Europa · Technologie und digitale Vermögenswerte

EU-KI-Gesetz: Praktischer Leitfaden für internationale Geschäfte

Erich Rath10 Min. Lesezeit

EU-KI-Gesetz: Wie Technologieunternehmen ohne Sanktionen in den EU-Markt eintreten können

Mainstream

Bei der Einhaltung des EU-KI-Gesetzes geht es nicht darum, ein Selbstbewertungsformular auszufüllen. Es handelt sich um eine Strategie für den Zugang zum größten regulierten Markt für künstliche Intelligenz der Welt.

Die Frage ist nicht, ob Sie das Zertifikat erhalten haben. Die entscheidende Frage ist, ob Ihr Unternehmen kontinuierlich und nahtlos KI-Lösungen in der Europäischen Union entwickeln, implementieren und verkaufen kann.

Effektive internationale Compliance beginnt mit drei Kontrollen:

Ist Ihr KI-System reguliert und in welche Risikokategorie fällt es?
Welche Rolle spielen Sie und wer trägt die Hauptverantwortung?
Sind Ihre internen Prozesse für die Überwachung und laufende Überwachung nach dem Inverkehrbringen bereit?

Wenn diese drei Probleme nicht vor der Markteinführung des Produkts gelöst werden, riskiert das Unternehmen mehr als eine Geldstrafe von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes. Es besteht die Gefahr eines erzwungenen Rückrufs des Produkts vom Markt, einer Reputationskatastrophe und dem Verlust des Rechts auf Arbeit in der EU.

Wenn das EU-KI-Gesetz erforderlich ist

Die internationale Einhaltung des KI-Gesetzes ist erforderlich, wenn:

Sie entwickeln KI-Systeme und platzieren diese auf dem EU-Markt.
Sie integrieren eine KI-Komponente in Ihre in Europa verkauften Produkte;
Sie sind Importeur oder Vertreiber von KI-Lösungen in der Europäischen Union.
Ihr KI-System wird in der EU verwendet, um Entscheidungen über Menschen zu treffen
Ihr Produkt interagiert mit EU-Bürgern, auch wenn Sie sich im Ausland befinden;
Sie beschäftigen sich mit biometrischer Kategorisierung, Emotionserkennung oder Scoring;
Sie nutzen KI in kritischen Infrastrukturen, im Bildungswesen, im Personalwesen oder im Recht
Sie haben von einer europäischen Regulierungsbehörde oder Gegenpartei eine Anfrage zum Compliance-Status erhalten;
Sie planen eine M&A-Transaktion mit einem europäischen KI-Asset und bewerten die Risiken.
Sie möchten vermeiden, dass Ihr System als verbotene KI eingestuft wird.

Der Fehler, den die meisten internationalen Unternehmen machen

Viele Technologieteams beginnen mit der Frage:

Welche Unterlagen müssen Sie für die Aufsichtsbehörde einholen?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Welches Compliance-Modell sollte ich implementieren, damit das Produkt nicht an der Grenze endet und die Verantwortung nicht zur persönlichen Verantwortung des Managements wird?

Manchmal ist es das beste Ergebnis, von Anfang an auf riskante Funktionen zu verzichten. Manchmal wird das KI-Modul in einem separaten Produkt im Umfeld eines europäischen Vertreters isoliert. Manchmal kommt es zu einer tiefgreifenden Modernisierung der Datenverwaltung. Manchmal geht es darum, die Beziehungen zu Anbietern und Nutzern so zu strukturieren, dass die Last der Compliance auf die am besten vorbereitete Partei verlagert wird.

Die Einhaltung des EU-KI-Gesetzes erfordert keine formelle Zertifizierung, sondern eine kommerzielle Strategie zum Management von Technologierisiken.

Schritt 1: Stellen Sie fest, ob ein Produkt dem KI-Gesetz unterliegt

Das erste, was es zu untersuchen gilt, ist nicht die technische Dokumentation, sondern die Definition des KI-Systems in der Verordnung und der räumliche Geltungsbereich seiner Anwendung.

