EU AI Act Check: Ist Ihre KI Hochrisiko-KI? Prüfen Sie es in zwei Minuten

Kurze Antwort. Der EU AI Act teilt KI-Anwendungen in vier Klassen ein: verboten, hohes Risiko, Transparenzpflicht und minimales Risiko. Die meiste KI in Unternehmen fällt in die letzten beiden. Hohes Risiko betrifft eine feste Liste von Anwendungen, etwa Recruiting und Personalauswahl, die Kreditwürdigkeitsprüfung von Personen, Prämien für Lebens- und Krankenversicherungen, Zulassung und Bewertung im Bildungswesen sowie KI als Sicherheitsbauteil von Produkten. Nach dem Digital Omnibus vom Juli 2026 gelten die strengen Regeln dafür ab dem 2. Dezember 2027, für KI in Produkten ab dem 2. August 2028. Was Sie tun müssen, hängt auch von Ihrer Rolle ab: Entwickeln Sie das System (Anbieter) oder nutzen Sie es (Betreiber)? Mit dem Check unten sehen Sie das je Anwendung, mit Ihren Fristen und einem Verzeichnis, das Sie herunterladen können.

Grundlage ist der EU AI Act in der Fassung des Digital Omnibus zur KI. Was der EU AI Act für KMU im Allgemeinen bedeutet, lesen Sie in unserem Überblick zum EU AI Act.

Die vier Risikoklassen der KI-Verordnung

Verboten. Seit dem 2. Februar 2025 dürfen Sie KI unter anderem nicht einsetzen, um über Gesicht, Stimme oder andere biometrische Daten Emotionen von Beschäftigten oder Lernenden zu erkennen (außer aus medizinischen oder Sicherheitsgründen), Menschen mit einem Social Score zu bewerten, Verhalten mit verdeckten Techniken zu steuern oder Schutzbedürftigkeit auszunutzen, oder um Menschen anhand biometrischer Daten nach Rasse, Religion, politischer Einstellung oder sexueller Ausrichtung einzuteilen. Ab dem 2. Dezember 2026 kommen zwei Verbote aus dem Digital Omnibus hinzu: KI, die sexuell explizite Bilder echter Personen ohne deren Einwilligung erzeugt, und KI, die Darstellungen sexuellen Kindesmissbrauchs erzeugt.

Hohes Risiko. Anwendungen aus Anhang III, bei denen KI großen Einfluss auf die Chancen eines Menschen hat: Arbeit, Kredit, Versicherung, Bildung, Zugang zu öffentlichen Diensten, biometrische Identifizierung und kritische Infrastruktur. Dazu kommt KI als Sicherheitsbauteil von Produkten mit CE-Kennzeichnung, etwa Maschinen und Medizinprodukte (Anhang I).

Transparenzpflicht. Chatbots, KI, die Bilder, Audio oder Video erzeugt, Deepfakes und von KI geschriebene Texte zu Themen von öffentlichem Interesse. Menschen müssen wissen, dass sie es mit KI zu tun haben. Das gilt seit dem 2. August 2026.

Minimales Risiko. Alles andere: zusammenfassen, schreiben, analysieren, Code, interne Suchwerkzeuge. Der EU AI Act stellt daran keine besonderen Anforderungen, außer dass Sie die KI-Kompetenz derjenigen unterstützen, die damit arbeiten.

Anbieter oder Betreiber?

Die meisten Pflichten legt der EU AI Act dem Anbieter auf: Das ist, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Entwickeln Sie ein System für den eigenen Einsatz, sind Sie Anbieter und Betreiber zugleich. Setzen Sie nur das System eines Lieferanten ein, sind Sie Betreiber, mit einer kürzeren Liste von Pflichten.

Achten Sie auf Artikel 25: Sie werden selbst zum Anbieter, wenn Sie Ihren Namen oder Ihre Marke auf ein Hochrisiko-KI-System eines anderen setzen, es wesentlich verändern oder es für einen Zweck einsetzen, durch den es zu einem Hochrisiko-KI-System wird. Letzteres passiert schneller, als Sie denken. Ein allgemeiner Chatbot, den Sie zur Beurteilung von Bewerbern einsetzen, ist plötzlich ein Hochrisiko-KI-System, und Sie sind der Anbieter.

