Obwohl die europäische Verordnung über künstliche Intelligenz (KI) am 1. August 2024 in Kraft trat, befinden wir uns in einer entscheidenden Phase ihrer Umsetzung.
Eine hilfreiche Erinnerung an den Zeitplan für die Anwendung der Bestimmungen der Verordnung, der die jüngsten Änderungen durch den «Digital Omnibus» berücksichtigt, findet sich auf der Website der Europäischen Kommission.
- Die allgemeinen Bestimmungen der Verordnung (Definitionen und Kultur der KI) und das Verbot von KI-Systemen, die inakzeptable Risiken darstellen, sind seit dem 2. Februar 2025 in Kraft.
- Seit dem 2. August sind die meisten Bestimmungen in Kraft getreten: Transparenzregeln und Maßnahmen zur Innovationsförderung gelten nun, und die Umsetzung von allgemeinen KI-Modellen, Verboten, Transparenzregeln und der KI-Kultur kann überwacht werden. Das Büro für Künstliche Intelligenz der Europäischen Kommission ist hierfür in Zusammenarbeit mit den nationalen Behörden zuständig.
- Ab dem 2. Dezember werden KI-Systeme, die nicht einvernehmliche sexuelle «Deepfakes» und Kinderpornografie erzeugen, reguliert, und ab Ende 2027 bzw. Mitte 2028 werden Hochrisiko-KI-Systeme in Anhang III (sensible Bereiche wie Beschäftigung und Polizeiwesen) bzw. Anhang I (Produkte wie Medizinprodukte) aufgenommen.
Genauer gesagt, verlangen die neuen Transparenzregeln des Artikels 50 seit diesem Sommer, dass bestimmte KI-Systeme wie Chatbots die Benutzer darüber informieren, wann sie mit der KI interagieren und wann der Inhalt von ihr generiert oder verändert wurde.
Darüber hinaus müssen Anbieter von Inhalten, die mithilfe von KI bearbeitet oder generiert werden, als solche gekennzeichnet werden.
Dieser Inhalt muss außerdem maschinenlesbare Kennzeichnungen enthalten, um leichter erkannt werden zu können.
Für bestimmte Fälle im strafrechtlichen Kontext sowie für Texte, deren Inhalt von einem Menschen kontrolliert wird, wurden Ausnahmen vorgesehen, und es gibt Anpassungen für künstlerische Werke.
Die Kommission schlug außerdem drei Symbole vor, um Inhalte zu kennzeichnen, die ganz oder teilweise mithilfe von KI generiert wurden.
Um Unternehmen bei der Einhaltung dieser Verpflichtungen zu unterstützen, veröffentlichte die Europäische Kommission am 20. Juli Leitlinien, die verdeutlichen, wer von diesen Regeln betroffen ist und welche Inhalte offengelegt werden müssen.
Ein «Verhaltenskodex für bewährte Verfahren zur Transparenz KI-generierter Inhalte», der bereits von mehr als 180 Organisationen, darunter OpenAI und Google, unterzeichnet wurde, soll Unternehmen dabei helfen, ihre Einhaltung der Verordnung nachzuweisen.
Wer in Frankreich ist für die Umsetzung und Überwachung der Einhaltung der Verordnung zuständig?
Die Aufsicht ist auf zahlreiche Einrichtungen verteilt und steht unter der Leitung der DGE und der DGCCRF, die die allgemeinen Informations- und Rückverfolgbarkeitspflichten überwachen.
- Die CNIL spielt eine zentrale Rolle bei KI-Systemen, die die Verarbeitung personenbezogener Daten, einschließlich sensibler Daten und biometrischer Daten, beinhalten. Die Behörde bietet praktische Leitfäden und ein Selbstbewertungstool, um Unternehmen bei der Überprüfung ihrer Einhaltung der gesetzlichen Bestimmungen zu unterstützen, und berät KMU und Kleinstunternehmen.
- ARCOM greift in digitale und audiovisuelle Inhalte ein, einschließlich sogenannter «Deepfakes».
