Hochrisiko-Systeme richtig einordnen
Hochriskant ist ein KI-System nicht wegen seiner Technik, sondern wegen seines Einsatzes: wenn es in einem der acht Bereiche aus Anhang III über Menschen mitentscheidet. Dasselbe Sprachmodell kann im Dokumentenassistenten minimal reguliert und in der Bewerberauswahl hochriskant sein. Die Einordnung ist damit keine technische, sondern eine Verwendungsfrage — und sie liegt beim Unternehmen.
Welche Bereiche gelten als hochriskant?
Anhang III führt acht Bereiche auf. Für Unternehmen außerhalb des öffentlichen Sektors sind vor allem die ersten vier relevant.
- Beschäftigung
- Vorsortierung von Bewerbungen, Beförderungs- und Kündigungsentscheidungen, Aufgabenzuweisung, Leistungsüberwachung.
- Kreditwürdigkeit
- Bonitätsbewertung natürlicher Personen; ausgenommen Systeme zur Aufdeckung von Betrug.
- Wesentliche Dienste
- Zuteilung öffentlicher Leistungen, Notrufabwicklung, Risikobewertung in der Lebens- und Krankenversicherung.
- Bildung
- Zugang zu Ausbildung, Bewertung von Lernergebnissen, Überwachung bei Prüfungen.
- Kritische Infrastruktur
- Sicherheitsbauteile in Verkehr, Wasser, Gas, Strom, digitale Infrastruktur.
- Biometrie
- Fernidentifizierung, biometrische Kategorisierung, Emotionserkennung außerhalb verbotener Fälle.
- Strafverfolgung und Migration
- Risikobewertungen, Beweiswürdigung, Prüfung von Anträgen — überwiegend für Behörden relevant.
- Produktsicherheit
- KI als Sicherheitsbauteil in Produkten, die schon heute unter EU-Harmonisierungsvorschriften fallen.
Wie ordnen Sie Ihren Fall selbst ein?
Drei Fragen in dieser Reihenfolge. Führt die erste zu «nein», sind Sie in der Regel fertig.
- 1Entscheidet oder bewertet das System etwas über Menschen?
Auswahl, Zugang, Bonität, Leistung, Verhalten. Reine Informationsaufbereitung — Suchen, Zusammenfassen, Übersetzen — fällt hier heraus.
- 2Fällt der Einsatz in einen der acht Bereiche aus Anhang III?
Beschäftigung, Kredit, wesentliche Dienste, Bildung, kritische Infrastruktur, Biometrie, Strafverfolgung, Produktsicherheit.
- 3Bleibt die Entscheidung beim Menschen — und ist das belegbar?
Eine Person muss das Ergebnis prüfen und übergehen können. Ist das nur Absicht und nicht Prozess, hilft es in der Prüfung nicht.
Das Ergebnis gehört mit Datum und Begründung in Ihre Systemliste — siehePflichten für Unternehmen.
Was folgt aus der Einstufung als hochriskant?
Die schwersten Pflichten — Konformitätsbewertung, technische Dokumentation, Registrierung — liegen beim Anbieter des Systems. Als Betreiber übernehmen Sie einen kleineren, aber verbindlichen Teil.
Das System darf nur so verwendet werden, wie es der Anbieter vorgesehen hat. Zweckentfremdung macht Sie selbst zum Anbieter.
Eine benannte, befugte Person prüft Ergebnisse und kann sie übergehen.
Mindestens sechs Monate, soweit die Protokolle Ihrer Kontrolle unterliegen.
Vor dem Einsatz am Arbeitsplatz; in Deutschland zusätzlich Mitbestimmung des Betriebsrats.
Die letzte Zeile wird am häufigsten übersehen: Zweckentfremdung eines fremden Systems verschiebt die Anbieterrolle auf Ihr Unternehmen — mitsamt der vollen Pflichtenlast.
Häufige Fragen
Was ist ein Hochrisiko-KI-System nach dem EU AI Act?+
Welche Beispiele gelten eindeutig als hochriskant?+
Ist ein Dokumentenassistent hochriskant?+
Welche Pflichten kommen bei Hochrisiko auf den Betreiber zu?+
Ab wann gelten die Hochrisiko-Regeln?+
Was, wenn die Einordnung strittig ist?+
Grenzfälle klären, bevor sie teuer werden
Die meisten Streitfälle entstehen dort, wo KI Entscheidungen über Menschen nur vorbereitet. Wir nehmen den Bestand auf, ordnen die Anwendungsfälle ein und liefern die technische Dokumentation — die rechtliche Bewertung bleibt bei Ihrer Kanzlei.