Wie prüfe ich eigene KI-Anwendung gegen EU-AI-Act?

Zeitplan EU-AI-Act

• 2. Feb 2025: Verbotene Praktiken in Kraft.

• 2. Aug 2025: Vorschriften für General-Purpose-AI + Governance.

• 2. Aug 2026: Transparenz-Pflichten nach Art. 50; für die maschinenlesbare Kennzeichnung nach Abs. 2 bei zuvor angebotenen Systemen gilt eine Übergangsfrist bis 2. Dez 2026.

• 2. Dez 2027: Pflichten aus Kapitel III Abschnitten 1 bis 3, ausgenommen Artikel 6 Absatz 5, für Hoch-Risiko-Systeme nach Anhang III, ab 2. Aug 2028 für Anhang I.

Vier Risiko-Klassen

1. Verboten (Art. 5): Social-Scoring, manipulative Praktiken, Echtzeit-Biometrie im öffentlichen Raum (mit Ausnahmen), Emotion-Erkennung am Arbeitsplatz/Schule.

2. Hoch-Risiko (Anhang III): Personal, Justiz, Bildung, Migration, Kredit, kritische Infrastruktur.

3. Begrenztes-Risiko: Chatbots, Deepfakes - Transparenz-Pflicht (Kennzeichnung).

4. Minimal-Risiko: alle anderen - keine besonderen Hochrisikoauflagen; Art. 4 bleibt anwendbar.

Hoch-Risiko-Pflichten

• Risk-Management-System (Art. 9).

• Daten-Governance + Repräsentativität (Art. 10).

• Technische Doku (Art. 11).

• Logging der Entscheidungen (Art. 12).

• Transparenz + Anwender-Information (Art. 13).

• Menschliche Aufsicht (Art. 14).

• Genauigkeit + Robustheit + Cybersicherheit (Art. 15).

• Konformitäts-Bewertung vor Markt-Eintritt.

Vier-Schritte-Prüfung

1. Klassifizierung: Anhang III prüfen. Bei einem Treffer zusätzlich die Ausnahme nach Art. 6 Abs. 3 prüfen; Systeme nach Anhang III, die natürliche Personen profilieren, gelten stets als hochriskant.

2. Pflichten ableiten je nach Klasse.

3. Konformitäts-Bewertung, soweit erforderlich: intern oder unter Beteiligung einer notifizierten Stelle.

4. Beobachtungs-Pflicht nach Deployment: Vorfälle melden, System monitoren.

Verbotene Praktiken konkret

• Subliminale Manipulation, die Schaden verursacht.

• Ausnutzung von Schwächen (Alter, Behinderung, Lage).

• Social Scoring unter den Voraussetzungen des Art. 5 Abs. 1 Buchst. c.

• Predictive-Policing für Personen.

• Untargeted-Scraping von Gesichts-Bildern.

• Emotion-Erkennung am Arbeitsplatz + Schule.

• Biometrische Kategorisierung nach sensitiven Merkmalen.

• Echtzeit-Biometrie in öffentlichen Raeumen (mit eng begrenzten Ausnahmen).

Konformitäts-Bewertung

1. Risk-Management-Doku.

2. Daten-Qualitäts-Nachweis.

3. Technische Doku komplett.

4. Test-Reports.

5. Konformitäts-Erklärung.

6. CE-Kennzeichnung.

7. EU-Datenbank-Registrierung.

Begrenztes-Risiko-Transparenz

• Chatbot: muss als KI erkennbar sein.

• Emotion-Erkennung / Biometrie: muss angekündigt werden.

• Deepfakes: müssen als KI-generiert gekennzeichnet werden.

• Synthetische Inhalte (Bild, Audio, Video).

Sanktionen

• Verbotene Praktiken: bis 35 Mio EUR oder 7 % Welt-Umsatz.

• Hoch-Risiko-Verstoss: bis 15 Mio EUR oder 3 %.

• Falsche Informationen an Behörde: bis 7.5 Mio EUR oder 1 %.

• Inkrafttreten gestaffelt mit Anwendungs-Zeitpunkten.

Anti-Patterns

• Klassifizierung erst nach Deployment - illegale Anwendung.

• Konformität als Marketing-Stempel - Bürokratie ohne Substanz.

• Hoch-Risiko-System als Begrenztes-Risiko deklariert - Bussgeld-Risiko.

• Doku als 1x-Aufgabe - kontinuierliches Update Pflicht.

• Vendor-Versprechen ohne eigene Prüfung.