- ANSSI wird in Fragen der Cybersicherheit intervenieren.
- Das HAS wird für KI-Systeme im medizinischen Bereich kompetent sein.
Diese Vielzahl an Verantwortlichkeiten, die zwangsläufig zu Überschneidungen führen wird, erfordert eine verstärkte Zusammenarbeit der Beteiligten. Die DGCCRF fungiert dabei als zentrale Anlaufstelle auf operativer Ebene.
Die Risiken im Falle einer Straftat können erheblich sein.
Die Sanktionen variieren je nach Risikostufe: bis zu 35 Millionen Euro oder 71 Tsd. Billionen des weltweiten Umsatzes für verbotene KI, 15 Millionen Euro oder 31 Tsd. Billionen für nicht konforme KI mit hohem Risiko und 7,5 Millionen Euro oder 11 Tsd. Billionen für mangelnde Transparenz.
Für KMU und Kleinstunternehmen sind die Strafen auf den niedrigeren Wert aus absoluter Wertschwelle und Umsatzprozentsatz begrenzt.
Die Regelung gilt in abgestufter Weise für jedes von einer Organisation eingesetzte KI-System und nicht für die Organisation als Ganzes.
Es wird daher empfohlen, alle verwendeten Systeme (einschließlich KI von Drittanbietern und Unteraufträgen) zu erfassen und deren Risikoniveau zu bewerten, um die Compliance anzupassen.
In Frankreich
Frankreich ist das erste europäische Land, das ein Gesetz verabschiedet hat, das Minderjährigen unter 15 Jahren den Zugang zu sozialen Netzwerken verbietet.
Der vom Parlament am 21. Juli verabschiedete Kompromisstext verpflichtet die Dienstleister zur Implementierung eines zuverlässigen Altersverifizierungssystems, ohne jedoch einen konkreten Mechanismus vorzuschreiben.
Ab dem 1. September 2026 können Minderjährige unter fünfzehn Jahren keine neuen Konten mehr auf diesen Plattformen erstellen.
Für bestehende Konten tritt die Sperre nach einer Frist von vier Monaten, also am 1. Januar 2027, in Kraft. ARCOM ist für die Einhaltung dieser Sperre verantwortlich.
Zu beachten ist, dass der Text Fragen der Verhältnismäßigkeit aufwirft, da er von allen Nutzern sozialer Netzwerke einen Altersnachweis verlangt, und dass die Wirksamkeit des Mechanismus von seinen Kritikern in Frage gestellt wird, die auf die gemischten Ergebnisse verweisen, die Australien in diesem Bereich erzielt hat.
Der Verfassungsrat wurde von zwei Abgeordnetengruppen um eine Überprüfung des Textes gebeten. Darüber hinaus beabsichtigt die Europäische Kommission, im Herbst einen Vorschlag zu diesem Thema vorzulegen, wobei sie Altersverifizierungsmechanismen priorisiert, die die Anonymität wahren.
Ab dem 11. August und aufgrund eines Dekrets vom 23. Juli ist die telefonische Werbung für Unternehmen aller Wirtschaftszweige grundsätzlich verboten, außer in Ausnahmefällen. Dies gilt im Gegensatz zum Bloctel-System, das einen aktiven Widerspruch erfordert.
- Wenn sich der Anruf auf einen mit dem Unternehmen abgeschlossenen Vertrag bezieht, um beispielsweise ergänzende Produkte oder Dienstleistungen anzubieten, oder auf ein Angebot, das darauf abzielt, die angebotene Dienstleistung oder deren Leistung zu verbessern.
- Hat das betreffende Unternehmen zuvor die Zustimmung erhalten, zu Marketingzwecken kontaktiert zu werden, muss diese Zustimmung «freiwillig», «informiert» und «durch eine eindeutige positive Handlung» erfolgt sein.
Bei Nichteinhaltung drohen Unternehmen Geldstrafen von bis zu 375.000 Euro für juristische Personen sowie die Nichtigkeit von Verträgen, die aufgrund unzulässiger Anbahnung geschlossen wurden.
