Am 2. Februar 2025 wurden die ersten rechtlichen Zähne des Gesetzes der Europäischen Union über künstliche Intelligenz in Betrieb genommen. Das war der Tag, an dem das Verbot der Verordnung über inakzeptable KI-Praktiken angewandt wurde, das soziale Scoring, ausbeuterische Manipulation, nicht gezielte Gesichtsbild-Scraping und die meisten Echtzeit-Remote-Biometrie-Identifikation in öffentlichen Räumen außerhalb der Grenzen. Am 2. August 2025 wurde eine zweite Schicht eingeschaltet: die Governance-Maschine und Transparenzverpflichtungen für allgemeine AI-Modelle, zusammen mit einem feinen Zeitplan. Der nächste Meilenstein ist der 2. August 2026, wenn die vollständige Verordnung außer für KI-Systeme gilt, die Sicherheitskomponenten in regulierten Produkten sind,
Die ersten Compliance-Maßnahmen, die nun von den europäischen und nationalen Behörden angekündigt werden, sind nicht die dramatischen öffentlichen Geldbußen, die die Strafklauseln der Verordnung leicht vorstellbar machen. Es handelt sich um formale Anfragen nach Informationen, Dokumentationsüberprüfungen, Prioritäten der öffentlichen Inspektion und Registrierungskontrollen. Ein Anbieter erhält einen datierten Brief, eine Liste der Kategorien der technischen Dokumentation und eine Erinnerung, dass die Bereitstellung falscher oder unvollständiger Informationen eine eigene Strafe trägt.
Ein risikobasiertes Regelbuch, kein Deckverbot
Das AI-Gesetz teilt Systeme in vier Kategorien auf: inakzeptabel, hohes Risiko, begrenzt und minimales Risiko. Die meisten Systeme in Gebrauch werden voraussichtlich in die niedrigen und minimalen Risikobanden fallen. Die Leitlinien der Kommission sagen, dass Systeme in diesen Bändern Transparenzpflichten statt der vollständigen Konformitätsmaschine ausgesetzt sind: Ein Chatbot muss offenbaren, dass eine Maschine antwortet, und tiefe Fälschungen müssen gekennzeichnet werden, aber der Anbieter ist nicht verpflichtet, eine notifizierte Stelle zu bewerten.
Anhang III listet Sektoren auf, darunter Biometrie, kritische Infrastrukturen, Bildung, Beschäftigung und Arbeitnehmermanagement, Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen, Strafverfolgung, Migration und Grenzkontrolle sowie Justizverwaltung. Anhang I erfasst KI-Systeme, die als Sicherheitskomponenten in Produkten wie medizinischen Geräten, Maschinen, Spielzeugen und Aufzügen verwendet werden.
Die Strafen, die Aufmerksamkeit richten
Für das Inverkehrbringen eines verbotenen KI-Systems können die Europäische Kommission und die nationalen Behörden Strafen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verfolgen. Für die meisten anderen Verstöße, einschließlich hochrisikoreicher Systemverletzungen, beträgt die Obergrenze 15 Millionen Euro oder 3 Prozent. Die Bereitstellung falscher, unvollständiger oder irreführender Informationen an die Regulierungsbehörden liegt in einem dritten Band von bis zu 7,5 Millionen Euro oder 1,5 Prozent.
Das Europäische Büro für KI koordiniert die Durchsetzung von KI-Modellen für allgemeine Zwecke.Die nationalen Marktüberwachungsbehörden setzen die Produktregeln innerhalb der Mitgliedstaaten durch.Die spanische Aufsichtsbehörde AESIA wurde 2023 in A Coruña eingerichtet, bevor der endgültige Text verabschiedet wurde, und ist eine der nationalen Stellen, die jetzt Inspektions- und Durchsetzungsbefugnisse erhalten.