Wichtige Punkte für die Analyse:

Das Vorhandensein von maschinellem Lernen oder logischen/statistischen Ansätzen.
Die Fähigkeit des Systems, die Umwelt zu beeinflussen oder Entscheidungen zu treffen;
Grad der Autonomie;
das Produkt auf den EU-Markt bringen oder in Betrieb nehmen;
der Standort des Anbieters, Importeurs oder Nutzers;
Ob das System in der EU betrieben wird;
ob personenbezogene Daten von EU-Bürgern verwendet werden;
ob das System von EU-Behörden angewendet wird;
Ausnahmen: F&E, militärische Ziele, nationale Sicherheit, Open Source (mit Vorbehalt);
reine IT-Hilfswerkzeuge ohne KI-Spezifität.

Wenn das System nicht unter die Definition fällt, sind die formalen Verantwortlichkeiten minimal. Aber es muss in einem Dokumentarfilm nachgewiesen werden.

Schritt 2. Klassifizierung des Systems nach Risikostufe

Die Höhe des Risikos bestimmt den Umfang der Anforderungen.

Die Kategorie sollte klar definiert sein:

Verbotene KI (unterschwellige Techniken, allgemeine soziale Bewertung, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit wenigen Ausnahmen))
KI mit hohem Risiko – Systeme in kritischen Infrastrukturen, Bildung, Beschäftigung, Zugang zu grundlegenden Dienstleistungen, Strafverfolgung, Migration, Justiz. Einige Produkte unterliegen der harmonisierten EU-Gesetzgebung (Medizin, Autos, Spielzeug).
Begrenztes Risiko: Chatbots, Emotionserkennung, generative Inhalte (GPAI), bei denen Transparenz entscheidend ist.
Das minimale Risiko sind Spamfilter, KI in Videospielen und Empfehlungssysteme ohne nennenswerte Gefährdung.

Ein Klassifizierungsfehler ist der teuerste Fehler. Dies kann dazu führen, dass ein Produkt entwickelt wird, dessen Markteinführung grundsätzlich verboten ist.

Schritt 3. Bestimmen Sie Ihre Rolle in der Wertschöpfungskette

Das KI-Gesetz erlegt den verschiedenen Beteiligten unterschiedliche Verantwortlichkeiten auf:

Anbieter – jemand, der unter seiner Marke ein KI-System entwickelt und hostet. Es trägt die Hauptverantwortung für die Einhaltung.
Ein Importeur ist jemand, der ein KI-System von einem Nicht-EU-Anbieter importiert. Sie müssen die Einhaltung prüfen und sich ggf. registrieren.
Händler: Verkauft oder vertreibt das System auf dem EU-Markt, ohne seine Beschaffenheit zu ändern.
Bereitsteller – nutzt das System für seine beruflichen Aktivitäten. Für Systeme mit hohem Risiko sind menschliche Aufsichts- und Überwachungsaufgaben erforderlich.

Das Unternehmen kann mehrere Rollen kombinieren. Die Compliance-Strategie basiert auf der Rolle mit der größten Belastung.

Schritt 4. Identifizieren Sie die geltenden Anforderungen

Zu den Anforderungen für Hochrisikosysteme gehören:

Risikomanagementsystem über den gesamten Lebenszyklus;
Datenmanagement (Schulung, Validierung, Testdatensätze);
technische Dokumentation;
Transparenz und Bereitstellung von Informationen für den Benutzer;
menschliche Aufsicht;
Genauigkeit, Robustheit und Cybersicherheit;
Pflichten zur Überwachung nach dem Inverkehrbringen;
Registrierung in der europaweiten Datenbank;
Erstellung der EU-Konformitätserklärung und der CE-Kennzeichnung.

Bei Systemen mit begrenztem Risiko besteht die Aufgabe darin, darüber zu informieren, dass eine Person mit der KI interagiert, und den generierten Inhalt zu kennzeichnen.

