EU-KI-Büro: Mandat, Befugnisse und Rolle bei der AI-Act-Durchsetzung

Das EU-KI-Büro, eingerichtet innerhalb der Europäischen Kommission, ist das primäre EU-weite Organ für die Überwachung von GPAI-Modellen und die Koordinierung der AI-Act-Durchsetzung. Diese Seite erklärt sein Mandat, seine Untersuchungsbefugnisse, seine Sanktionsbefugnis und wie es mit nationalen Marktüberwachungsbehörden interagiert.

Was ist das EU-KI-Büro?

Das EU-KI-Büro (offiziell: Büro für künstliche Intelligenz) ist das EU-weite Organ, das innerhalb der Europäischen Kommission eingerichtet wurde, um die Umsetzung und Durchsetzung des EU AI Act zu überwachen — mit einem spezifischen Mandat für KI-Modelle mit allgemeinem Verwendungszweck (GPAI).

Im Unterschied zu traditionellen EU-Agenturen (wie ENISA oder EBA) ist das KI-Büro keine unabhängige Regulierungsbehörde. Es ist als Verwaltungsbüro innerhalb der Generaldirektion Kommunikationsnetze, Inhalte und Technologie (GD CONNECT) strukturiert. Diese Struktur gibt ihm direkten Zugang zu Kommissionsressourcen und Agenda-Setting, bedeutet aber auch, dass seine Durchsetzungsentscheidungen technisch Kommissionsentscheidungen sind, die einer EU-Gerichtsüberprüfung unterliegen.

Das KI-Büro wurde frühzeitig geschaffen — im Februar 2024 offiziell eingerichtet, mehrere Monate bevor der AI Act im Amtsblatt (Juli 2024) veröffentlicht wurde und in Kraft trat (August 2024). Diese frühe Gründung war absichtlich: Die GPAI-Regulierung ist zeitkritisch angesichts des Tempos der Basismodell-Entwicklung, und die Kommission wollte eine Durchsetzungsinfrastruktur bereitstellen, bevor die dringendsten Pflichten greifen.

Rechtsgrundlage und Mandat

Die Rechtsgrundlage des EU-KI-Büros ist Kapitel VIII des EU AI Act (Art. 64–68), ergänzt durch den Kommissionsbeschluss vom 24. Januar 2024, mit dem es offiziell eingerichtet wurde.

Sein Kernmandat umfasst drei Bereiche:

1. GPAI-Modell-Aufsicht (direkte Durchsetzung)

Das KI-Büro hat ausschließliche EU-weite Zuständigkeit für die Überwachung von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck. Dazu gehört:

• Monitoring der Einhaltung von Kapitel-V-Pflichten (Transparenz, technische Dokumentation, Urheberrechtskonformität, Energieeffizienzberichterstattung für Modelle mit systemischem Risiko)
• Anforderung und Überprüfung technischer Dokumentation von GPAI-Anbietern
• Durchführung von Bewertungen von GPAI-Modellen — einschließlich kontradiktorischer Tests und Red-Teaming-Übungen — zur Beurteilung von Fähigkeiten und systemischen Risiken
• Ausgabe von Warnungen, wenn ein GPAI-Modell systemisches Risiko aufweist
• Verhängung von Bußgeldern und Korrekturmaßnahmen

2. Grenzüberschreitende Koordination (hochriskante KI-Systeme)

Für hochriskante KI-Systeme liegt die Durchsetzung primär auf nationaler Ebene. Aber das KI-Büro spielt eine wichtige Koordinierungsrolle:

• Erleichterung des Informationsaustauschs zwischen nationalen Marktüberwachungsbehörden (MSAs)
• Behandlung von Fällen, in denen ein nicht-konformes hochriskantes KI-System über mehrere Mitgliedstaaten zirkuliert
• Bereitstellung von technischer Expertise und Leitlinien für nationale Behörden
• Anforderung gemeinsamer Untersuchungen, wenn die grenzüberschreitende Auswirkung erheblich ist

3. Wissenschaftliche und technische Unterstützung

Das KI-Büro betreibt einen Wissenschaftlichen Beratungsausschuss, der aus unabhängigen KI-Experten besteht (Art. 68). Dieser Ausschuss liefert:

