.svg)
Das Wichtigste in Kürze
- Der EU AI Act teilt KI-Systeme in vier Risikostufen ein; die meisten Pflichten treffen die Stufe „hoch".
- Ein System ist auf zwei Wegen hochriskant: Es fällt unter einen Anwendungsfall in Anhang III, oder es ist Sicherheitsbauteil eines Produkts, das bereits unter EU-Recht reguliert ist (Artikel 6).
- Anhang III nennt acht sensible Bereiche, darunter Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur und Strafverfolgung.
- Es gibt Ausnahmen (Artikel 6 Absatz 3): Systeme mit eng begrenzter Aufgabe gelten nicht als hochriskant, müssen aber dennoch registriert werden.
- Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab August 2026, produktgebundene Hochrisiko-Systeme folgen im August 2027.
Ob ein KI-System als Hochrisiko-KI gilt, entscheidet fast alles Weitere unter dem EU AI Act. Die Stufe „hoch" bringt die eigentlichen Pflichten mit sich, von der Konformitätsbewertung bis zur Registrierung, während die meisten anderen Systeme kaum oder gar nicht reguliert sind. Dieser Beitrag zeigt, woran Sie erkennen, ob Ihr System hochriskant ist, welche acht Bereiche Anhang III nennt, welche Ausnahmen gelten und was auf Sie zukommt, wenn die Einstufung „hoch" lautet.
Den vollständigen Überblick über die vier Stufen und den Weg zur Konformität finden Sie in unserem Leitfaden zur EU AI Act Compliance. Dieser Beitrag geht in die Tiefe bei der einen Frage, die zuerst zu klären ist: Ist mein System hochriskant?
Die vier Risikostufen im Überblick
Der EU AI Act ist risikobasiert und ordnet jedes System einer von vier Stufen zu: unannehmbar (verboten), hoch, begrenzt (Transparenzpflichten) und minimal (keine Pflichten). Die große Mehrheit geschäftlicher KI fällt in „begrenzt" oder „minimal". Die Arbeit konzentriert sich auf die Stufe „hoch", weshalb die Einstufung so wichtig ist. Wie die Stufen insgesamt aufgebaut sind, erklärt der Überblick zum EU AI Act.
Wann ist ein KI-System hochriskant?
Nach Artikel 6 gibt es zwei Wege in die Hochrisiko-Stufe. Erstens: Das System ist als Sicherheitsbauteil eines Produkts einzustufen oder selbst ein Produkt, das bereits unter bestehendes EU-Harmonisierungsrecht fällt (etwa Medizinprodukte, Maschinen, Spielzeug) und einer Konformitätsbewertung durch Dritte unterliegt. Zweitens: Das System wird in einem der in Anhang III genannten sensiblen Anwendungsbereiche eingesetzt. Der zweite Weg betrifft die meisten Software- und SaaS-Unternehmen und steht deshalb im Mittelpunkt.
Die acht Anhang-III-Bereiche
Anhang III listet die Anwendungsfälle auf, die als hochriskant gelten. Prüfen Sie, ob Ihr System in einen dieser acht Bereiche fällt.
Die Ausnahme: nicht jedes System in Anhang III ist automatisch hochriskant
Artikel 6 Absatz 3 sieht eine wichtige Ausnahme vor. Ein System in einem Anhang-III-Bereich gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt, etwa weil es nur eine eng begrenzte verfahrenstechnische Aufgabe erfüllt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit lediglich verbessert, Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine reine Vorbereitungsaufgabe übernimmt. Wichtig: Auch wer sich auf diese Ausnahme beruft, muss das System vor dem Inverkehrbringen in der EU-Datenbank registrieren und die Einstufung dokumentieren. Ein System, das Profiling natürlicher Personen vornimmt, bleibt in jedem Fall hochriskant.
Was gilt, wenn Ihr System hochriskant ist?
Fällt Ihr System in die Stufe „hoch", müssen Sie die Konformität vor dem Inverkehrbringen nachweisen und das System danach im Betrieb konform halten. Dazu gehören ein Risikomanagementsystem, Daten-Governance, technische Dokumentation und Protokollierung, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit, gefolgt von einer Konformitätsbewertung, der CE-Kennzeichnung und der Registrierung in der EU-Datenbank. Die vollständige Schritt-für-Schritt-Sicht liefert unser Leitfaden zur EU AI Act Compliance. Ein strukturierter Weg, Ihre Systeme zu erfassen und einzustufen, ist eine KI-Risikobewertung, idealerweise eingebettet in ein KI-Managementsystem nach ISO 42001.
Ab wann gelten die Pflichten?
Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. August 2026. Für Hochrisiko-KI, die Produkte oder Sicherheitsbauteile nach anderem EU-Recht ist, greifen die Vorschriften ab dem 2. August 2027. Da die Konformitätsbewertung und die Dokumentation Vorlauf brauchen, ist die Einstufung Ihrer Systeme keine Aufgabe für den letzten Moment.
Häufige Fragen
Woran erkenne ich, ob mein KI-System hochriskant ist?
Prüfen Sie zwei Fragen: Ist das System ein Produkt oder Sicherheitsbauteil, das bereits unter EU-Recht reguliert ist? Und wird es in einem der acht Anhang-III-Bereiche eingesetzt (etwa Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur)? Trifft eines zu und greift keine Ausnahme nach Artikel 6 Absatz 3, ist es hochriskant.
Welche Bereiche nennt Anhang III?
Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personal, Zugang zu wesentlichen Diensten (u. a. Kreditwürdigkeit und Versicherung), Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.
Ist jedes System in einem Anhang-III-Bereich automatisch hochriskant?
Nein. Artikel 6 Absatz 3 nimmt Systeme aus, die kein erhebliches Risiko darstellen, etwa bei eng begrenzten verfahrenstechnischen Aufgaben. Sie müssen die Einstufung aber dokumentieren und das System registrieren. Systeme mit Profiling bleiben immer hochriskant.
Ab wann gelten die Hochrisiko-Pflichten?
Ab dem 2. August 2026 für Systeme nach Anhang III und ab dem 2. August 2027 für produktgebundene Hochrisiko-KI.
Sehen Sie, wie Kertos Ihre KI-Systeme erfasst, einstuft und auf die Hochrisiko-Pflichten vorbereitet: Demo buchen.