Die Ausnahme nach Artikel 6 Absatz 3

Nicht alles auf der Liste in Anhang III ist automatisch Hochrisiko-KI. Ein System ist ausgenommen, wenn es kein erhebliches Risiko birgt, etwa weil es nur eine eng gefasste Verfahrensaufgabe erledigt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert, Muster erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe ausführt. Diese Ausnahme gilt nie, wenn das System Profile von Personen erstellt. Der Anbieter dokumentiert die Bewertung, bevor das System in Verkehr gebracht wird, und registriert es trotzdem in der EU-Datenbank.

Der Zeitplan nach dem Digital Omnibus

1. 2. Februar 2025: verbotene Praktiken und KI-Kompetenz.
2. 2. August 2026: Transparenzpflicht für Chatbots, KI-Inhalte und Deepfakes.
3. 2. Dezember 2026: die neuen Verbote aus dem Digital Omnibus und die Kennzeichnung von KI-Inhalten für generative Systeme, die schon vor August 2026 auf dem Markt waren. Neuere Systeme müssen das bereits seit dem 2. August 2026 tun.
4. 2. Dezember 2027: Hochrisiko-KI nach Anhang III, etwa Recruiting, Kredit und Bildung.
5. 2. August 2028: Hochrisiko-KI in Produkten nach Anhang I.

Was seit August 2026 bereits gilt, lesen Sie in unserem Beitrag zum 2. August.

Was Sie als Betreiber eines Hochrisiko-KI-Systems tun müssen

Nutzen Sie ein Hochrisiko-KI-System eines Lieferanten, etwa ein Tool, das Lebensläufe in eine Rangfolge bringt, sind das ab dem 2. Dezember 2027 Ihre wichtigsten Pflichten (Artikel 26):

• Das System gemäß der Betriebsanleitung des Anbieters nutzen.
• Die menschliche Aufsicht Personen mit der nötigen Kompetenz und Befugnis übertragen.
• Die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren.
• Die Beschäftigten und ihre Vertretung (Betriebsrat) informieren, bevor Sie das System am Arbeitsplatz einsetzen.
• Die Personen, über die das System Entscheidungen vorbereitet, über seinen Einsatz informieren und ihnen auf Anfrage eine Erläuterung geben.

Sind Sie eine Behörde, erbringen Sie öffentliche Dienstleistungen oder geht es um Kreditwürdigkeitsprüfung oder Versicherungsprämien, führen Sie vorab außerdem eine Grundrechte-Folgenabschätzung durch (Artikel 27). Wer schon jetzt so arbeitet, muss später nichts umstellen.

Wie hoch die Bußgelder sind

Bei verbotenen Praktiken kann das Bußgeld bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen. Für die meisten anderen Pflichten sind es 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge. Für kleine Midcap-Unternehmen gilt das nur bei den übrigen Pflichten, nicht bei verbotenen Praktiken. Zuständig ist in Deutschland grundsätzlich die Bundesnetzagentur.

Warum Sie ein KI-Verzeichnis führen

Sie können erst sagen, in welche Klasse Ihre KI fällt, wenn Sie wissen, welche KI bei Ihnen läuft. Deshalb können Sie jeden Check in einem Verzeichnis speichern und es als Excel oder Word herunterladen. Das Verzeichnis ist auch die Grundlage Ihrer KI-Richtlinie: welche Tools erlaubt sind, mit welchem Risiko und wer je Tool verantwortlich ist.

Häufig gestellte Fragen

Gilt die Nutzung von ChatGPT als hohes Risiko?

Nein. Ein allgemeiner KI-Assistent zum Schreiben, Zusammenfassen oder Analysieren fällt unter minimales Risiko. Hochrisiko-KI wird er erst, wenn Sie ihn für eine Anwendung aus Anhang III einsetzen, etwa zur Beurteilung von Bewerbern. Dann werden Sie außerdem selbst zum Anbieter.

Fällt unser Chatbot unter den EU AI Act?

Ja, unter die Transparenzpflicht. Menschen müssen wissen, dass sie mit KI sprechen, es sei denn, das ist offensichtlich. Der Anbieter gestaltet das System entsprechend; als Betreiber prüfen Sie, ob das richtig eingestellt ist.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Es gibt aber Erleichterungen für KMU, etwa eine vereinfachte technische Dokumentation für Anbieter und niedrigere Bußgeldobergrenzen. Seit dem Digital Omnibus gelten die meisten davon auch für kleine Midcap-Unternehmen.

Muss ich etwas tun, wenn meine gesamte KI unter minimales Risiko fällt?

Wenig, aber nicht nichts: Sorgen Sie für die KI-Kompetenz Ihrer Leute, führen Sie ein Verzeichnis und legen Sie in einer Richtlinie fest, welche Daten in welches Tool dürfen.