Ein Überblick über die Regelungsgegenstände der Verordnung
Beitragsreihe: KI-Act, Deepfakes & Risiken für Unternehmen – Teil 1
Mit der Verordnung über Künstliche Intelligenz („KI-VO“ bzw. AI Act) hat die Europäische Union erstmals einen umfassenden Rechtsrahmen für den Einsatz von Künstlicher Intelligenz geschaffen. Die Verordnung ist am 1. August 2024 in Kraft getreten und wird schrittweise angewendet. Grundsätzlich gelten die meisten Vorschriften ab dem 2. August 2026, während einzelne Regelungen, etwa zu verbotenen KI-Praktiken oder zu General Purpose AI-Modellen, bereits früher beziehungsweise später Anwendung finden.
Die KI-VO verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Sicherheit und Grundrechte eingeschätzt wird, desto strenger sind die gesetzlichen Anforderungen. KI-Systeme mit einem „unannehmbaren Risiko“, wie bestimmte Formen des Social Scorings, werden vollständig verboten. Hochrisiko-Systeme, beispielsweise im Bereich Recruiting oder kritischer Infrastruktur, bleiben zwar zulässig, unterliegen jedoch umfangreichen Dokumentations-, Transparenz- und Compliancepflichten. Für KI mit geringem Risiko gelten dagegen lediglich begrenzte Transparenzanforderungen.
Besondere Bedeutung kommt zudem sogenannten General Purpose AI-Modellen zu, insbesondere generativer KI. Anbieter solcher Systeme müssen künftig zusätzliche Pflichten erfüllen, etwa hinsichtlich Transparenz, Risikomanagement und der Offenlegung von Trainingsdaten. Verstöße gegen die KI-VO können mit erheblichen Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes sanktioniert werden.
Neben den umfangreichen Anforderungen an Hochrisiko-KI enthält die KI-VO auch verschiedene Transparenzvorgaben für KI-Anwendungen, die bereits heute in vielen Unternehmen eingesetzt werden. Im Mittelpunkt stehen dabei insbesondere Systeme, die mit Menschen kommunizieren oder Inhalte erzeugen, deren künstlicher Ursprung für Nutzer nicht ohne Weiteres erkennbar ist.
KI im direkten Kontakt mit Menschen: Chatbots und digitale Assistenten
Sobald Personen mit einem KI-System interagieren, muss für sie erkennbar sein, dass keine menschliche Kommunikation stattfindet. Dies betrifft vor allem Chatbots, virtuelle Assistenten oder automatisierte Supportsysteme. Der Hinweis auf den KI-Einsatz muss klar formuliert, leicht verständlich und spätestens zu Beginn der Kommunikation sichtbar sein.
Auch wenn die rechtliche Hauptverantwortung grundsätzlich beim Anbieter des Systems liegt, sollten Unternehmen bei der Einführung entsprechender Anwendungen darauf achten, dass diese Transparenzanforderungen technisch korrekt umgesetzt wurden.
KI-generierte Medieninhalte: Anforderungen bei Deepfakes
Besondere Offenlegungspflichten gelten außerdem für künstlich erzeugte oder manipulierte Bild-, Ton- und Videoinhalte. Werden Inhalte erstellt, die echten Personen oder realen Situationen (täuschend) ähnlich erscheinen können, muss deutlich gemacht werden, dass KI eingesetzt wurde.
Gerade bei modernen Schulungsformaten, Simulationen oder Marketingkampagnen gewinnt diese Regelung zunehmend an praktischer Bedeutung. Unternehmen sollten daher sicherstellen, dass entsprechende Hinweise gut erkennbar integriert werden. Werden externe Agenturen oder Dienstleister eingesetzt, empfiehlt sich zusätzlich eine vertragliche Regelung zur ordnungsgemäßen Kennzeichnung solcher Inhalte.
KI-generierte Texte und öffentliche Kommunikation
Auch Texte können unter die Transparenzpflichten der KI-VO fallen. Werden Inhalte automatisiert mithilfe von KI erstellt und beziehen sie sich auf Themen von öffentlichem Interesse, muss grundsätzlich kenntlich gemacht werden, dass KI an der Erstellung beteiligt war. Betroffen sein können etwa Pressemitteilungen, öffentliche Stellungnahmen oder Veröffentlichungen im fachlichen Kontext.
Keine Kennzeichnung ist erforderlich, wenn eine tatsächliche menschliche Kontrolle und redaktionelle Verantwortung nachweisbar erfolgt. Unternehmen müssen daher entscheiden, ob sie KI-generierte Inhalte offen kennzeichnen oder interne Prüf- und Freigabeprozesse etablieren und dokumentieren.
Analyse von Personen durch KI-Systeme
Zusätzliche Informationspflichten bestehen bei KI-Systemen, die Emotionen erkennen oder Personen anhand biometrischer Merkmale bewerten beziehungsweise kategorisieren. Personen, die von solchen Anwendungen betroffen sind, müssen vorab transparent über deren Einsatz informiert werden.
Praktisch relevant kann dies beispielsweise bei Systemen sein, die Aufmerksamkeit, Ermüdung oder emotionale Reaktionen analysieren.
Handlungsbedarf für Unternehmen
Die Transparenzvorgaben des Art. 50 KI-VO gelten ab dem 2. August 2026. Unternehmen sollten sich daher frühzeitig einen Überblick über die eingesetzten KI-Anwendungen verschaffen und prüfen, ob einzelne Systeme unter die neuen Informationspflichten fallen.
Neben technischen Anpassungen können insbesondere interne Compliance-Strukturen, Mitarbeiterschulungen sowie die Überarbeitung bestehender Verträge mit KI-Anbietern erforderlich werden. Die Umsetzung der KI-VO wird damit nicht nur eine juristische, sondern auch eine organisatorische und technische Aufgabe für Unternehmen darstellen.