Schritt 5. Führen Sie eine Konformitätsbewertung durch und bereiten Sie die Dokumentation vor

Das Konformitätsbewertungsverfahren hängt von der Kategorie ab:

Die meisten Systeme mit hohem Risiko – interne Kontrollen gemäß Anhang VI
harmonisierte Rechtssysteme durch benannte Stellen (Anhang VII);
Allzweck-KI mit Systemrisiken – erweiterte Haftung

Die Dokumentation muss vor dem Inverkehrbringen erstellt werden und Folgendes umfassen:

Beschreibung des Systems und seines Zwecks;
Angaben zum Anbieter und zum Bevollmächtigten;
Matrix der Risiken und Maßnahmen zu ihrer Minderung;
Logik der Entscheidungsfindung und menschliche Überwachung;
Test- und Validierungsergebnisse;
Richtlinie zur Überwachung von Vorfällen;
Konformitätserklärung.

Die Dokumentation ist 10 Jahre aufzubewahren. Seine Abwesenheit ist ein unabhängiger Grund für eine Geldstrafe.

Schritt 6. Implementierung eines Risikomanagementsystems

Compliance ist kein einmaliges Projekt. Es ist ein kontinuierlicher Prozess.

Das Risikomanagementsystem (RMS) sollte:

Identifizieren Sie bekannte und vorhersehbare Risiken;
ihre Schwere und Wahrscheinlichkeit beurteilen;
Maßnahmen zur Beseitigung oder Reduzierung ergreifen;
Prüfung von Restrisiken;
Aktualisieren Sie, wenn das System lernt und sich die Umgebung ändert.

Dies ist besonders wichtig für selbstlernende Systeme, deren Verhalten sich nach der Bereitstellung ändert.

Schritt 7. Sorgen Sie für Transparenz und menschliche Aufsicht

Ohne eingebaute Kontrollmechanismen ist Compliance nicht möglich:

verständliche Information der Benutzer über die Fähigkeiten und Grenzen des Systems;
für Hochrisiko – die Fähigkeit, einzugreifen oder eine Entscheidung rückgängig zu machen;
„Stopp-Taste“ oder Bypass-Mechanismen;
automatische Erfassung der Tatsache menschlicher Beteiligung;
Transparenz hinsichtlich Datenquellen und algorithmischer Logik (auf Beschreibungsebene).

Das Fehlen echter menschlicher Kontrolle ist ein häufiger Grund für Ansprüche von Aufsichtsbehörden.

Schritt 8. Ernennen Sie einen autorisierten Vertreter in der EU

Dies ist eine Anforderung für Anbieter und Importeure außerhalb der EU.

Bevollmächtigter Vertreter:

muss in einem der EU-Mitgliedstaaten ansässig sein;
Es fungiert als Anlaufstelle für Regulierungsbehörden.
Bewahrt die Dokumentation und die Konformitätserklärung auf;
interagiert mit Vorfällen;
Die Klage kann vor einem Gericht oder einer Aufsichtsbehörde erhoben werden.

Die Ernennung eines Kandidaten ohne echtes Mandat ist ein schwerwiegender Fehler.

Schritt 9. Registrieren Sie das System in der EU-Datenbank

KI-Systeme mit hohem Risiko unterliegen einer Registrierungspflicht in der öffentlichen Datenbank der EU.

Zu den Registrierungsdaten gehören:

Angaben zum Anbieter und Vertreter;
Zweck des Systems;
Risikokategorie;
Ergebnisse der Konformitätsbewertung;
Technische Dokumentation (soweit in der Verordnung festgelegt).

Vor der Inbetriebnahme des Systems muss die Registrierung abgeschlossen sein.

Schritt 10: Richten Sie die Überwachung nach dem Inverkehrbringen ein

Sobald der Markt vorhanden ist, endet die Verantwortung nicht.

