Wissen Sie genau, was das deutsche und EU-Recht von Ihrer KI verlangt

Das zentrale KI-Gesetz. Es teilt KI-Systeme in Risikostufen ein (verboten, hoch, begrenzt, minimal) und legt für jede Stufe Pflichten fest, etwa Dokumentation, menschliche Aufsicht und Transparenz.

Das zentrale Datenschutzgesetz. Es regelt, wie KI personenbezogene Daten nutzt, begrenzt voll automatisierte Entscheidungen über Menschen und verlangt eine Datenschutz-Folgenabschätzung für risikoreiche KI.

Legt faire Regeln fest, wer auf die Daten vernetzter Produkte und KI-gestützter Dienste zugreifen und sie nutzen darf. Es erleichtert auch den Wechsel des Cloud-Anbieters.

Schafft vertrauenswürdige Wege, um Daten zu teilen, die KI nutzen kann, einschließlich der Weiterverwendung von Daten des öffentlichen Sektors und der Registrierung von Datenvermittlungsdiensten.

Verlangt von Finanzunternehmen, ihre Technologie- und KI-Risiken zu steuern, Vorfälle zu melden und externe IT- und KI-Dienstleister zu beaufsichtigen.

Legt Cybersicherheitspflichten für wichtige und besonders wichtige Einrichtungen fest, auch für KI-gestützte Infrastruktur, und verlangt die Meldung von Vorfällen an das BSI.

Verlangt, dass Produkte mit digitalen Bestandteilen, auch KI-Software und -Hardware, von Anfang an sicher sind, Sicherheitsupdates erhalten und ausgenutzte Schwachstellen gemeldet werden.

Aktualisiert die Haftungsregeln, sodass fehlerhafte Software und KI klar erfasst sind und Geschädigte leichter Schadensersatz verlangen können.

Legt Sicherheitsregeln für KI-gestützte Maschinen und Roboter fest und verlangt ausdrücklich eine Risikobewertung für selbstlernendes Verhalten.

Verpflichtet Online-Plattformen, offenzulegen, wie ihre KI Inhalte einstuft und empfiehlt, transparent zu moderieren und Risiken ihrer Algorithmen zu bewerten.

Hindert die größten Gatekeeper-Plattformen daran, mit KI-Rankings die eigenen Dienste zu bevorzugen oder Daten der Geschäftsnutzer unfair zu verwenden.

Legt Regeln für elektronische Identität und Vertrauensdienste wie E-Signaturen fest und führt die EU-Brieftasche für digitale Identität ein. Wichtig für KI-Identitätsprüfung und Betrugsprävention.

Das deutsche Gesetz, das die EU-KI-Verordnung in die Praxis umsetzt. Es benennt die zuständigen deutschen Behörden, regelt Bußgeldverfahren und sieht Reallabore vor.

Ergänzt die DSGVO um deutsche Besonderheiten, besonders für den Umgang mit Beschäftigtendaten und KI-Profiling am Arbeitsplatz.

Regelt Cookies, Tracking und Einwilligung auf Webseiten und Apps. Das betrifft KI, die Nutzer für Werbung oder Personalisierung profiliert.

Schützt vertrauliche Geschäftsinformationen wie KI-Modelle, Datensätze und Prompts als Geschäftsgeheimnis, sofern Sie angemessene Schutzmaßnahmen treffen.

Regelt KI-Trainingsdaten über die Regeln zum Text- und Data-Mining, den Schutz von KI-Ergebnissen und die Haftung für Urheberrechtsverletzungen.

KI-erzeugte Werbung darf nicht irreführen. Wettbewerber können auch gegen Verstöße gegen die KI-Verordnung als unlauteren Wettbewerb vorgehen.

Das deutsche Kartellrecht. Es prüft Marktmacht einschließlich Datenmacht und erlaubt dem Bundeskartellamt, Selbstbevorzugung und datenbasierte Behinderung sehr großer Firmen zu stoppen.

Regelt Vertrags- und Verschuldenshaftung bei KI-Fehlern, den Schutz vor KI-Deepfakes und die Pflicht, Verbrauchern KI-gesetzte Preise mitzuteilen.

Verbietet KI-Systemen Diskriminierung bei Einstellung, Beschäftigung oder Zugang zu Leistungen anhand geschützter Merkmale wie Geschlecht, Alter oder Herkunft.

Der Betriebsrat muss beteiligt werden, bevor Sie KI-Werkzeuge einführen, die Mitarbeitende überwachen oder ihre Arbeit beeinflussen können.

Arbeitgeber müssen alle Gefährdungen am Arbeitsplatz beurteilen, auch Belastungen durch KI-Überwachung und algorithmisches Management.

KI-Deepfakes und synthetische Medien können Straftaten sein, etwa Beleidigung, Verleumdung, Volksverhetzung oder Verletzung der Privatsphäre.

Sie müssen offenlegen, wenn Konten oder Inhalte automatisiert sind, etwa ein Bot, der wie eine echte Person wirkt, und Empfehlungssysteme transparent halten.

Unternehmen mit 50 oder mehr Beschäftigten müssen interne Meldestellen betreiben und Personen schützen, die Rechtsverstöße melden, auch unzulässige KI-Nutzung.

Ein geplantes deutsches Gesetz, das eigene Straftatbestände für schädliche Deepfakes und digitale Gewalt schaffen würde. Noch nicht in Kraft, also beobachten statt handeln.

Ein geplantes eigenständiges deutsches Gesetz für den Umgang mit Beschäftigtendaten, auch KI-Überwachung und Entscheidungen am Arbeitsplatz. Es ginge über die heutigen BDSG-Regeln hinaus. Noch ein Entwurf.

Regelt KI im Bankwesen wie Kreditscoring und automatisierten Handel unter den Risiko- und Organisationsregeln der BaFin.

Die BaFin beaufsichtigt KI in der Versicherungszeichnung, der automatisierten Schadenbearbeitung und der Risikobewertung.

KI-basierte Gesundheits-Apps müssen vom BfArM zugelassen sein, einen Nutzen nachweisen und Daten- und Geräteregeln erfüllen, um von der Krankenkasse erstattet zu werden.

KI, die als Medizinprodukt gilt, etwa Diagnose-KI, muss eine Konformitätsbewertung durchlaufen, eine CE-Kennzeichnung tragen und nach dem Verkauf überwacht werden.

Setzt den Rechtsrahmen für selbstfahrende Fahrzeuge der Stufen 3 und 4 auf öffentlichen Straßen, einschließlich Zulassung und der Rolle der technischen Aufsicht.

Erlaubt voll automatisierte Behördenentscheidungen nur, wenn ein Gesetz es zulässt, und solche Entscheidungen müssen erklärbar und anfechtbar sein.

Gibt eine verschuldensunabhängige Haftung für Schäden durch fehlerhafte Produkte, auch KI-integrierte. Es wird nach Umsetzung der neuen EU-Richtlinie bis Dezember 2026 erweitert.

Schafft EU-Regeln für die Nutzung elektronischer Gesundheitsdaten, sowohl für die Versorgung als auch, wichtig für KI, für Forschung und Training über nationale Zugangsstellen.

Die Erwartungen der BaFin an die Nutzung von KI und maschinellem Lernen im Finanzwesen. Im Fokus stehen klare Verantwortung, gute Daten, Modellvalidierung und laufende Aufsicht über algorithmische Entscheidungen.