Zu Beginn des Jahres 2025 sind weltweit bedeutende Schritte in der KI-Gesetzgebung zu verzeichnen. Der EU AI Act steht kurz vor seinen ersten Implementierungsphasen, mit dem Ziel, sowohl einen einheitlichen Rahmen als auch praktische Anwendungsrichtlinien vor den verbindlichen Fristen zu etablieren. Unterdessen hat Südkorea am 26. Dezember das KI-Basisgesetz verabschiedet und ist damit nach der EU die zweite Rechtsordnung, die eine umfassende KI-Gesetzgebung einführt. Diese Entwicklungen, gefolgt von einer Vielzahl an Rahmenwerken und Initiativen unter anderem in Großbritannien, den USA und Kanada, unterstreichen den wachsenden Fokus auf die Regulierung dieses sich rasant entwickelnden Bereichs. In diesem Artikel geben wir einen Überblick über den Stand der KI-Gesetze und -Rahmenwerke weltweit, den aktuellen Ansatz zur KI-Sicherheit sowie die jüngsten Maßnahmen wichtiger Rechtsordnungen.

‍

Die EU und der EU AI Act

‍

Als Vorreiter der KI-Gesetzgebung stand der EU AI Act im Jahr 2024 unter ständiger Beobachtung – von Argumenten, er würde Innovationen ersticken, bis hin zu Befürchtungen, europäische Unternehmen könnten wirtschaftlich darunter leiden. Das KI-Büro und das Gesetz selbst verlagern den Fokus im Jahr 2025 jedoch auf Harmonisierung. In diesem Rahmen können solche Bedenken diskutiert werden, insbesondere durch Initiativen wie den Verhaltenskodex (Code of Practice), der Unternehmen, Wissenschaftler und die Öffentlichkeit gleichermaßen zur Mitwirkung einlädt.

‍

Der Zeitplan für die kommende Zeit sieht wie folgt aus:

‍

• ‍Februar 2025: KI, die als „verboten“ eingestuft ist, wird untersagt (wenn Sie die Risikoklassifizierung Ihrer KI überprüfen möchten, vereinbaren Sie eine Demo mit uns und nutzen Sie unseren EU AI Act Checker!)‍
• April 2025: Der Verhaltenskodex, der die Anforderungen an KI-Systeme mit allgemeinem Verwendungszweck detailliert festlegen soll und in einem iterativen Prozess seit September 2024 erarbeitet wird, soll voraussichtlich im April 2025 fertiggestellt werden, gefolgt von einer abschließenden Plenarsitzung. Zudem werden laut CSISim April 2025 die harmonisierten Normen für Hochrisiko-KI durch CEN und CENELEC erwartet, um eine angemessene Vorbereitungszeit für die rechtlichen Anforderungen an Hochrisiko-Systeme in den nächsten 30 Monaten zu ermöglichen.
• ‍August 2025: Durchsetzung bestimmter Anforderungen (einschließlich Meldepflichten, Governance, Regeln für GPAI-Modelle, Vertraulichkeit und Sanktionen (mit Ausnahme von Sanktionen für Anbieter von GPAI-Modellen). Anbieter von GPAI-Modellen, die vor dem 2. August 2025 auf dem EU-Markt bereitgestellt wurden, können diese Frist jedoch bis zum 2. August 2027 verlängern, um die Konformität zu erreichen.

‍

Obwohl der EU AI Act bei seinem Inkrafttreten im August 2024 noch keine Durchsetzung erforderte, wird eine freiwillige Einhaltung gemäß Erwägungsgrund 178empfohlen.

