Hochrisiko-KI nach AI Act erkennen: Risikoklassen einfach erklärt

Inhalt in Kürze

• Der AI Act kennt vier Risikoklassen. Die entscheidende Frage für Unternehmen lautet: Setzen wir Hochrisiko-KI ein?
• Hochrisiko ist KI in acht sensiblen Bereichen — darunter Personalauswahl, Bonitätsprüfung und kritische Infrastruktur (Anhang III des AI Act).
• Durch die Digital-Omnibus-Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) wurden die Hochrisiko-Pflichten auf den 2. Dezember 2027 verschoben — aber die Pflicht zur Einordnung besteht trotzdem schon jetzt.
• Wer ein Hochrisiko-System betreibt, braucht Risikomanagement, Dokumentation, menschliche Aufsicht und Datenqualitäts-Nachweise.

“Sind wir überhaupt betroffen?” Diese Frage stellen uns Geschäftsführer beim AI Act zuerst. Die Antwort hängt an einer einzigen Einordnung: der Risikoklasse Ihrer KI-Systeme. Wer hier falsch liegt, baut entweder unnötig Bürokratie auf — oder übersieht echte Pflichten. Beides ist teuer.

Die vier Risikoklassen des AI Act

Der EU AI Act reguliert KI nicht pauschal, sondern nach dem Risiko für Gesundheit, Sicherheit und Grundrechte. Vier Stufen gibt es:

Die allermeisten Tools im Mittelstand — Rechtschreibhilfe, Übersetzung — sind minimales Risiko und lösen außer der allgemeinen Pflicht zur Förderung der KI-Kompetenz (Art. 4) keine Pflichten aus. Spannend wird nur die Hochrisiko-Klasse. Sie ist auch die einzige, die echten Aufwand verursacht.

Wann ist KI “Hochrisiko”?

Entscheidend ist Anhang III des AI Act. Er listet acht Bereiche, in denen KI als Hochrisiko gilt. Für KMU sind vor allem drei relevant:

Weitere Anhang-III-Bereiche — Biometrie, Strafverfolgung, Migration, Justiz — betreffen Behörden und Spezialfälle. Die übrigen vier sind für die meisten Unternehmen kaum praxisrelevant.

Die neue Frist: Digital Omnibus verschiebt — aber befreit nicht

Hier kommt die wichtigste Neuigkeit für 2026. Mit der Digital-Omnibus-Verordnung (EU) 2026/1744 — Vorschlag der EU-Kommission vom November 2025, politische Einigung am 7. Mai 2026, im Amtsblatt am 24. Juli 2026, in Kraft seit dem 27. Juli 2026 — wurden die Hochrisiko-Pflichten zeitlich gestreckt:

Ursprünglich sollten die Pflichten am 2. August 2026 greifen, für Anhang-I-Produkte am 2. August 2027. Die neuen Daten sind laut EU-Rat feste Stichtage — unabhängig davon, ob die technischen Normen rechtzeitig fertig sind. Das verschafft Luft, ändert aber nichts daran, dass Sie jetzt wissen müssen, ob Sie betroffen sind. Der KI-Risikoklassen-Check nimmt Ihnen diese Einordnung ab und nennt die Fristen, die für Ihr System gelten.

Für jeden ist Compliance wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden. Die verschobene Frist ist kein Grund, das Thema zu vertagen — sie ist die Zeit, die man braucht, um es ordentlich zu machen.

Nils OehmichenDatenschutzberater bei frag.hugo

Welche Pflichten ein Hochrisiko-System auslöst

Stufen Sie ein System als Hochrisiko ein, kommen handfeste Anforderungen auf Sie zu:

• Risikomanagementsystem. Risiken über den gesamten Lebenszyklus erkennen und mindern.
• Datenqualität. Trainings- und Eingabedaten müssen relevant und möglichst fehlerfrei sein.
• Technische Dokumentation. Nachweisbar, wie das System funktioniert und entscheidet.
• Menschliche Aufsicht. Eine Person muss eingreifen können — KI entscheidet nicht allein.
• Transparenz und Protokollierung. Ereignisse werden mitgeloggt, Betroffene informiert.

Kommt das bekannt vor? Vieles davon überschneidet sich mit der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Wer hier schon Strukturen hat, muss das Rad nicht neu erfinden.

So gehen Sie konkret vor

1. KI-Inventar erstellen: Alle Systeme erfassen — gekauft, lizenziert, selbst gebaut.
2. Gegen Anhang III prüfen: Fällt ein System in einen der acht Bereiche? Vor allem Personal- und Finanz-Tools checken.
3. Erheblichkeit bewerten: Birgt es ein echtes Grundrechtsrisiko — oder erledigt es nur Vorbereitung? Ergebnis schriftlich festhalten.
4. Pflichten ableiten und planen: Bei Hochrisiko die fünf Kernpflichten bis 2027 aufbauen. Sonst: dokumentieren, dass nichts greift.

Die Schritte zwei bis vier nimmt Ihnen der KI-Risikoklassen-Check ab: Er fragt Anhang III und die Ausnahmen der Reihe nach ab, unterscheidet dabei zwischen Anbieter und Betreiber und gibt am Ende die Pflichten mit Artikel und Frist aus — als Ausdruck für die Akte. Kostenlos und ohne Anmeldung; gerechnet wird im Browser, Ihre Angaben verlassen das Gerät nicht.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten) ausführlich behandelt. Jetzt herunterladen →

Aus der Praxis

Wir sehen oft Erleichterung, wenn die Einordnung fertig ist. Ein Maschinenbauer war überzeugt, voll unter Hochrisiko zu fallen — am Ende war nur die Bewerber-Vorauswahl betroffen, der Rest minimal. Statt eines riesigen Compliance-Projekts blieb eine überschaubare Aufgabe. Genau dafür macht man die Einordnung: damit Sie Aufwand dort investieren, wo er wirklich nötig ist.

Ihr nächster Schritt

Den ersten Schritt — die Bestandsaufnahme — beschreiben wir im Beitrag KI-Inventar und KI-Register aufbauen. Was komplett verboten ist, lesen Sie unter verbotene KI-Praktiken nach Art. 5. Und für die strukturierte Umsetzung hilft unsere AI-Act-Beratung in Hamburg.

Häufige Fragen (FAQ)

Was sind die Risikoklassen des AI Act?

Vier Stufen: unannehmbares Risiko (verboten), Hochrisiko (strenge Pflichten), begrenztes Risiko (Transparenzpflicht) und minimales Risiko (keine besonderen Pflichten außer der Förderung der KI-Kompetenz nach Art. 4). Die Einordnung entscheidet, welche Anforderungen gelten.

Wann gilt KI als Hochrisiko?

Wenn sie in einem der acht Bereiche aus Anhang III eingesetzt wird — etwa Personalauswahl, Bonitätsprüfung oder kritische Infrastruktur — und ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt.

Ab wann gelten die Hochrisiko-Pflichten?

Seit der Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, ab dem 2. Dezember 2027 für Anhang-III-Systeme und ab dem 2. August 2028 für KI in regulierten Anhang-I-Produkten.

Was kostet ein Verstoß bei Hochrisiko-KI?

Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Das ist niedriger als bei verbotenen Praktiken, aber immer noch erheblich.

Müssen wir trotz verschobener Frist schon aktiv werden?

Ja. Die Frist betrifft die Pflichten, nicht die Einordnung. Sie müssen heute wissen, ob Sie Hochrisiko-KI betreiben, um rechtzeitig vorbereitet zu sein.