Im vergangenen April bezog die CNIL eine harte Linie in Bezug auf Tracking-Pixel in E-Mails und gab den Unternehmen drei Monate Zeit, die gesetzlichen Bestimmungen zum Schutz der elektronischen Kommunikation einzuhalten.
Seitdem sind zahlreiche E-Mails in den Postfächern aller eingegangen, in denen um Zustimmung zur Nachverfolgung des Öffnungszeitpunkts von E-Mails gebeten wird. Am 22. Juli veröffentlichte die CNIL (französische Datenschutzbehörde) eine Reihe von Fragen und Antworten, um die Bedingungen für die Umsetzung ihrer Empfehlung zu erläutern.
Die CNIL und der CIANum (AI and Digital Council) haben eine gemeinsame Reflexion durchgeführt und ein exploratives Papier zu den Fragen veröffentlicht, die agentenbasierte KI für den Schutz personenbezogener Daten aufwirft.
Diese Arbeit knüpft an die Diskussionen an, die die CNIL zu diesem Thema mit ihren internationalen Partnern, insbesondere im Rahmen der G7 der Datenschutzbehörden, geführt hat.
Das Dokument verweist auf eine veränderte Größenordnung beim Einsatz von KI, die immer weiter verbreitet ist, und wirft Fragen der Verantwortung und des Kontrollverlusts über personenbezogene Daten auf. Obwohl der geltende Rechtsrahmen für diese Systeme anwendbar ist, hebt die CNIL eine Herausforderung bei der Anpassung der Umsetzungsmethoden hervor.
Doctolib kündigte Anfang Juli in einer E-Mail an seine 60 Millionen Nutzer an, dass es ab August, sofern diese nicht widersprechen, einige ihrer Gesundheitsdaten zur Schulung und Verbesserung seiner KI-Tools im Rahmen von Forschungsprojekten in Zusammenarbeit mit Inria, Inserm und der Université Paris Cité verwenden werde.
Das Unternehmen gibt an, dass die betreffenden Daten pseudonymisiert sind und ihre Verwendung den Bestimmungen der CNIL unterliegt.
Dieses Forschungsprojekt hat eine Reihe von Reaktionen hervorgerufen, darunter auch die der Liga für Menschenrechte, die in einer Pressemitteilung vom 16. Juli die standardmäßige Registrierung von Nutzern für das Forschungsprojekt und die Tatsache kritisiert, dass es von einem privaten Unternehmen (dessen Daten von einem dem US-Recht unterliegenden Unternehmen gespeichert werden) und nicht von einer öffentlichen Stelle durchgeführt wird.
In Europa
Europäische Institutionen und Gremien
Das Europäische Parlament stimmte am 9. Juli über die Verlängerung des Programms «Chat Control 1.0» ab, das es digitalen Unternehmen ermöglicht, private Nachrichten freiwillig und ohne Mandat zu analysieren.
Diese «vorübergehende Ausnahmeregelung» von den Vorschriften zum Schutz der Privatsphäre und zur elektronischen Kommunikation, die der Aufdeckung des sexuellen Missbrauchs von Kindern im Internet dient, würde bis zum 3. April 2028 in Kraft bleiben.
Dieser Text, der im März vom Parlament abgelehnt worden war, wurde bei einer zweiten Lesung, bei der für die Ablehnung des Vorschlags eine absolute Mehrheit aller Mitglieder erforderlich ist, erneut auf die Tagesordnung gesetzt.
Unterdessen verhandeln die Gesetzgeber über einen aktualisierten Rahmen, «Chat Control 2.0», der den Zugriff auf den Inhalt verschlüsselter Kommunikation ermöglichen könnte – ein Projekt, das von mehr als 800 Cybersicherheitsforschern als Bedrohung für die Verschlüsselung und Vertraulichkeit der Kommunikation angesehen wird.
Am 7. Juli legte die Europäische Kommission einen Aktionsplan für Cybersicherheit und künstliche Intelligenz vor, der darauf abzielt, «die sichere und verantwortungsvolle Nutzung von KI zu fördern und gleichzeitig die Cybersicherheit Europas zu stärken».