‍

Der Verhaltenskodex beschäftigt viele Akteure. Er wurde entwickelt, um die bewusst allgemein gehaltenen Anforderungen des EU AI Act zu ergänzen; die Harmonisierung von KI-Modellen für allgemeine Zwecke wird daher dem Verhaltenskodex überlassen. Durch die Einbindung von Interessengruppen aus Wissenschaft, Industrie, Organisationen und der Öffentlichkeit zielt der Kodex darauf ab, die praktische Umsetzung dieser Anforderungen anzugehen und gleichzeitig die systemischen Risiken im Zusammenhang mit KI für allgemeine Zwecke zu adressieren. Wie vom CSIS hervorgehoben, positioniert die aktive Beteiligung einer Vielzahl von Interessengruppen den Kodex als fundierte Grundlage für eine verantwortungsvolle Governance von Frontier-KI-Modellen und die Förderung der KI-Sicherheit weit über die Europäische Union hinaus.

‍

Am 14. November 2024 veröffentlichte das EU-Büro für Künstliche Intelligenz den ersten Entwurf des Kodex. Der zweite Entwurf wurde am 19. Dezember 2024 veröffentlicht und konzentriert sich auf Modelle, die nach dem 2. August 2025 erscheinen, wenn die neuen Vorschriften in Kraft treten. Weitere Diskussionen sind für Januar 2025 geplant, wobei sich die Treffen der Arbeitsgruppen mit technischer Risikominderung, Transparenz, Risikobewertung, Governance und Urheberrechtsregeln befassen werden – der dritte Entwurf wird anschließend für Mitte Februar 2025 erwartet.

‍

Die Ausarbeitung des Verhaltenskodex erfolgt unter hohem Zeitdruck, damit er bis spätestens 2. Mai 2025 fertiggestellt und ab August 2025 wirksam ist.

‍

Auf übergeordneter Ebene beginnen die Länder, sich auf die Auswirkungen des Gesetzes vorzubereiten und die zuständigen Behörden für die Umsetzung zu benennen. So hat beispielsweise das luxemburgische Parlament am 23. Dezember den Gesetzentwurf Nr. 8476 zur Umsetzung des EU AI Act im Land eingebracht, in dem die entsprechenden nationalen Stellen festgelegt werden. Wir erwarten, dass in den kommenden Monaten ähnliche Rechtsvorschriften in den EU-Mitgliedstaaten folgen werden.

‍

FINMA & Schweiz

‍

Die Schweiz verfolgt bei der Regulierung häufig einen „technologieneutralen“ Ansatz und setzt stattdessen auf sektorspezifische Maßnahmen, um eine solide Regulierungsstruktur zu erreichen. Während dies unter anderem für die Entwicklungen in der Finanz- und Transportbranche gilt, wird erwartet, dass die Schweiz ihre KI-Politik so ausrichtet, dass sie „mit internationalen Standards kompatibel ist, um eine Fragmentierung der regulatorischen Regeln zu vermeiden“, so White & Case.

Die Eidgenössische Finanzmarktaufsicht (FINMA) hat kürzlich bedeutende Schritte zur Regulierung von KI in Finanzinstituten unternommen. In ihrer Stellungnahme vom Dezember 2024 gab die FINMA verbindliche Leitlinien zur Governance und zum Risikomanagement für Organisationen heraus, die künstliche Intelligenz einsetzen, und knüpfte damit an ihre laufenden Aufsichtsprüfungen bei Banken und Versicherungen an.

Die FINMA betonte die Bedeutung robuster Governance-Strukturen, zentraler Risikoinventare sowie messbarer, quantitativer Ansätze für das KI-Risikomanagement. Die Stellungnahme hob zudem Bereiche hervor, in denen Institute nachbessern müssen, darunter Leistungskennzahlen, die Strenge der Bewertungen sowie die Erklärbarkeit von KI-Modellen. Diese Lücken bleiben für die FINMA ein zentrales Anliegen, um den sicheren und verantwortungsvollen Einsatz von KI auf den Finanzmärkten zu gewährleisten.

Über den Finanzsektor hinaus hat der Bundesrat das Eidgenössische Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK) beauftragt, mögliche Ansätze für eine KI-Regulierung zu prüfen. Es wird erwartet, dass das UVEK im Jahr 2025 einen formellen Regulierungsvorschlag ausarbeitet.

