AI Act entsperrt den Bußgeld-Button in Brüssel und legt Artikel 50 jedem Chatbot mit europäischem Nutzer in den Schoß

Die Europäische Union hat am Sonntag, den 2. August, den fehlenden Teil des AI Act aktiviert, um die Regulierung in Kraft zu setzen. Ab diesem Datum hat das AI Office die Befugnis, Informationen anzufordern, Zugang zu Modellen zu verlangen, Rückrufe anzuordnen und Geldbußen von bis zu 15 Millionen Euro oder 3 % des jährlichen globalen Umsatzes zu verhängen, je nachdem, was höher ist, gegen Anbieter von allgemeinen Zweckmodellen, den GPAI. Zum gleichen Stichtag traten die Transparenzpflichten des Artikels 50 in Kraft: Jedes System, das direkt mit Menschen interagiert, muss sich als KI identifizieren, und jeder synthetisch erzeugte Text, jedes Bild, Audio oder Video muss maschinenlesbare Kennzeichnungen tragen.

Das Gesamtpaket ist auf dem Papier bescheiden, aber in der Praxis ambitioniert. Artikel 50 ist kurz, betrifft jedoch alles vom Support-Chatbot bis hin zu bildgenerierenden Anwendungen in CRM-Systemen. Die Sanktionsbefugnis des AI Office, gemäß Artikel 101, verleiht einer Regulierung, deren wesentlicher Teil über GPAI seit dem 2. August 2025 im Buch stand, ohne ein eigenes Durchsetzungsmechanismus, endlich die Zähne. Henna Virkkunen, die geschäftsführende Vizepräsidentin der Kommission für Technologische Souveränität, Sicherheit und Demokratie, hatte bereits im Juli 2025, als sie den GPAI-Verhaltenskodex veröffentlichte, erklärt, dass der Text "ein wichtiger Schritt sei, um die KI-Modelle in Europa nicht nur innovativer, sondern auch sicherer und transparenter zu machen". Dieses Versprechen wird jetzt Wirklichkeit.

Was genau aktiviert wurde

Artikel 50 bringt drei Verpflichtungen mit sich. Konversationssysteme müssen den Nutzern klar und zur richtigen Zeit mitteilen, dass sie mit einer Maschine sprechen. Synthetische Inhalte müssen technisch gekennzeichnet sein, um eine automatische Erkennung zu ermöglichen, wobei die Frist für Legacy-Systeme bis zum 2. Dezember 2026 verlängert wurde. Und Deepfakes, die reale Personen oder Ereignisse betreffen, müssen mit einer sichtbaren Warnung versehen werden, es sei denn, es handelt sich um eingeschränkte künstlerische Ausnahmen. Der GPAI-Pfad, der parallel aktiviert wurde, deckt die Transparenz bezüglich Trainingsdaten, die Einhaltung von Urheberrechtsvorschriften und, für als systemisch riskant erachtete Modelle, Sicherheitsbewertungen und Meldungen von Vorfällen ab.

Die Geldbußentabelle des Artikels 99 hat drei Stufen. Verbotene Praktiken aus Titel II können bis zu 35 Millionen Euro oder 7 % des globalen Umsatzes kosten. Hochriskante Verstöße und Verstöße gegen Artikel 50 werden mit bis zu 15 Millionen Euro oder 3 % bestraft. Falsche Informationen an Behörden können bis zu 7,5 Millionen Euro oder 1 % kosten. Für GPAI legt Artikel 101 den gleichen Höchstbetrag von 15 Millionen Euro oder 3 % fest. Ein Anbieter, der eine Anfrage nach Zugang zu einem Modell ignoriert, gehört zur gleichen Risikogruppe wie jemand, der eine wesentliche Verpflichtung verletzt.

Was verschoben wurde

Die Kommission hat Teile des Zeitplans verschoben. Die vollständigen Verpflichtungen für autonome Hochrisikosysteme, die in Anhang III aufgeführt sind, darunter Rekrutierung, Kreditbewertung, Bildung, Strafverfolgung, Grenzkontrolle und kritische Infrastruktur, sind auf den 2. Dezember 2027 verschoben worden. KI, die in Produkte integriert ist, die bereits durch das Produktsicherheitsgesetz des Anhangs I geregelt sind, wie Medizinprodukte, Maschinen und Spielzeuge, wurde auf den 2. August 2028 verschoben. Die kurze Lesart ist, dass Brüssel beschlossen hat, zuerst dort zu handeln, wo es die Einhaltung ohne umfangreiche Neukonzeption von Audits messen kann: Identifikation von Chatbots, Wasserzeichen und Überwachung von Foundation Models.

Wie es nach Brasilien und in Drittländer gelangt

Die extraterritorialen Wirkungen sind der Teil, der außerhalb Europas ins Gewicht fällt. Jedes System, dessen Ausgabe von Personen in der Union genutzt wird, ist betroffen, auch wenn der Anbieter sich in einer anderen Jurisdiktion befindet. In den Vereinigten Staaten haben Technologieanwaltskanzleien wie Latham & Watkins und Morrison Foerster im Juli Warnungen veröffentlicht, um ihre globalen Kunden vorzubereiten: Ein amerikanisches SaaS-Unternehmen mit europäischen Kunden muss synthetische Inhalte kennzeichnen und Chatbots nun offenlegen, unter Androhung von Geldbußen, die auf den weltweiten und nicht den europäischen Einnahmen basieren. Im Vereinigten Königreich, das die automatische Angleichung an den AI Act nach dem Brexit aufgegeben hat, hat die Financial Conduct Authority bereits signalisiert, dass sie einen äquivalenten Transparenzstandard für KI im Finanzdienstleistungsbereich verlangen wird, auch ohne ein entsprechendes Gesetz. In Deutschland arbeitet die BaFin an einem eigenen Anwendungshandbuch für Banken und Versicherungen. In Brasilien importiert der PL 2338, der sich noch im Senat in der Beratung befindet, die Risikostruktur des AI Act nahezu wortwörtlich, und der Konsens unter den Juristen, die den Text verfolgen, ist, dass das europäische Wasserzeichen zum De-facto-Standard für nationale Anbieter werden wird, die Software exportieren.

Die praktische Lesart für den CIO ist klar. Wer bereits kartiert hat, wo es öffentliche Chatbots, bildgenerierende Anwendungen im Unternehmensgebrauch oder eigene Modelle mit urheberrechtlich geschützten Daten gibt, hat eine definierte Aufgabe. Wer noch nicht kartiert hat, beginnt mit einem Rückstand das Rennen, und die Uhr zählt nun in Bezug auf mögliche Geldbußen.