Es ist notwendig:

Daten über den Betrieb des Systems sammeln und analysieren;
Schwerwiegende Vorkommnisse untersuchen (schwerwiegende Vorfälle)
die Aufsichtsbehörden innerhalb des vorgeschriebenen Zeitrahmens benachrichtigen;
Korrekturmaßnahmen einleiten (bis hin zum Produktrückruf);
Aktualisieren Sie die Dokumentation;
bei Inspektionen mit den Aufsichtsbehörden interagieren.

Bei einer ordnungsgemäßen Überwachung geht es darum, nicht nur Benutzer, sondern auch das Unternehmen selbst vor unverhältnismäßigen Sanktionen zu schützen.

Tabelle: Bußgeldstruktur bei Verstößen gegen das EU-KI-Gesetz

Kategorie des Verstoßes	Höchststrafe	Beispiel
Unzulässige Praktiken	bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes	Nutzung des Social-Scoring-Systems
Verstoß gegen Anforderungen an Hochrisikosysteme	bis zu 15 Millionen Euro oder 3 % Umsatz	Mangel an menschlicher Aufsicht oder Datenverwaltung
Bereitstellung falscher Informationen an die Regulierungsbehörde	bis zu 7,5 Millionen Euro oder 1,5 % des Umsatzes	Vertuschung eines schwerwiegenden Vorfalls
Transparenz (begrenztes Risiko)	bis zu 15 Millionen Euro oder 3 % Umsatz	Ein Chatbot, der Ihnen nicht sagt, dass es sich um KI handelt

Bußgelder werden auf der Grundlage der Umstände verhängt, aber höhere Schwellenwerte machen die Einhaltung finanziell unbestritten.

Häufige Fehler internationaler KI-Unternehmen

Befindet sich das Unternehmen nicht in der EU, findet das KI-Gesetz keine Anwendung. Das extraterritoriale Handeln richtet sich nach dem Verwendungsort des Ergebnisses.
Nennen Sie KI „Automatisierung“ und ignorieren Sie die Regulierung. Die Qualifikation hängt von der Substanz ab, nicht vom Namen.
Hochrisikosysteme werden als minimales Risiko eingestuft. Der Fehler wird beim ersten Vorfall aufgedeckt.
Unterscheiden Sie nicht zwischen den Rollen des Anbieters und des Benutzers. Dies führt dazu, dass kritische Verantwortlichkeiten weggelassen werden.
Ernennen Sie eine Mantelgesellschaft als Vertreter in der EU. Die Regulierungsbehörde wird das Fehlen einer echten Kontrolle schnell erkennen.
Vergessen Sie Überwachungspflichten nach dem Verkauf. Der Verkauf ist nicht das Finale der Compliance.
Ignorieren Sie die Datenanforderungen für das Training. Diskriminierende Voreingenommenheit oder ein Verstoß gegen die DSGVO sind getrennte Formulierungen.
Die menschliche Aufsicht auf architektonischer Ebene nicht einzubeziehen. Dies im Nachhinein zu tun, ist oft unmöglich.

Checkliste für internationales Geschäft

Beantworten Sie vor dem Eintritt in den EU-Markt 15 Fragen:

Fällt unser Produkt unter die Definition eines KI-Systems?
In welchem Land und von wem wird es auf den Markt gebracht?
Wer ist unser „Anbieter“ im Sinne der Verordnungen?
Haben wir einen Importeur oder Händler in der EU?
In welche Risikokategorie haben wir das System eingeordnet und warum?
Gibt es Anzeichen für inakzeptable Praktiken im Produkt?
Sind die technischen Unterlagen und Datensätze fertig?
Wurde die Konformitätsbewertung nach dem vorgeschriebenen Verfahren durchgeführt?
Wird ein Bevollmächtigter mit echten Befugnissen bestellt?
Ist das System in der EU-Datenbank registriert?
Funktioniert der menschliche Überwachungsmechanismus?
Ist das Incident-Response-System eingerichtet?
Liegt ein Post-Marketing-Überwachungsplan vor?
Verfügen wir über eine Strategie für den Fall einer Anfrage der Aufsichtsbehörde?
Wie weisen wir die Konformität ein Jahr nach der Einführung nach?