Zudem regelt das Schweizer Bundesgesetz über den Datenschutz (DSG) die Verarbeitung personenbezogener Daten, was direkte Auswirkungen auf KI-Anwendungen hat. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat daher Erwartungen formuliert, wie KI-Systeme die datenschutzrechtlichen Grundsätze einhalten müssen.

‍

Das Vereinigte Königreich

‍

Der Ansatz der britischen Regierung zur KI-Regulierung ist im Weißbuch zur KI-Regulierungvon 2023 sowie in der darauffolgenden schriftlichen Antwort vom Februar 2024 auf das Feedback aus dem Konsultationsprozess dargelegt. Zusammen signalisieren diese Dokumente, dass das Vereinigte Königreich in naher Zukunft keine umfassende, horizontale KI-Regulierung einführen will. Stattdessen setzt die Regierung auf einen „prinzipienbasierten Rahmen“ und ermutigt bestehende sektorspezifische Regulierungsbehörden, diese Prinzipien auf die Entwicklung und Nutzung von KI in ihren jeweiligen Bereichen anzupassen und anzuwenden.

‍

Zentral für die Umsetzung dieses Ansatzes ist das Office for Artificial Intelligence der britischen Regierung, das zur Überwachung der Umsetzung der nationalen KI-Strategie des Vereinigten Königreichs eingerichtet wurde. Das Büro soll eine entscheidende unterstützende Rolle spielen; zu seinen Aufgaben gehören die Überwachung der Wirksamkeit des Regulierungsrahmens, die Bewertung KI-bezogener Risiken in der gesamten Wirtschaft sowie die Förderung der Kompatibilität mit internationalen Regulierungsrahmen.

‍

Die Vereinigten Staaten

‍

Auf übergeordneter Ebene ist eine verbindliche Gesetzgebung derzeit nicht im Fokus des US-Kongresses. Wie von White & CaseAngesichts der politischen Spaltung in den USA und des Einflusses von Unternehmenslobbyismus ist es unwahrscheinlich, dass die meisten der aktuellen KI-Gesetzesentwürfe verabschiedet werden. 

‍

Trotz des Fehlens einer umfassenden Gesetzgebung bieten verschiedene Rahmenwerke und Leitlinien eine Orientierung für die Regulierung von KI:

‍

• ‍Die Executive Order der US-Regierung zu KI (Sichere, geschützte und vertrauenswürdige Entwicklung und Nutzung von KI): Diese Anordnung konzentriert sich auf Bundesbehörden und Entwickler grundlegender KI-Modelle. Sie schreibt die Schaffung von Bundesstandards vor und verpflichtet Entwickler der fortschrittlichsten KI-Systeme dazu, Ergebnisse von Sicherheitstests und andere kritische Informationen mit der US-Regierung zu teilen. Die kommende Trump-Administration hat jedoch Pläne zur Aufhebung dieser Anordnung angedeutet.‍
• Der Entwurf der US-Regierung für eine KI-Grundrechte-Charta: Dieser Entwurf skizziert Prinzipien für einen gerechten Zugang und eine verantwortungsvolle Nutzung von KI-Systemen. Er betont fünf Schlüsselbereiche: die Gewährleistung sicherer und effektiver Systeme, den Schutz vor algorithmischer Diskriminierung, die Wahrung des Datenschutzes, die Schaffung von Transparenz durch Benachrichtigung und Erläuterung sowie die Aufrechterhaltung menschlicher Aufsicht mit Alternativen und Rückfalloptionen.‍
• Die Federal Trade Commission: Die FTC nimmt eine entschlossene Haltung bei der Regulierung von KI im Rahmen ihrer bestehenden Befugnisse ein. Sie warnt Unternehmen davor, dass der Einsatz von KI-Tools mit diskriminierenden Auswirkungen, unbewiesene Behauptungen über KI-Fähigkeiten oder der Einsatz von KI ohne angemessene Risikobewertung gegen das FTC-Gesetz verstoßen können. So hat die FTC beispielsweise kürzlich Rite Aid den Einsatz von KI-Gesichtserkennungstechnologie ohne angemessene Sicherheitsvorkehrungen untersagt.