Der Aktionsplan ergänzt den bestehenden EU-Rechtsrahmen für KI und Cybersicherheit, einschließlich der KI-Verordnung, der Cyberresilienz-Verordnung, der NIS2-Richtlinie, der Verordnung über digitale operative Resilienz (DORA) und der Cyber-Solidaritäts-Verordnung.
Am 23. Juli erließ die Europäische Kommission zwei Beschlüsse, in denen sie feststellte, dass Google gegen die Verordnung über digitale Märkte (DMA) verstoßen hatte, indem es seine eigenen Dienste in der Google-Suche bevorzugte und Unternehmen Beschränkungen auferlegte, um zu verhindern, dass sie Google-Play-Nutzer auf andere, oft günstigere Kaufkanäle umleiteten. Sie verhängte gegen Google Geldbußen in Höhe von 460 Millionen Euro bzw. 430 Millionen Euro.
Am 8. Juli veröffentlichte der Europäische Datenschutzausschuss (EDPB) neue Leitlinien, die darauf abzielen, die Anwendung der DSGVO auf zwei wichtige Fragestellungen zu klären:
- Datenanonymisierung
- Web-Scraping im Kontext generativer KI.
Hinsichtlich der Anonymisierung stellt der Ausschuss klar, dass Daten nur dann als wirklich anonym gelten können, wenn eine vernünftigerweise mögliche Re-Identifizierung ausgeschlossen ist, insbesondere aufgrund von drei Kriterien: dem Fehlen von Isolation, Verknüpfung und Schlussfolgerung.
Die Leitlinien berücksichtigen insbesondere das Urteil des Gerichtshofs der Europäischen Union in der Rechtssache C-413/23 P, EDPB/SRB, vom 4. September 2025.
Bezüglich Web Scraping weist der Europäische Datenschutzausschuss darauf hin, dass die automatisierte Erfassung personenbezogener Daten zum Trainieren von KI-Modellen weiterhin der DSGVO unterliegt, insbesondere den Anforderungen an Rechtsgrundlage, Transparenz und Zweckbindung.
Diese beiden Leitlinienentwürfe stehen bis zum 30. Oktober 2026 zur öffentlichen Konsultation offen. Darüber hinaus wurden die Blockchain-Leitlinien in ihrer endgültigen Fassung verabschiedet.
Am 31. Juli 2026 sandte der Europäische Datenschutzausschuss (EDPB) außerdem ein Schreiben an die Europäische Kommission mit der Bitte zu prüfen, ob das Urteil des Obersten Gerichtshofs der USA im Fall Trump gegen Slaughter die Gültigkeit des EU-US-Datenschutzrahmens beeinträchtigen könnte.
Der Gerichtshof der Europäischen Union (EuGH) entschied am 16. Juli, dass berufliche E-Mails Mitteilungen darstellen, die unter die Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union fallen, dass sie aber von einer Wettbewerbsbehörde im Rahmen einer Untersuchung ohne vorherige richterliche Genehmigung beschlagnahmt werden können, sofern ein strenger Rechtsrahmen und angemessene Schutzmaßnahmen gegen Missbrauch und Willkür vorhanden sind (Verbundene Rechtssachen C-258/23 bis C-260/23).
In ihrem Urteil vom 14. Juli (C 474/24 – NADA Austria und andere) kam sie zu dem Schluss, dass die Veröffentlichung der Namen von Profisportlern, die gegen Anti-Doping-Bestimmungen verstoßen haben, rechtmäßig sein kann.
Die für die Veröffentlichung verantwortliche Stelle muss jedoch in der Lage sein, die widerstreitenden Interessen abzuwägen, um den Grundsatz der Verhältnismäßigkeit zu wahren. Sie räumte außerdem ein, dass eine Beschwerde als Präventivmaßnahme eingereicht werden kann.