Wie eine starke KI-Compliance-Strategie aussieht

Eine starke Strategie umfasst fünf Ebenen:

Regulatory Intelligence: Die genaue Klassifizierung, Überwachung und Überwachung der regulatorischen Aktualisierungen und Leitlinien der Kommission.
Unter Product Governance versteht man die Integration von Compliance in das Design des Systems, nicht das „Verdrehen“ vor der Markteinführung.
Dokumentation und Beweise – ein komplettes Paket aus Dokumentation, Erklärung und Protokollen der menschlichen Beteiligung.
EU Representation & Engagement – ein aktiver Dialog mit Aufsichtsbehörden durch einen echten Vertreter.
Vorfall- und Durchsetzungsbereitschaft – vorbereitete Algorithmen für Maßnahmen im Falle eines Vorfalls, einer Produktblockierung oder einer außerplanmäßigen Inspektion.

Ohne eine fünfte Ebene können die ersten vier möglicherweise nicht verhindern, dass das Unternehmen geschlossen wird.

FAQ

Gilt das EU-KI-Gesetz für außereuropäische Unternehmen? Wenn Ihr KI-System für Nutzer in der EU verwendet wird oder das Ergebnis in der EU verwendet wird, müssen Sie die Verordnung einhalten, auch wenn Sie sich in einem anderen Land befinden.

Noch wichtiger: Die CE-Kennzeichnung oder die Vermeidung einer Strafe ist wichtiger als der Aufbau eines kontinuierlichen Risikomanagementsystems. Die CE-Kennzeichnung ist ein Effekt, kein Ziel. Ohne ein Compliance-System schützt es nicht vor Sanktionen nach dem Inverkehrbringen.

Können Sie Hochrisiko-KI ohne einen europäischen Vertreter verkaufen? Anbieter und Importeure außerhalb der EU sind verpflichtet, vor dem Inverkehrbringen des Systems einen Bevollmächtigten in der Union zu benennen.

Führen Sie eine rechtliche Prüfung der Risikoklassifizierung und der menschlichen Aufsicht bereits in der Entwurfsphase durch, nicht vor der Veröffentlichung.

Leiten Sie umgehend eine Lückenanalyse ein, priorisieren Sie kritische Inkonsistenzen und schränken Sie möglicherweise vorübergehend die Funktionalität für EU-Benutzer bis zur Angleichung ein.

Für Klein- und Kleinstunternehmen sieht die Verordnung einige Vereinfachungen vor, die jedoch nicht von den Grundanforderungen der Hochrisikokategorie ausnehmen. Regulatorische Sandboxen können beim Testen helfen.

Steht das KI-Gesetz im Zusammenhang mit der DSGVO? Anforderungen an Datenqualität, Transparenz und Nichtdiskriminierung stehen in engem Zusammenhang mit dem Schutz personenbezogener Daten. Die Verletzung des einen zieht oft die Verletzung des anderen nach sich.

Fazit

Die Einhaltung des EU-KI-Gesetzes erfordert nicht nur eine Checkliste, sondern eine Strategie zum kontinuierlichen Management regulatorischer und technologischer Risiken.

Eine starke Position basiert auf einer genauen Klassifizierung, der richtigen Rollenverteilung in der Lieferkette, dem eingebauten Mechanismus der menschlichen Überwachung und der Bereitschaft, die Einhaltung jederzeit gegenüber der Aufsichtsbehörde nachzuweisen.

Auf dem europäischen Markt der künstlichen Intelligenz gewinnt nicht derjenige, der das Produkt am schnellsten auf den Markt bringt. Der Gewinner ist derjenige, der im Voraus versteht, wie er die regulatorischen Grenzen überschreiten kann, ohne das Geschäft zu stoppen, die Liquidität zu bewahren und Compliance in einen Wettbewerbsvorteil umzuwandeln.

Haben Sie eine Frage zum Thema dieses Artikels?

Schreiben Sie uns und wir werden innerhalb eines Werktages antworten.