Was die erste Durchsetzungswelle Ziele
Anbieter von allgemeinen KI-Modellen müssen dokumentieren, wie ihre Modelle geschult wurden, einschließlich einer Zusammenfassung der für die Ausbildung verwendeten Inhalte und einer Richtlinie zur Einhaltung des EU-Urheberrechts.Europäisches Amt AIHier konzentriert sich die erste Aktionswelle: Anfragen nach technischer Dokumentation, Klarstellungen zur Datenverwaltung und Überprüfungen, ob Anbieter sich in der einschlägigen EU-Datenbank registriert haben.
Für hochrisikoreiche Systeme wird die Durchsetzung eher wie die traditionelle Produktkonformität aussehen.Ein hochrisikoreiches Modell, das bei der Einstellung, Prüfung oder medizinischen Sortierung verwendet wird, muss Risikomanagement-Dokumentation, technische Protokolle, menschliche Überwachungsmaßnahmen und eine Konformitätsbewertung tragen, bevor es eine CE-Kennzeichnung tragen kann.Vollständiger Wortlaut der Verordnung (EU) Nr. 2024/1689Jede dieser Schritte wird durchgeführt und die KommissionAI Act Implementierung SeiteDie Timeline verfolgen.
Die Klippe vom August 2026 und die 2027er Ausgrabung
Organisationen, die auf das Enddatum gewartet haben, stellen fest, dass die Erstellung der erforderlichen Dokumentation für auch nur ein Produktionssystem keine zweiwöchige Übung ist.Die Schnittstelle ist enger, als es klingt: KI-Systeme, die bereits unter der geltenden EU-Produktschutzvorschrift wie medizinische Geräte und Maschinen als Sicherheitselemente geregelt sind, erhalten ein zusätzliches Jahr, bis zum 2. August 2027. Diese Verzögerung gilt für die Klassifizierungsroute in Artikel 6 Absatz 1, nicht für jedes KI-System, das diese Unternehmen verwenden.
Der gleiche Unterschied tritt in aktuellen Export-Control-Debatten auf. KI-Chip-Beschränkungen zwingen Unternehmen, zu verfolgen, welche Modelle trainiert werden können, wo, eine Parallelkonformitätsbelastung mit den Dokumentationspflichten im Rahmen des AI-Gesetzes.US-China verhängt ExportbeschränkungenUnd dieKapitalausgabenprüfung trifft große KI-Infrastruktur... .
Was dies für Teams bedeutet, die KI aufbauen oder einsetzen
Ein Produkt führte bei einem deutschen medizinischen Geräteanbieter, Dr. M, acht Wochen damit verbrachte, jedes Produktionsmodell gegen die Klassifikationsregeln des Gesetzes zu mappen. Drei ihrer elf Modelle saßen innerhalb von Anhang I als Sicherheitskomponenten und hatten nie eine notifizierte Körperschätzung durchlaufen. Sie hatte den 2. August 2027 als abgelegenes Anliegen behandelt. Das Inventar zeigte, dass die Exposition bereits begonnen hatte, weil die Dokumentation und Risikomanagementgewohnheiten, die bis 2027 benötigt wurden, länger dauern, als die gesetzliche Frist vorschlägt.
Die Ausnahme ist jedoch häufig genug, weil sich Sicherheitskomponenten in bestehenden Produkten verstecken und weil einige Anbieter von allgemeinen Modellen noch nicht über die Dokumentationsgewohnheit verfügen.Was die Regulierungsbehörden ankündigen, ist keine Kampagne gegen KI im Allgemeinen; es ist eine Kampagne gegen undokumentierte Risiken.
Der praktische erste Schritt ist ein Inventar. Listen Sie jedes KI-System und jedes allgemeine Modell auf, das Ihre Organisation baut, kauft oder integriert. Klassifizieren Sie jedes gegen die Liste der verbotenen Praktiken und die beiden hochrisikoreichen Routen. Überprüfen Sie, ob der Anbieter technische Dokumentation eingereicht hat und, wo erforderlich, das System registriert hat. Tun Sie dies vor Ende des Monats, während die Behörden immer noch Briefe senden, anstatt Geldbußen zu verhängen.
Photo by Guillaume Périgois on Unsplash