Die am 13.03.2024 vom Europäischen Parlament beschlossene Verordnung über künstliche Intelligenz ist am 1. August 2024 in Kraft getreten. Die Verordnung hat das Ziel, den freien Verkehr von KI-Systemen im europäischen Binnenmarkt zu ermöglichen. Sie richtet sich sowohl an öffentliche als auch an private Akteure, die als Entwickler oder Nutzer von KI-Systemen agieren. Sie besitzt in allen Mitgliedstaaten allgemeine Gültigkeit sowie unmittelbare Anwendbarkeit.

Die Verordnung verfolgt einen risikobasierten Ansatz, der darauf abzielt, KI-Systeme je nachdem der von ihnen für Benutzer ausgehenden Risiken zu analysieren und zu klassifizieren. Abhängig vom Risikolevel unterliegen KI-Systeme unterschiedlichen Regulierungen: Je höher das Risiko, desto strenger sind auch die Pflichten.

Dementsprechend sind die KI-Systeme in vier Risikostufen eingeteilt:

1. Inakzeptables Risiko: Solche Systeme sind verboten z. B. social scoring oder Emotionserkennung am Arbeitsplatz.
2. Hohes Risiko: Für diese Systeme gelten strenge Vorschriften, u. a. hinsichtlich ihrer Qualität, der Protokollierung für die Rückverfolgbarkeit der Ergebnisse und Anforderungen an menschliche Aufsichtsmaßnahmen. Davon erfasst werden Technologien wie autonomes Fahren, medizinische Diagnosen oder Sicherheitssysteme. 
   KI, die als Sicherheitskomponente und damit unmittelbar dem Schutz der physischen Integrität spezieller kritischer Infrastrukturen oder der Gesundheit und Sicherheit von Personen und Gütern dient, wird als Hoch-Risiko-KI eingestuft. Zu diesen kritischen Infrastrukturen zählt die digitale Infrastruktur, der Straßenverkehr und die Wasser-, Gas-, Strom- und Heizungsversorgung, nicht jedoch die Abfallwirtschaft.
3. Begrenztes Risiko mit Transparenzanforderungen: Für diese Systeme gelten insbesondere spezifische Transparenzverpflichtungen, sodass die Nutzenden darauf aufmerksam gemacht werden, dass sie mit einer Maschine interagieren. Dies betrifft etwa Chatbots.
4. Geringes Risiko: Hier ist die freie Nutzung erlaubt. Dazu gehören z. B. KI-fähige Videospiele oder Spamfilter.

Die Verordnung über künstliche Intelligenz betrachtet öffentliche Behörden in der Regel als „Nutzer“ von KI-Systemen. Sollten sie eigene Systeme entwickeln oder individuell angepasste KI-Systeme entwickeln lassen, so gelten sie als „Anbieter“. Sie gelten auch als Anbieter, wenn sie KI-Systeme für allgemeine Zwecke (KI-Basismodelle) an einen bestimmten Zweck anpassen. Zum Beispiel sollen Anwendungen, die für die Interaktion mit natürlichen Personen ausgelegt sind, klar als KI erkennbar sein. Dies ist insbesondere für Kommunen relevant, die die Benutzerfreundlichkeit ihrer Webseiten durch Chatbots erhöhen wollen. Zudem müssen Inhalte von KI-Systemen mit allgemeinem Verwendungszweck, welche synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, als solche gekennzeichnet werden.

Anbieter von Hochrisikosystemen müssen unter anderem ein definiertes Risikomanagement etablieren und verschiedene definierte Auflagen und Anforderungen erfüllen.

Zur Umsetzung der Verordnung über künstliche Intelligenz wird die EU-Kommission eine KI-Behörde einrichten, die die fortschrittlichsten KI-Modelle überwacht und von einem Gremium unabhängiger Experten beraten wird. Darüber hinaus sollen ein KI-Ausschuss aus Vertretern der Mitgliedstaaten, sowie ein beratendes Forum für andere Interessengruppen (z. B. Vertreter der Industrie, KMU, Start-Ups, der Zivilgesellschaft und der Wissenschaft) gebildet werden.

Den nationalen Behörden obliegt es, die Einhaltung der Vorschriften für Hochrisikoanwendungen zu gewährleisten. Die detaillierte Ausgestaltung der Verordnung über künstliche Intelligenz in Deutschland ist allerdings noch nicht abschließend geregelt. So ist noch festzulegen, welches die nationale KI-Aufsichtsbehörde sein wird. Es stehen insbesondere die Bundesnetzagentur, das Bundesamt für Sicherheit in der Informationstechnologie und die Datenschutzstellen von Bund und Ländern als mögliche Aufsichtsbehörden zur Diskussion. Der überwiegende Teil der Verordnung gilt ab dem 2. August 2026, wobei es für einzelne Vorschriften gesonderte Termine für den Beginn der Gültigkeit gibt. So ist das Verbot von KI-Systemen mit unannehmbaren Risiko bereits ab 2. Februar 2025 gültig und die Bestimmungen zur Anwendung mit allgemeinem Verwendungszweck gelten ab 2. August 2025. Im Hinblick auf die Umsetzung sieht die Verordnung die Erarbeitung von Leitlinien durch die europäische Kommission vor. Diese sollen unter anderem an den Bedürfnissen lokaler Behörden ausgerichtet sein und vor Beginn der jeweiligen Gültigkeit der einzelnen Vorschrift veröffentlicht werden.