• Technische Bewertungen von GPAI-Modell-Fähigkeiten und -Risiken
• Beratung zu Klassifizierungsschwellenwerten (z. B. der Rechenleistungsschwellenwert für GPAI-Modelle mit systemischem Risiko)
• Beiträge zur Entwicklung von Normen, Verhaltenskodizes und Bewertungsmethoden

Untersuchungs- und Durchsetzungsbefugnisse

Das EU-KI-Büro hat erhebliche Untersuchungsbefugnisse über GPAI-Modellanbieter, einschließlich:

Informationsanfragen

Das KI-Büro kann von einem GPAI-Anbieter alle Informationen anfordern, die es für seine Aufsichtsaufgaben für notwendig hält (Art. 91). Anbieter müssen innerhalb der vom Büro gesetzten Frist antworten. Die Nichtbereitstellung von Informationen oder die Bereitstellung falscher oder irreführender Informationen ist selbst eine ahndbare Straftat.

Bewertungen und Tests

Das KI-Büro kann anfordern, dass ein GPAI-Anbieter sein Modell zur Bewertung einreicht, einschließlich:

• Fähigkeitsbewertungen (Identifizierung gefährlicher Fähigkeiten wie CBRN-Unterstützung, Cyberangriffs-Erleichterung oder Manipulation in großem Maßstab)
• Sicherheits- und Alignment-Bewertungen
• Kontradiktorische Tests / Red-Teaming

Das Büro kann Bewertungen selbst durchführen oder sie an qualifizierte Dritte oder nationale Behörden auslagern. Der AI Act verlangt von GPAI-Anbietern mit Modellen mit systemischem Risiko, Zugang zu ihren Modellen für Bewertungszwecke zu gewähren.

Vor-Ort-Inspektionen

Für GPAI-Modelle mit systemischem Risiko kann das KI-Büro Vor-Ort-Inspektionen der Einrichtungen des Anbieters durchführen, mit Unterstützung nationaler Behörden im betreffenden Mitgliedstaat. Eine Vorankündigung ist im Allgemeinen erforderlich, es sei denn, das Büro hat spezifische Gründe für die Annahme, dass eine Vorankündigung die Untersuchung beeinträchtigen würde.

Einstweilige Maßnahmen

Bei einem dringenden Risiko kann das KI-Büro vorläufige einstweilige Maßnahmen anordnen, um schwerwiegenden und nicht wiedergutzumachenden Schaden zu verhindern. Diese Maßnahmen müssen verhältnismäßig sein und unterliegen einer Überprüfung.

Bußgelder

Bußgelder sind in drei Stufen strukturiert:

Für KMU und Start-ups gilt der niedrigere Betrag des festen Betrags oder des Umatzprozentanteils. Das KI-Büro muss die Art, Schwere, Dauer und Konsequenzen des Verstoßes sowie die vom Anbieter gezeigten Kooperationsniveaus berücksichtigen.

Der GPAI-Verhaltenskodex

Ein wichtiges Instrument des KI-Büros ist der GPAI-Verhaltenskodex — ein technisches freiwilliges Instrument, das durch einen Multi-Stakeholder-Prozess entwickelt wurde und die Kapitel-V-Pflichten des Gesetzes in konkrete Umsetzungsleitlinien übersetzt.

Der Verhaltenskodex-Prozess begann im Oktober 2024, wobei das KI-Büro Arbeitsgruppen aus GPAI-Anbietern, akademischen Forschern, Zivilgesellschaftsorganisationen und nationalen Behörden einberief. Er umfasst:

• Transparenzpflichten für GPAI-Anbieter (Trainingsdaten-Zusammenfassungen, Fähigkeitsdokumentation)
• Urheberrechts-Compliance-Verfahren
• Modell-Bewertungsmethoden für die Bewertung des systemischen Risikos
• Sicherheits- und Schutzstandards für GPAI-Modelle mit systemischem Risiko

Die Einhaltung des Verhaltenskodex schafft eine Konformitätsvermutung für die entsprechenden Kapitel-V-Pflichten. Dies ist ein erheblicher Vorteil: Anbieter, die dem Kodex folgen, können sich in Durchsetzungsverfahren darauf stützen, anstatt die Konformität von Grund auf nachweisen zu müssen.