Der EuGH urteilte schließlich mit Urteil vom 9. Juli (C-199/24 ND gegen Legal Newsdesk Sweden AB), dass die Veröffentlichung von Informationen über strafrechtliche Verurteilungen in öffentlich zugänglichen Datenbanken keine journalistische Tätigkeit darstellt und daher nicht aufgrund nationaler Gesetze zur Umsetzung von Artikel 85 Absatz 2 DSGVO von einer Ausnahme nach der DSGVO profitieren kann.
Neuigkeiten aus den Mitgliedstaaten der Europäischen Union.
In Österreich bestätigte der Oberste Verwaltungsgerichtshof nach sieben Jahren Verfahren eine gegen die österreichische Post verhängte Geldstrafe von 13 Millionen Euro.
Das Unternehmen hatte Daten über die politischen Ansichten von mehr als zwei Millionen Menschen gesammelt und diese Informationen zu Direktmarketingzwecken an Drittunternehmen verkauft.
Obwohl das Unternehmen in gutem Glauben argumentierte und die Gutachten von Beratern anführte, die seine Geschäftspraktiken bestätigt hatten, wies der Oberste Gerichtshof diese Argumente zurück und erklärte, dass «für die Sanktionierung einer juristischen Person weder ein Handeln noch eine Kenntnis seitens der Leitungsorgane erforderlich ist». Das Gericht urteilte ferner, dass «unhaltbare» Rechtsgutachten weder als mildernder Umstand noch als entlastender Faktor gelten sollten.
Am 14. Juli erließ der Europäische Datenschutzausschuss (EDSA) eine Entscheidung, mit der er die belgische Datenschutzbehörde (APD) anwies, die von der Nichtregierungsorganisation Noyb eingereichte Beschwerde zu bearbeiten, die die APD zuvor als unzulässig eingestuft hatte. In einer bindenden Entscheidung prüfte der Ausschuss, ob die Beschwerde wegen Rechtsmissbrauchs abzuweisen sei, und bestätigte, dass die Beauftragung einer gemeinnützigen Einrichtung, Organisation oder Vereinigung mit der Einreichung einer Beschwerde im Namen eines Beschwerdeführers mit der DSGVO vereinbar ist.
Die spanische Datenschutzbehörde (APD) hat ein Genomik- und Biotechnologieunternehmen mit einer Geldstrafe von 2,4 Millionen Euro belegt, weil es genetische und Gesundheitsdaten nicht angemessen geschützt und eine Verletzung des Schutzes personenbezogener Daten erst nach Ablauf der 72-Stunden-Frist der Datenschutzbehörde gemeldet hatte.
Die APD verhängte außerdem eine Geldstrafe von 1.050.000 € gegen Vodafone wegen unzureichender Datenschutzmaßnahmen.
Die italienische Datenschutzbehörde (APD) hat einen Energieversorger mit einer Geldstrafe von 5,8 Millionen Euro belegt, weil er Kreditratings nicht offengelegt oder erklärt hatte, wie diese berechnet wurden, Schuldendaten innerhalb seiner Unternehmensgruppe illegal weitergegeben, Kreditdaten zehn Jahre lang ohne ausreichende Rechtfertigung aufbewahrt und sie für unvereinbare Zwecke wiederverwendet hatte.
Die italienische Datenschutzbehörde hat gegen Lusha Systems Inc., einen amerikanischen Datenbroker, der über seine Plattform gegen Gebühr «angereicherte» Informationen über Einzelpersonen, wie beispielsweise deren berufliche Situation, E-Mail-Adressen und Telefonnummern, anbietet, eine Geldstrafe von 2 Millionen Euro verhängt.
Lusha sammelt diese Daten aus verschiedenen Quellen (Datenextraktion aus sozialen Netzwerken, Zukäufe von anderen Datenhändlern usw.) und stellt sie seinen Kunden für kommerzielle Zwecke oder zur Betrugsbekämpfung zur Verfügung.
Das Unternehmen führt außerdem Aktualisierungen durch, die die Online-Überwachung des Verhaltens der betroffenen Personen beinhalten und unter die DSGVO fallen. Die italienische Datenschutzbehörde (APD) hat die Verarbeitung von Daten von Personen mit Wohnsitz in Italien untersagt und deren Löschung angeordnet.
