EU AI Act

Vor dieser Verordnung gab es kein bindendes Rechtsinstrument, das die Risiken von KI-Systemen umfassend regelte. Produkt- und Datenschutzrecht, etwa Maschinenrecht und DSGVO, deckten angrenzende Bereiche ab, ließen aber Lücken bei algorithmischer Transparenz, menschlicher Aufsicht über autonome Entscheidungen und Verantwortung für General-Purpose-AI-Modelle. Der AI Act schließt diese Lücken mit einem horizontalen, risikobasierten Rahmen.

Die Verordnung enthält 13 Kapitel, 144 Artikel und 13 Anhänge. Ihre Grundstruktur folgt einer vierstufigen Risikoklassifizierung:

Ein eigenes Kapitel (Kapitel V, Artikel 51-56) regelt Anbieter von General-Purpose-AI-Modellen. Alle GPAI-Anbieter müssen Zusammenfassungen der Trainingsinhalte veröffentlichen, EU-Urheberrecht beachten und technische Dokumentation bereitstellen. Modelle mit systemischem Risiko, insbesondere bei sehr hohem Trainingsaufwand, müssen zusätzlich adversarial testing durchführen, schwere Vorfälle melden und angemessene Cybersicherheit sicherstellen.

• Unannehmbares Risiko (Artikel 5). Acht Kategorien von KI-Praktiken sind verboten, darunter unterschwellige Manipulation, Social Scoring durch Behörden, ungezieltes Scraping zum Aufbau von Gesichtserkennungsdatenbanken und biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen mit engen Ausnahmen für Strafverfolgung.
• Hohes Risiko (Artikel 6-49, Anhänge I und III). KI-Systeme sind hochriskant, wenn sie Sicherheitskomponenten eines regulierten Produkts sind oder in eine der Annex-III-Domänen fallen, etwa Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung oder Justiz. Anbieter müssen Qualitätsmanagement, Konformitätsbewertung, Registrierung, technische Dokumentation und menschliche Aufsicht sicherstellen.
• Begrenztes Transparenzrisiko (Artikel 50). KI-Systeme, die mit Personen interagieren, synthetische Inhalte erzeugen oder Emotionserkennung durchführen, müssen dies offenlegen.
• Minimales Risiko. Alle anderen KI-Systeme sind nicht unmittelbar reguliert, können aber freiwillige Codes of Conduct übernehmen.

Die Verordnung wird phasenweise angewendet, gerechnet ab Inkrafttreten am 1. August 2024:

Bußgelder reichen bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen verbotene Praktiken, und bis zu 15 Millionen EUR oder 3 % bei anderen Verstößen. Das EU AI Office innerhalb der Europäischen Kommission überwacht die Einhaltung der GPAI-Regeln und untersucht systemische Risiken.

• 2. Februar 2025 — Verbote nach Artikel 5 und KI-Kompetenzpflichten werden anwendbar.
• 2. August 2025 — GPAI-Pflichten und Governance-Regeln werden anwendbar; das EU AI Office übernimmt Aufsichtsfunktionen.
• 2. August 2026 — Allgemeines Anwendungsdatum im geltenden Verordnungstext, einschließlich Hochrisiko-Systemen nach Annex III. Die politische Digital-Omnibus-Einigung vom 7. Mai 2026 würde eigenständige Hochrisiko-KI-Systeme auf den 2. Dezember 2027 verschieben, sofern sie formal angenommen wird.
• 2. August 2027 — Datum im geltenden Verordnungstext für Hochrisiko-KI-Systeme als Sicherheitskomponenten von Annex-I-Produkten. Dieselbe politische Einigung würde produktintegrierte Hochrisiko-KI-Systeme auf den 2. August 2028 verschieben, sofern sie formal angenommen wird.

Industrielle KI-Systeme in sicherheitskritischen Fertigungsprozessen können unter Annex I oder Annex III als Hochrisiko-Systeme eingestuft werden. Hersteller, die KI für Qualitätsprüfung, Predictive Maintenance oder autonome Prozessanpassungen einsetzen, müssen den vorgesehenen Zweck dokumentieren, Risikomanagement betreiben, Daten-Governance sicherstellen und wirksame menschliche Aufsicht ermöglichen. Konformitätsbewertung und CE-Anforderungen können vor dem Inverkehrbringen relevant werden.

Tanocrix ist als strukturierte Ausführungsschicht zwischen KI-Begründung und industrieller Handlung gedacht. Das typisierte Aktionsschema unterstützt Dokumentation und Transparenz, der verpflichtende Freigabeschritt unterstützt menschliche Aufsicht, und die signierte Audit-Kette unterstützt Protokollierung und Nachvollziehbarkeit. Weil jeder KI-Vorschlag als prüfbares Objekt statt als freier Text vorliegt, können Betreiber Transparenz und Kontrolle technisch nachweisen.