Der KI-Ausschuss

Der KI-Ausschuss (Art. 65) operiert parallel zum KI-Büro. Er setzt sich zusammen aus:

• Einem Vertreter pro EU-Mitgliedstaat (nationale Aufsichtsbehörden)
• Einem Vertreter des Europäischen Datenschutzbeauftragten (EDPS)
• Einem Kommissionsvertreter (nicht stimmberechtigter Vorsitz)

Die Funktionen des KI-Ausschusses umfassen:

• Abgabe von Stellungnahmen und Empfehlungen an das KI-Büro und die Kommission
• Koordinierung nationaler Aufsichtsansätze
• Beratung zur Klassifizierung von KI-Systemen und Modellen
• Beiträge zur Entwicklung von Normen und Bewertungsmethoden

Der Ausschuss ist ein Beratungs- und Koordinierungsorgan — er hat keine direkte Durchsetzungsbefugnis. Seine Stellungnahmen haben jedoch erhebliches Gewicht und das KI-Büro soll sie berücksichtigen.

Nationale Marktüberwachungsbehörden

Für hochriskante KI-Systeme (keine GPAI-Modelle) sind nationale Marktüberwachungsbehörden (MSAs) die primären Durchsetzungsorgane. Jeder Mitgliedstaat muss mindestens eine MSA benennen, die für die AI-Act-Durchsetzung auf seinem Gebiet zuständig ist.

MSAs haben die Befugnis:

• Marktüberwachungsaktivitäten durchzuführen
• Technische Dokumentation und Zugriffsprotokolle von Anbietern und Betreibern anzufordern
• Korrekturmaßnahmen anzuordnen (Rückzug, Rückruf, Einschränkung des Marktzugangs)
• Bußgelder nach nationalem Umsetzungsrecht zu verhängen

Das KI-Büro koordiniert mit MSAs durch den KI-Ausschuss und durch bilaterale Zusammenarbeit, befehligt sie aber nicht. Die Mitgliedstaaten sind für die Ressourcierung und Befähigung ihrer MSAs verantwortlich.

Praktische Konsequenzen für GPAI-Anbieter

Wenn Sie ein KI-Modell mit allgemeinem Verwendungszweck entwickeln oder einsetzen, das auf dem EU-Markt zugänglich ist, ist das EU-KI-Büro Ihr primärer regulatorischer Ansprechpartner. Praktisch bedeutet dies:

1. Proaktiv registrieren und dokumentieren — das KI-Büro erwartet, dass Anbieter technische Dokumentation bereithalten, bevor sie darum gebeten werden. Unter Druck Dokumentation zu erstellen, nachdem eine Anfrage erfolgt ist, ist keine starke Compliance-Haltung.

2. Am Verhaltenskodex teilnehmen — die Teilnahme am GPAI-Verhaltenskodex-Prozess und die Übernahme seiner Bestimmungen schafft eine Konformitätsvermutung und demonstriert dem KI-Büro gegenüber guten Glauben.

3. Ihren Status bezüglich systemischen Risikos kennen — der aktuelle Schwellenwert für die systemische Risiko-Klassifizierung ist eine Trainingsrechnerleistung von mehr als 10^25 FLOPs. Wenn Ihr Modell nahe an oder über diesem Schwellenwert liegt, engagieren Sie sich proaktiv mit dem KI-Büro zu Bewertungspflichten.

4. Auf Bewertungen vorbereiten — wenn Sie ein GPAI-Modell mit systemischem Risiko entwickeln, müssen Sie in der Lage sein, Modellzugang für Bewertungen bereitzustellen. Dies erfordert technische Infrastruktur für kontrollierten API-Zugang, Kooperation bei kontradiktorischen Tests und Dokumentation von Red-Teaming-Ergebnissen.

5. Warnungen und Stellungnahmen verfolgen — das KI-Büro veröffentlicht Leitlinien, Warnungen und Stellungnahmen auf seiner Website. Diese sind keine bindenden Verordnungen, signalisieren aber Durchsetzungsprioritäten und interpretatorische Positionen, die Untersuchungen prägen werden.