes Wer mithilfe von KI Deepfakes (laut Gesetz ein KI-Werk, das „einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde“) erstellt, muss diese bei Veröffentlichung seit 2. August 2026 entsprechend kennzeichnen; es sei denn, das KI‑System wird nur privat verwendet. Ausnahmen gelten für die Strafverfolgung und für künstlerische oder satirische Werke.
Kennzeichnung von KI-Texten Wer mithilfe von KI Texte erzeugt oder verändert, die „über Angelegenheiten von öffentlichem Interesse“ informieren, muss dies seit 2. August 2026 offenlegen; es sei denn, das KI‑System wird nur privat verwendet. Diese Kennzeichnungspflicht entfällt, wenn die Inhalte redaktionell geprüft bzw. überarbeitet wurden sowie einer redaktionellen Verantwortung unterliegen.
Das US-Unternehmen Anthropic kündigte an, Texte von Claude mit einem digitalen Wasserzeichen zu versehen. In nach dem 2. August 2026 veröffentlichte Claude-Versionen soll das Wasserzeichen dem Unternehmen zufolge bereits integriert sein.
Kritik an der Kennzeichnung Die Kennzeichnung von KI-erzeugten Inhalten hat Kritik hervorgerufen, die eine trügerische Transparenz bemängelt. In allen Objekten (Bilder, Videos, Texte und Tonaufnahmen) kann das Kennzeichen leicht entfernt werden.
Weitere Transparenzpflichten Ebenso muss Nutzern stets klar sein, dass sie mit einem KI-System interagieren. AI-Act Mittels der Kennzeichnungs- und Transparenzpflicht soll laut dem österreichischen Rechtswissenschaftler Marlon Possard unter anderem eine Risikominimierung von Wahlbeeinflussung erzielt werden.
Durchsetzung Der AI Act selbst droht sehr hohe Bußgelder an, wenn Unternehmen gegen ihn verstoßen. Artikel 99 sieht hier Strafen bis zu 7 Prozent des weltweiten Vorjahresumsatzes oder 35 Millionen Euro vor – dies ist deutlich mehr, als bei DSGVO-Verstößen drohen. Außerdem ist die Schaffung eines Europäischen Gremiums für Künstliche Intelligenz (KI-Gremium)Artikel 65 AI Act vorgesehen, zur Durchsetzung sollen auf nationaler Ebene Behörden mit der Möglichkeit von Bußgeldern geschaffen werden.
Verfahren