Die APD verhängte außerdem Sanktionen gegen den Telekommunikationsbetreiber TIM wegen zahlreicher Verstöße gegen Vorschriften in Bezug auf Datenschutz und Telemarketing.
Mehrere Callcenter des Unternehmens, die als Subunternehmer fungierten, führten im Namen des Unternehmens Werbeanrufe durch und verwendeten dabei Nummern, die nicht zum offiziellen Vertriebsnetz gehörten, um auf illegale Weise Nutzerdaten zu sammeln.
Die Behörde weist darauf hin, dass die Einhaltung eines Verhaltenskodex den Verantwortlichen nicht von der Pflicht befreit, die Aktivitäten seiner Unterauftragnehmer zu überwachen und die effektive Anwendung der Datenschutzmaßnahmen in der gesamten Telemarketingkette zu überprüfen.
International
In Kanada sieht ein Gesetzentwurf vom 15. Juni vor, die Befugnisse der DPA zur Überwachung des Privatsektors aufzuheben und eine einzige Behörde zu schaffen, die für die Regulierung von Online-Schaden, sozialen Netzwerken, KI-basierten Chatbots und dem Datenschutz im Privatsektor zuständig ist.
In den Vereinigten Staaten ist Abschnitt 702 des Foreign Intelligence Surveillance Act (FISA) im Juni ausgelaufen.
Seit 2008 erlaubt diese Bestimmung den US-Geheimdiensten, die Kommunikation von ausländischen Staatsangehörigen außerhalb der Vereinigten Staaten ohne richterliche Anordnung zu erfassen.
Seit mehreren Jahren forderte eine wachsende Zahl von Parlamentariern die Verlängerung von Artikel 702 unter der Bedingung eines obligatorischen Mandats. Schließlich erhielten sie die notwendigen Stimmen, um ihrer Position Gehör zu verschaffen.
Die im März erneuerten Genehmigungen des Foreign Intelligence Surveillance Court (FISC) für das Section-702-Programm bleiben jedoch in Kraft und «werden mindestens bis zum 17. März 2027 unverändert gelten», so der Abgeordnete Jamie Raskin.
Einige Betreiber haben intern gewarnt, dass sie die Zusammenarbeit einstellen werden, sobald das Gesetz ausläuft, da sie rechtliche Konsequenzen befürchten, falls es kein bestehendes Gesetz gibt, das die Forderungen der Regierung stützt.
Geheimdienste und Telekommunikationsunternehmen stehen daher vor der Unsicherheit, welche Datenerfassungsaktivitäten rechtmäßig fortgesetzt werden können.
Auch in den Vereinigten Staaten wurde die gütliche Einigung, die nach dem Cyberangriff von 2023 mit dem Unternehmen 23andMe erzielt wurde und von dem rund 6,4 Millionen Kunden betroffen waren, von einem US-Gericht endgültig bestätigt.
Allerdings wurde den amerikanischen Opfern, deren genetische Daten kompromittiert wurden, aufgrund des Insolvenzverfahrens des Unternehmens noch keine Entschädigung gezahlt.
Der Entschädigungsfonds beläuft sich auf 46,75 Millionen Dollar, aber die meisten Begünstigten erhalten nur eine begrenzte Entschädigung, die höchsten Beträge sind für Opfer reserviert, die einen erheblichen Schaden nachweisen können.
Die «Römische Erklärung für einen Frieden ohne Waffen und auf der Grundlage von Abrüstung im Zeitalter der künstlichen Intelligenz, nuklearer und autonomer Waffen, neuer digitaler Protokolle und aufkommender Muster der digitalen Entwicklung» wurde am Donnerstag, dem 16. Juli, auf dem Kapitol in Rom unterzeichnet und markierte den Höhepunkt der Weltversammlung der Nobelpreisträger für künstliche Intelligenz und nukleare Kriegsführung.
Deutsch (Sie) 