Die KI-Verordnung, klar erklärt.

Die KI-Verordnung (EU AI Act, Verordnung 2024/1689) ist das weltweit erste umfassende KI-Gesetz. Sie klassifiziert KI-Systeme in vier Risikoklassen: verbotene KI, Hochrisiko-KI, KI mit Transparenzpflichten und minimales Risiko. Die Verordnung trat am 1. August 2024 in Kraft. Verbotene Praktiken gelten ab 2. Februar 2025, GPAI-Pflichten ab 2. August 2025, Hochrisiko-Pflichten ab 2. August 2026 (harmonisierte Bereiche ab 2027). Die Verordnung ist unmittelbar in allen EU-Mitgliedstaaten anwendbar.

Die Fristen sind gestaffelt: 2. Februar 2025 – Verbot bestimmter KI-Praktiken (z.B. Social Scoring, biometrische Echtzeit-Identifizierung mit Ausnahmen) und KI-Kompetenzpflicht nach Art. 4. 2. August 2025 – Verpflichtungen für General-Purpose AI-Modelle (GPAI) und Benennung nationaler Behörden. 2. August 2026 – volle Anwendung der Hochrisiko-Pflichten für KI-Systeme in Anhang III. 2. August 2027 – Hochrisiko-KI, die Sicherheitskomponenten regulierter Produkte ist (z.B. Medizintechnik).

Hochrisiko-KI umfasst KI-Systeme, die erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte haben. Anhang III listet konkrete Bereiche: biometrische Identifizierung, kritische Infrastrukturen, Bildungszugang, Beschäftigung (Recruiting, Leistungsbewertung), Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen (Kreditvergabe, Versicherung), Strafverfolgung, Migration, Justiz und demokratische Prozesse. Für diese Systeme gelten strenge Pflichten: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Robustheit und Cybersicherheit.

Betroffen sind Anbieter von KI-Systemen (Entwickler, Hersteller), Betreiber (Nutzer in einem Unternehmenskontext), Einführer (Importeure) und Händler. Die Pflichten unterscheiden sich nach Rolle. Auch Unternehmen außerhalb der EU fallen unter die Verordnung, sobald ihre KI-Systeme in der EU in Verkehr gebracht oder eingesetzt werden oder wenn die Ausgaben in der EU genutzt werden – ähnlich der DSGVO. Für die meisten Unternehmen bedeutet das: Wenn Sie OpenAI, Anthropic, Google Gemini oder eigene KI-Modelle in der EU einsetzen, sind Sie Betreiber und haben Transparenz-, Kompetenz- und Dokumentationspflichten.

Die Bußgelder sind höher als unter der DSGVO. Verstöße gegen Verbote (z.B. unzulässige KI-Praktiken) werden mit bis zu EUR 35 Mio. oder 7 % des weltweiten Jahresumsatzes sanktioniert. Verstöße gegen Hochrisiko-Pflichten können bis zu EUR 15 Mio. oder 3 % kosten. Bereitstellung irreführender Informationen gegenüber Behörden kostet bis zu EUR 7,5 Mio. oder 1,5 %. GPAI-Anbieter haften gesondert nach Art. 101.

GPAI sind KI-Modelle mit allgemeinem Verwendungszweck, die für eine Vielzahl unterschiedlicher Aufgaben eingesetzt werden können – z.B. GPT-4, Claude, Gemini, Llama. Die KI-Verordnung unterteilt GPAI in zwei Stufen: (1) Basis-GPAI mit Transparenzpflichten (Modellkarten, Schulungsdaten-Zusammenfassung, Copyright-Richtlinie, EU-Konformitätserklärung). (2) GPAI mit systemischem Risiko (Modelle mit >10^25 FLOPs Trainingsrechenleistung) mit zusätzlichen Pflichten: Modellevaluierung, adversariales Testen, Incident-Meldung, Cybersicherheit. Die Pflichten richten sich primär an Modellanbieter, betreffen aber auch Unternehmen als Betreiber beim Einsatz solcher Modelle.

Schritt 1: KI-Inventar erstellen – welche KI-Systeme sind in der Organisation im Einsatz? Schritt 2: Risikoklassifizierung pro System (verboten, Hochrisiko, Transparenz, minimal). Schritt 3: Betreiberpflichten nach Art. 26 etablieren (Gebrauchsanweisung befolgen, Protokollierung, menschliche Aufsicht, Folgenabschätzung bei öffentlichen Akteuren). Schritt 4: KI-Kompetenz sicherstellen – nachweisbare Schulung aller Personen, die KI-Systeme bedienen (Art. 4). Schritt 5: Dokumentation und Nachweise. Schritt 6: Integration in das bestehende GRC/ISMS. Matproof bildet den kompletten EU-AI-Act-Katalog ab und automatisiert Risikoklassifizierung, Betreiberpflichten und Nachweise.

Beide regeln unterschiedliche Aspekte. Die DSGVO schützt personenbezogene Daten – also das Was der Datenverarbeitung. Die KI-Verordnung reguliert KI-Systeme – also das Wie und Wofür, unabhängig davon, ob personenbezogene Daten verarbeitet werden. In der Praxis überlappen beide häufig: Ein KI-Recruiting-System fällt sowohl unter die DSGVO (automatisierte Entscheidungsfindung nach Art. 22) als auch unter die KI-Verordnung (Hochrisiko-KI nach Anhang III Nr. 4). Matproof bildet beide Frameworks an und erlaubt Cross-Framework-Mapping, sodass eine Nachweiseinheit beide Anforderungen erfüllt.