‍

Auf sektoraler Ebene wurden bereits einige rechtliche Schritte unternommen. So hat beispielsweise im Versicherungssektor die National Association of Insurance Commissioners ein Modell-Bulletin herausgegeben, das die Notwendigkeit von Governance-Rahmenwerken, Risikomanagement-Protokollen und Testmethoden hervorhebt. Diese Leitlinien sollen sicherstellen, dass Versicherer KI-Systeme verantwortungsbewusst einsetzen, insbesondere wenn diese Systeme direkte Auswirkungen auf Verbraucher haben.

‍

Ähnlich verhält es sich im Beschäftigungssektor: Die Stadt New York hat das Local Law 144 von 2021 erlassen, um automatisierte Entscheidungshilfen bei der Einstellung von Personal zu regulieren. Das Gesetz verbietet Arbeitgebern und Personalvermittlungsagenturen den Einsatz dieser Tools, sofern sie nicht im vergangenen Jahr einer Prüfung auf Voreingenommenheit (Bias Audit) unterzogen wurden.

‍

Kanada

‍

Kanada arbeitet auf Bundesebene aktiv an der Regulierung von KI durch den Artificial Intelligence and Data Act (AIDA). Der im Juni 2022 eingebrachte Gesetzentwurf hat die zweite Lesung passiert und wurde im April 2023 an den Ständigen Ausschuss für Industrie und Technologie verwiesen. Das Vorankommen des Gesetzes verläuft jedoch schleppend, was seine Zukunft offensichtlich ungewiss macht; sollte die Prüfung nicht abgeschlossen und das Gesetz nicht vor der nächsten Bundestagswahl, die spätestens für Oktober 2025 angesetzt ist, verabschiedet werden, verliert es seine Gültigkeit und müsste von der nächsten Regierung – möglicherweise in überarbeiteter Form – erneut eingebracht werden.

‍

Parallel dazu kündigte die Regierung am 12. November 2024 die Gründung des Canadian Artificial Intelligence Safety Institute (CAISI) an – eine neue Initiative, die im Rahmen einer umfassenderen Investition von 2,4 Milliarden CAD in KI-Projekte finanziert wird, welche im Bundeshaushalt 2024 vorgestellt wurden. Dies stellt einen bedeutenden Schritt für Kanadas Engagement im Bereich KI-Sicherheit und Innovation dar und ergänzt die legislativen Bemühungen des AIDA.

‍

Südkorea

‍

Am 26. Dezember 2024 verabschiedete Südkorea das KI-Grundlagengesetz und wurde damit nach der Europäischen Union die zweite Rechtsordnung weltweit, die eine umfassende KI-Gesetzgebung erlässt. Das Gesetz, das seit Juli 2020 entwickelt wurde und die über vier Jahre gesammelten Erkenntnisse widerspiegelt, fasst 19 Gesetzesentwürfe zu einem einheitlichen Rahmenwerk zusammen. Es wurde von der 22. Nationalversammlung nach Prüfungen durch den Ausschuss für Wissenschaft, Technologie, Information, Rundfunk und Kommunikation sowie den Rechtsausschuss verabschiedet und tritt im Januar 2026 in Kraft.

‍

Insbesondere ermächtigt das Gesetz den Minister für Wissenschaft und IKT dazu, alle drei Jahre eine nationale KI-Strategie unter Einbeziehung relevanter Ministerien und Kommunalverwaltungen festzulegen. Zudem formalisiert es die Rolle des im September 2024 ins Leben gerufenen Nationalen KI-Ausschusses und gründet das KI-Sicherheitsforschungsinstitut, um Risiken zu adressieren und das Wohlergehen der Bürger zu schützen.

‍